DMVPN



 ◆ DMVPN(Dynamic Multipoint VPN)とは

 DMVPNとは、サイト間VPNの問題点を解決するために実装するVPNのソリューションのことです。この
 DMVPNをCiscoで実装する場合、
NHRP(Next Hop Resolution Protocol)、mGRE(Multipoint GRE)
 の2つの技術と
IPsecといくつかの拡張機能を併用します。まずは、サイト間VPNの問題点を解説します。



 ◆ サイトツーサイトVPN(サイト間VPN)の問題点

 サイトツーサイトVPN(サイト間VPN)ではIPsec-VPNゲートウェイ同士でVPNトンネルを確立させます。
 複数の拠点をVPN接続させるためには、ハブアンドスポークまたはフルメッシュトポロジーを使用します。
 しかし、これらのトポロジーでVPNを構成した場合、それぞれの構成で以下のような問題点が発生します。

VPNのトポロジー 問題点
フルメッシュ  ・ フルメッシュ構成の場合、コンフィグ量が多くなり管理上の手間が発生
ハブアンドスポーク

 ・ スポーク拠点間の通信のためにハブ拠点経由するので遅延が発生
 ・ ハブ拠点経由することで、ハブ拠点のVPNゲートウェイに負荷がかかる



    



 ハブアンドスポークの構成の場合、上図で
 大阪支店と名古屋支店が通信するためには、
 東京本社のVPNゲートウェイを経由する必要
 があり、遅延が発生してしまいます。

 フルメッシュ構成にすれば、この遅延問題や
 東京本社のVPNゲートウェイの負荷は少なく
 なりますが、拠点が増える度にコンフィグ量
 が増えていくので管理上の負荷が発生します。


 ◆ DMVPNによる問題解決

 サイトツーサイトVPNのこれらの問題を解決するために、
DMVPNという機能を実装することができます。
 DMVPNを実装することで、
オンデマンドで支社間にも IPsec-VPN トンネルをはれます。DMVPNでは
 NHRP(next hop resolution protocol)プロトコルを使用して、IPsec-VPNゲートウェイのグローバル
 IPアドレスを解決します。スポーク間の通信を行う場合、スポーク側はハブ側に通信相手のスポーク側の
 グローバルIPアドレスを問い合わせて、そのIPアドレス解決後、スポーク同士で直接VPNトンネルを確立。


    



 ◆ DMVPN(Dynamic Multipoint VPN)- Ciscoルータで実装

 CiscoでDMVPNを実装する場合は、複数のスポークとハブ間を接続するために
mGREインターフェースが
 利用されます。DMVPNではトンネルインターフェースのコンフィグでtunnel destinationを指定する必要
 はなく、ハブ側では
NHRPを使用してスポークの宛先トンネルアドレスを取得します。そのためスポークで
 ダイナミックアドレスを取得する場合でも、NHRPで、IP-to-NBMAアドレスのマッピングが動的に行われ、
 スポーク ⇔ ハブ間のIPsec-VPNトンネルの構築が可能です。次に、スポーク ⇔ スポーク通信の発生時に、
 NHRPによりハブ側から対向のスポークのNBMAアドレスを取得して、VPNトンネルをオンデマンドに構築。



IPsec、IPsec-VPN、リモートアクセスVPN

ネットワークエンジニアとして

Copyright (C) 2002-2019 ネットワークエンジニアとして All Rights Reserved.