Introduo

Dynamic Multipoint VPN (DMVPN) a resposta da Cisco para a

crescente demanda de empresas corporativas para ser capaz de
interconectar localidades remotas, mantendo os custos baixos,
minimizando a complexidade de configurao e aumentar a
flexibilidade.
Com DMVPN, um roteador central, geralmente instalados no site
principal, assume o papel do HUB enquanto todos os outros
roteadores de localidades remotas assume o papel de SPOKES, estes
se conectam ao roteador HUB para aprender como estabelecer tneis
dinmicos e aos demais SPOKES para acessar os recursos da
empresa.
O design DMVPN consiste de duas arquiteturas primrias:
1. DMVPN Hub & Spoke, usado para conectar o site principal as
localidade remotas.
2. DMVPN Spoke -to-Spoke, usado para conectar interconectar
localidades remotas.

DMVPN combina mltiplos tneis GRE (mGRE), IPSec e criptografia,

utilizando o NHRP (Next Hop Resolution Protocol) para realizar o seu
trabalho e poupar o administrador de ter de definir vrios mapas de
criptografia esttica e dinmica alm de descoberta de extremidades
do tnel.
A feature DMVPN no altera tneis VPN padro IPsec, mas altera o
modo como estes so configurados. Os spokes mantm um tnel
IPsec permanente com o HUB, porm, no entre eles. Quando um
spoke precisa enviar um pacote com destino a outro spoke, ele realiza
uma busca na base de dados NHRP para identificar o endereo
pblico (rotevel) do spoke em questo. O tnel entre os spokes
ento estabelecido via interface mGRE. O router Hub executa a
funo do servidor, enquanto os roteadores Spokes atuam como
clientes. O Hub mantm um banco de dados NHRP especial com os
endereos IP pblicos de todos os Spokes configurados.
Tnel mGRE utilizado para permitir que uma nica interface GRE
suporte mltiplos tneis IPSec simplificando drasticamente a
complexidade e tamanho da configurao para mltiplas VPNs.
Diferena entre GRE e mGRE:
GRE:

 Endereo IP
Tnel Origem
Tnel destino
mGRE:
Endereo IP
Tnel Origem
Tnel multipoint > importante notar que as interfaces mGRE
no tem um destino definido. Este tipo de tnel utiliza o NHRP
para definio do destino dizendo para onde o mGRE deve
enviar os pacotes.

Benefcios
1. Configurao nica do HUB
2. Sem necessidade de mltiplas polticas por tnel
3. Configurao do Hub permanece inalterada independentemente
do nmero de Spokes
4. Utilizao de endereos pblicos; estticos ou dinmicos
5. Construo de tneis dinmicos entre roteadores consultando
NHRP
6. Administrao simplificada
Ex. Temos hoje 28 localidades com circuitos Internet Oi ativados ou
em ativao. Cada configurao de VPN consome em mdia 13 linhas
de configurao no modelo site2site, teremos ento 364 linhas de
configurao, se pensarmos em 75 localidades, teramos 975 linhas
de configurao, e assim por diante... Evidentemente isso dificulta a
administrao bem como a performance da caixa.

Configurao mGRE (DMVPN)

HUB-DC
interface FastEthernet0/0
description LAN-Network
ip address 187.18.16.3 255.255.255.224
duplex auto
speed auto
!
interface FastEthernet0/1
description WAN-Network
ip address 200.169.145.222 255.255.255.252

duplex auto
speed auto
!
interface Tunnel0
description HUB Tunnel mGRE DMVPN
ip address 192.168.222.1
no ip redirects
# Desativa os redirecionamentos... Ex. ICMP redirect
ip nhrp authentication sec@sync
# Autenticao para consultas e atualizao no banco de dados
NHRP, garante que consultas indesejadas no forneam dados sobre
toda a rede.
ip nhrp map multicast dynamic
# Permite o encaminhamento de trfego multicast. Normalmente
exigido pelo OSPF e EIGRP, utilizamos protocolos dinmicos para
enviar e receber atualizaes de redes internas.
ip nhrp network-id 1
# Identifica a nuvem DMVPN, todos os roteadores devem estar com o
mesmo ID para estabelecimento de VPN.
tunnel source 200.169.145.222
tunnel mode gre multipoint
# Interfaces tnel mGRE no tem um destino definido. Este tipo de
tnel utiliza o NHRP para definio do destino dizendo para onde o
mGRE deve enviar os pacotes.
Ip nhrp holdtime 600
Ip mtu 1400
SPOKE-FLO
interface GigabiEthernet 0/1
description LAN-Network
ip address 192.168.148.4 255.255.255.0
duplex auto
speed auto
!
interface GigabiEthernet 0/0.2000
description WAN-Network
ip address 189.75.57.218 255.255.255.252
duplex auto
speed auto
!
interface Tunnel0
description FLO tnel mGRE - DMVPN
ip address 192.168.222.2
no ip redirects
# Desativa os redirecionamentos... Ex. redirecionamento ICMP
ip nhrp authentication sec@sync
# Autenticao para consultas e atualizao no banco de dados
NHRP, garante que consultas indesejadas no forneam dados sobre
toda a rede.

ip nhrp map multicast dynamic

# Permite o encaminhamento de trfego multicast. Normalmente
exigido pelo OSPF e EIGRP, utilizamos protocolos dinmicos para
enviar e receber atualizaes de redes internas.
ip nhrp map multicast 200.169.145.222
# garante o trfego multicast enviado apenas a partir de spoke
para o HUB centro e nunca entre spokes. Todo o trfego multicast
deve ser recebido pelo hub, processados e, em seguida, as
atualizaes so enviadas para os spokes.
ip nhrp nhs 192.168.222.1
# Define o endereo para o NHS (Next Hop Server).
ip nhrp map 192.168.222.1 200.169.145.222
# Mapeia o endereo pblico para o endereo associado no NHS.
ip nhrp network-id 1
# Identifica a nuvem DMVPN, todos os roteadores devem estar com o
mesmo ID para estabelecimento de VPN.
tunnel source GigabiEthernet 0/0.2000
tunnel mode gre multipoint
# Interfaces tnel mGRE no tem um destino definido. Este tipo de
tnel utiliza o NHRP para definio do destino dizendo para onde o
mGRE deve enviar os pacotes.
Ip nhrp holdtime 600
Ip mtu 1400
SPOKE-GOI
interface GigabiEthernet 0/0
description LAN-Network
ip address 192.168.162.4 255.255.255.0
duplex auto
speed auto
!
interface GigabiEthernet 0/1.2000
description WAN-Network
ip address 189.30.132.234 255.255.255.252
duplex auto
speed auto
!
interface Tunnel0
description FLO tnel mGRE - DMVPN
ip address 192.168.222.3
no ip redirects
# Desativa os redirecionamentos... Ex. redirecionamento ICMP
ip nhrp authentication sec@sync
# Autenticao para consultas e atualizao no banco de dados
NHRP, garante que consultas indesejadas no forneam dados sobre
toda a rede.
ip nhrp map multicast dynamic

# Permite o encaminhamento de trfego multicast. Normalmente

exigido pelo OSPF e EIGRP, utilizamos protocolos dinmicos para
enviar e receber atualizaes de redes internas.
ip nhrp map multicast 200.169.145.222
# garante o trfego multicast enviado apenas a partir de spoke
para o HUB centro e nunca entre spokes. Todo o trfego multicast
deve ser recebido pelo hub, processados e, em seguida, as
atualizaes so enviadas para os spokes.
ip nhrp nhs 192.168.222.1
# Define o endereo para o NHS (Next Hop Server).
ip nhrp map 192.168.222.1 200.169.145.222
# Mapeia o endereo pblico para o endereo associado no NHS.
ip nhrp network-id 1
# Identifica a nuvem DMVPN, todos os roteadores devem estar com o
mesmo ID para estabelecimento de VPN.
tunnel source GigabiEthernet 0/0.2000
tunnel mode gre multipoint
# Interfaces tnel mGRE no tem um destino definido. Este tipo de
tnel utiliza o NHRP para definio do destino dizendo para onde o
mGRE deve enviar os pacotes.
Ip nhrp holdtime 600
Ip mtu 1400

Verificao DMVPN
#HUB
RT101#show dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
N - NATed, L - Local, X - No Socket
# Ent --> Number of NHRP entries with same NBMA peer
NHS Status: E --> Expecting Replies, R --> Responding
UpDn Time --> Up or Down Time for a Tunnel
==================================================
========================
Interface: Tunnel0, IPv4 NHRP Details
Type:Hub, NHRP Peers:2,
# Ent Peer NBMA Addr Peer Tunnel Add State UpDn Tm Attrb
----- --------------- --------------- ----- -------- ----1 189.75.57.218 192.168.222.2 UP 00:03:23
D
1 189.30.132.234 192.168.222.3 UP 00:02:54
D

#SPOKE
RTO-INT-CATFLO# show dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
N - NATed, L - Local, X - No Socket
# Ent --> Number of NHRP entries with same NBMA peer

NHS Status: E --> Expecting Replies, R --> Responding

UpDn Time --> Up or Down Time for a Tunnel
==================================================
==========
Interface: Tunnel0, IPv4 NHRP Details
Type:Spoke, NHRP Peers:1,
# Ent Peer NBMA Addr Peer Tunnel Add State UpDn Tm Attrb
----- --------------- --------------- ----- -------- ----1 200.169.145.222 192.168.222.1 UP 00:05:03
S

#SPOKE
RTO_INT_CATGOI#show dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
N - NATed, L - Local, X - No Socket
# Ent --> Number of NHRP entries with same NBMA peer
NHS Status: E --> Expecting Replies, R --> Responding
UpDn Time --> Up or Down Time for a Tunnel
==================================================
==========
Interface: Tunnel0, IPv4 NHRP Details
Type:Spoke, NHRP Peers:1,
# Ent Peer NBMA Addr Peer Tunnel Add State UpDn Tm Attrb
----- --------------- --------------- ----- -------- ----1 200.169.145.222 192.168.222.1 UP 00:00:39
S

Configurao
mGRE

IPSEC

sobre

DMVPN

Tnel

#HUB
crypto isakmp policy 1
encr aes 256
hash sha
authentication pre-share
lifetime 86400
group 2
crypto isakmp key #88TS@DMVPN 0.0.0.0 0.0.0.0
# Caso trabalhemos com conceito de peer dinmico, no nosso modelo
definiremos o peer manualmente, como segue...
crypto isakmp key #88TS@DMVPN address 189.75.57.218
# SPOKE Florianpolis
crypto isakmp key #88TS@DMVPN address 189.30.132.234
# SPOKE Goiania
crypto ipsec transform-set DMVPN esp-aes esp-sha-hmac
crypto ipsec profile DMVPN
set security-association lifetime seconds 86400
set transform-set DMVPN
interface tunnel 0
tunnel protection ipsec profile DMVPN

#SPOKE
crypto isakmp policy 1
encr aes 256
hash sha
authentication pre-share
lifetime 86400
group 2
crypto isakmp key #88TS@DMVPN 0.0.0.0 0.0.0.0
# Caso trabalhemos com conceito de peer dinmico, no nosso modelo
definiremos o peer manualmente, como segue...
crypto isakmp key #88TS@DMVPN address 200.169.145.222
# HUB Data Center
crypto ipsec transform-set DMVPN esp-aes esp-sha-hmac
crypto ipsec profile DMVPN
set security-association lifetime seconds 86400
set transform-set DMVPN
interface tunnel 0
tunnel protection ipsec profile DMVPN

Verificao ISKMP/IPSEC
#HUB
sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst
src
state
conn-id status
200.169.145.222 189.30.132.234 QM_IDLE
1002 ACTIVE
200.169.145.222 189.75.57.218 QM_IDLE
1001 ACTIVE
IPv6 Crypto ISAKMP SA

sh crypto ipsec sa peer 189.30.132.234

interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 200.169.145.222
protected vrf: (none)
local ident (addr/mask/prot/port): (200.169.145.222/255.255.255.255/47/0 )
remote ident (addr/mask/prot/port): (189.30.132.234/255.255.255.255/47/0 )
current_peer 189.30.132.234 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 1, #pkts encrypt: 1, #pkts digest: 1
#pkts decaps: 2, #pkts decrypt: 2, #pkts verify: 2
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 1, #recv errors 0
local crypto endpt.: 200.169.145.222, remote crypto endpt.: 189.30.132.234
path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0/1
current outbound spi: 0xADFF9FE5(2919210981)

PFS (Y/N): N, DH group: none

inbound esp sas:
spi: 0xF564F058(4117033048)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2003, flow_id: FPGA:3, sibling_flags 80000046, crypto map: Tunnel0head-0
sa timing: remaining key lifetime (k/sec): (4538901/86210)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xADFF9FE5(2919210981)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2004, flow_id: FPGA:4, sibling_flags 80000046, crypto map: Tunnel0head-0
sa timing: remaining key lifetime (k/sec): (4538901/86210)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
outbound ah sas:
outbound pcp sas:

sh crypto ipsec sa peer 189.75.57.218

interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 200.169.145.222
protected vrf: (none)
local ident (addr/mask/prot/port): (200.169.145.222/255.255.255.255/47/0 )
remote ident (addr/mask/prot/port): (189.75.57.218/255.255.255.255/47/0 )
current_peer 189.75.57.218 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 1, #pkts encrypt: 1, #pkts digest: 1
#pkts decaps: 1, #pkts decrypt: 1, #pkts verify: 1
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 200.169.145.222, remote crypto endpt.: 189.75.57.218
path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0/1
current outbound spi: 0x6F4A8838(1867155512)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0xECDD5F37(3973930807)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2001, flow_id: FPGA:1, sibling_flags 80000046, crypto map: Tunnel0-

head-0
sa timing: remaining key lifetime (k/sec): (4574706/85998)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0x6F4A8838(1867155512)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2002, flow_id: FPGA:2, sibling_flags 80000046, crypto map: Tunnel0head-0
sa timing: remaining key lifetime (k/sec): (4574706/85998)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
outbound ah sas:
outbound pcp sas:

#SPOKE
RTO_INT_CATGOI#sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst
src
state
conn-id status
200.169.145.222 189.30.132.234 QM_IDLE
IPv6 Crypto ISAKMP SA

1001 ACTIVE

RTO_INT_CATGOI#sh crypto ipsec sa

interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 189.30.132.234
protected vrf: (none)
local ident (addr/mask/prot/port): (189.30.132.234/255.255.255.255/47/0 )
remote ident (addr/mask/prot/port): (200.169.145.222/255.255.255.255/47/0 )
current_peer 200.169.145.222 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 2, #pkts encrypt: 2, #pkts digest: 2
#pkts decaps: 1, #pkts decrypt: 1, #pkts verify: 1
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 189.30.132.234, remote crypto endpt.: 200.169.145.222
path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/1.2000
current outbound spi: 0xF564F058(4117033048)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0xADFF9FE5(2919210981)

transform: esp-aes esp-sha-hmac ,

in use settings ={Tunnel, }
conn id: 2001, flow_id: Onboard VPN:1, sibling_flags 80000046, crypto map:
Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4595799/86159)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xF564F058(4117033048)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2002, flow_id: Onboard VPN:2, sibling_flags 80000046, crypto map:
Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4595799/86159)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
outbound ah sas:
outbound pcp sas:

RTO-INT-CATFLO#sh crypto isakmp sa

IPv4 Crypto ISAKMP SA
dst
src
state
conn-id status
200.169.145.222 189.75.57.218 QM_IDLE
IPv6 Crypto ISAKMP SA

1001 ACTIVE

RTO-INT-CATFLO#sh crypto ipsec sa

interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 189.75.57.218
protected vrf: (none)
local ident (addr/mask/prot/port): (189.75.57.218/255.255.255.255/47/0 )
remote ident (addr/mask/prot/port): (200.169.145.222/255.255.255.255/47/0 )
current_peer 200.169.145.222 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 1, #pkts encrypt: 1, #pkts digest: 1
#pkts decaps: 1, #pkts decrypt: 1, #pkts verify: 1
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 189.75.57.218, remote crypto endpt.: 200.169.145.222
path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/0.2000
current outbound spi: 0xECDD5F37(3973930807)
PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x6F4A8838(1867155512)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2001, flow_id: Onboard VPN:1, sibling_flags 80000046, crypto map:
Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4531643/85916)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xECDD5F37(3973930807)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2002, flow_id: Onboard VPN:2, sibling_flags 80000046, crypto map:
Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4531643/85916)

Roteamento
#HUB
ip route 192.168.148.0 255.255.255.0 192.168.222.2
ip route 192.168.162.0 255.255.255.0 192.168.222.3
#SPOKE FLO
Ip route 187.18.16.0 255.255.240.0 192.168.222.1
ip route 192.168.162.0 255.255.255.0 192.168.222.3
#SPOKE-GOI
Ip route 187.18.16.0 255.255.240.0 192.168.222.1
ip route 192.168.148.0 255.255.255.0 192.168.222.2

Verificao roteamento
#SPOKE FLO
RTO-INT-CATFLO#sh dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
N - NATed, L - Local, X - No Socket
# Ent --> Number of NHRP entries with same NBMA peer
NHS Status: E --> Expecting Replies, R --> Responding
UpDn Time --> Up or Down Time for a Tunnel

==================================================
========================
Interface: Tunnel0, IPv4 NHRP Details
Type:Spoke, NHRP Peers:2,
# Ent Peer NBMA Addr Peer Tunnel Add State UpDn Tm Attrb
----- --------------- --------------- ----- -------- ----1 200.169.145.222 192.168.222.1 UP 03:02:36
S
1 189.30.132.234 192.168.222.3 UP 00:07:43 DX