VPN之DSVPN的介绍

小咪咪 2022-09-08 03:45 15阅读 0赞

### 定义 ###

动态智能VPN（Dynamic Smart Virtual Private Network），简称DSVPN，是一种在Hub-Spoke组网方式下为公网地址动态变化的分支之间建立VPN隧道的解决方案。

### 目的 ###

越来越多的企业希望建立Hub-Spoke方式的IPSec VPN网络将企业总部（Hub）与地理位置不同的多个分支（Spoke）相连，从而加强企业的通信安全、降低通信成本。当企业总部采用静态的公网地址接入Internet，分支机构采用动态的公网地址接入Internet时，使用传统的IPSec、GRE over IPSec等技术构建VPN网络将存在一个问题，即分支之间无法直接通信（源分支无法获取目的分支公网地址，也就无法在分支之间直接建立隧道），所有分支之间的通信数据只能由总部中转，如图5-1所示。

图5-1  企业典型Hub-Spoke组网（配置DSVPN之前）

![83c82cdb83d7883e32a8fff4dc64ad4a.png][]

通过总部中转流量的办法来解决分支与分支间的通信会带来如下问题：

·总部在中转分支间的数据流时会消耗总部Hub的CPU及内存资源，造成资源紧张。

·总部要对分支间的数据流封装和解封装，会引入额外的网络延时。

另外，当IPSec网络规模不断扩展时，为减少路由配置和维护，需要部署动态路由协议。但IPSec和动态路由协议之间存在一个基础问题，动态路由协议依赖于组播报文或广播报文进行路由更新，而IPSec不支持广播协议报文和组播协议报文的传输。

在此背景下，华为提出了DSVPN解决方案，它通过将下一跳解析协议NHRP（Next Hop Resolution Protocol）和mGRE（multipoint Generic Routing Encapsulation）技术与IPSec相结合解决了上述问题：

·DSVPN通过NHRP协议动态收集、维护和发布各节点的公网地址等信息，解决了源分支无法获取目的分支公网地址的问题，从而可在分支与分支之间建立动态VPN隧道，实现分支与分支间的直接通信，进而减轻总部的负担、避免网络延时。

·DSVPN借助mGRE技术，使VPN隧道能够传输组播协议报文和广播协议报文，并且一个Tunnel接口可与多个对端建立VPN隧道，减少了配置VPN隧道的工作量；在新增分支或分支公网地址发生变化时，也能自动维护总部与分支之间的隧道关系，而不用调整总部的隧道配置，使得网络维护变得更智能化。

如[图2][2]所示为一个采用DSVPN解决方案构建的VPN网络。

图5-2  企业Hub-Spoke组网（配置DSVPN之后）

![ccb43d8ed562abf57e5432b513b6e98d.png][]

### 受益 ###

·降低VPN网络构建成本

DSVPN可以实现分支和总部以及分支之间的动态全连接，分支不需要单独购买静态的公网地址，节省企业开支。

·简化总部Hub和分支Spoke配置

总部Hub和分支Spoke上配置的Tunnel接口从多个点对点GRE隧道接口变更为一个mGRE隧道接口。当为DSVPN网络添加新的分支Spoke时，企业网络管理员不需要更改总部Hub或任何当前分支Spoke上的配置，只需在新的分支Spoke进行配置，之后新的分支Spoke自动向总部Hub进行动态注册。

·降低分支间数据传输时延

由于分支间可以动态构建隧道，业务数据可以直接转发，不用再经过总部，减少了数据转发的延迟，提升了转发性能和效率。

DSVPN在中小型网络中的应用[解决方案][Link 1]

在中小型网络中，分支机构的数目很少，可以选择部署非shortcut方式的DSVPN实现分支机构间直接通信。

图5-11  中小型网络部署DSVPN

![c1ba91944e1b2316d28249e4bf587deb.png][]

如[图5-11][5-11]所示，分支Spoke1和分支Spoke2通过公网与总部Hub相连。部署非shortcut方式的DSVPN后，分支Spoke1和分支Spoke2间可以相互学习到目的分支的路由，路由下一跳直接为目的分支Spoke的Tunnel地址，各分支Spoke分别按照目的Spoke的Tunnel地址查找其公网地址，动态建立mGRE隧道。mGRE隧道建立后，分支间即可直接进行通信，所有流量不再通过总部Hub。

DSVPN在大型网络中的应用[解决方案][Link 1]

在大型网络中，分支机构很多，部署非shortcut方式DSVPN会提高对分支Spoke的路由表容量和性能的要求。在不升级分支Spoke的情况下，选择部署shortcut方式DSVPN，可以减少分支Spoke的路由表项，降低对分支Spoke的路由表容量和性能要求。

图5-12  大型网络部署DSVPN

![d048fda38c9afd9cc993a67cb4811860.png][]

如[图5-12][5-12]所示，部署shortcut方式DSVPN后，所有分支Spoke只能学习到总部的路由，路由下一跳全部是Hub的Tunnel地址。各分支Spoke只能以目的Spoke的私网地址查找其公网地址，动态建立mGRE隧道。动态mGRE隧道建立后，分支间即可直接进行通信，所有流量不再通过总部Hub。

[83c82cdb83d7883e32a8fff4dc64ad4a.png]: /images/20220829/01a73ba503d34d7f857c777299eaf66d.png
[2]: https://support.huawei.com/enterprise/zh/doc/EDOC1100069364/a485316c#fig_dc_fd_dsvpn_000202
[ccb43d8ed562abf57e5432b513b6e98d.png]: /images/20220829/b5cbccc3bd84441b915f969b94b4e12d.png
[Link 1]: https://www.bjitwx.com/
[c1ba91944e1b2316d28249e4bf587deb.png]: /images/20220829/c0b851378e34405592028273867ec0e1.png
[5-11]: https://support.huawei.com/enterprise/zh/doc/EDOC1100069364/53906101#fig_dc_fd_dsvpn_001001
[d048fda38c9afd9cc993a67cb4811860.png]: /images/20220829/d15a5b311a54467d9919e8bb1cf53955.png
[5-12]: https://support.huawei.com/enterprise/zh/doc/EDOC1100069364/24975197#fig_dc_fd_dsvpn_001101