论文总字数：31068字

摘 要

为了使公司建立通过Internet互连其站点的大型IPsec网络，您需要能够扩展IPsec网络。 IPsec对两个端点（对等）之间的通信进行加密，并且加密是由两个端点使用共享的“秘密”完成的。由于此秘密仅在这两个端点之间共享，因此加密网络本质上是点对点链接的集合。因此，IPsec本质上是一个点对点隧道网络。扩展大型点对点网络的最可行方法是将其组织为中心辐射型或全（部分）网状网络。在大多数网络中，大多数IP流量都在分支和集线器之间，而很少在分支之间，因此，星型设计通常是最佳选择。而传统的IPSec VPN在大量的不同站点间的网络通信中，面临着可扩展性低、设备配置繁杂等问题。为了解决这些问题，思科公司研发出了动态多点VPN技术，简称DMVPN，它具有IPsec和一些新增强功能的多点GRE（mGRE）和下一跳解析协议NHRP用以弥补IPSec VPN在大型企业网络中应用的缺陷。

在DMVPN为主的网络架构中，可能由于中心站点路由器的负载压力过大，有可能出现整个网络运行慢、网络瘫痪等风险，所以需要一种可以缓解中心站点的技术。Group Encrypted Transport （GETVPN） 是一种新型的VPN技术，它能解决在大型网络架构中部署IPsec VPN的多种问题。

关键词：DMVPN；VPN；标签；协议；GET VPN；加密

ABSTRACT

In order for a company to build a large-scale IPsec network that interconnects its sites via the Internet, you need to be able to expand the IPsec network. IPsec encrypts the communication between two endpoints (peer-to-peer), and the encryption is done by the two endpoints using a shared "secret". Since this secret is only shared between these two endpoints, the encrypted network is essentially a collection of point-to-point links. Therefore, IPsec is essentially a point-to-point tunnel network. The most feasible way to expand a large point-to-point network is to organize it as a hub-and-spoke or full (partial) mesh network. In most networks, most IP traffic is between branches and hubs, and rarely between branches, so a star design is usually the best choice. However, the traditional IPSec VPN faces the problems of low scalability and complicated equipment configuration in the network communication between a large number of different sites. In order to solve these problems, Cisco has developed a dynamic multipoint VPN technology, referred to as DMVPN, which has IPsec and some new enhanced multipoint GRE (mGRE) and next hop resolution protocol NHRP to compensate for the use of IPSec VPN in large enterprise networks. Defects in the application.

In a DMVPN-based network architecture, due to the excessive load pressure of the central site router, there may be risks such as slow operation of the entire network and network paralysis. Therefore, a technology that can alleviate the central site is needed. Group Encrypted Transport (GETVPN) is a new type of VPN technology, which can solve many problems of deploying IPsec VPN in large-scale network architecture.

Keywords: DMVPN;VPN; Label; Agreement; GETVPN; Encryption

目 录

摘 要 I

ABSTRACT II

第一章 绪 论 1

1.1引言 1

1.2课题背景 1

1.3课题意义 1

1.4本文研究内容 2

1.5本文工作安排 2

第二章 动态多点VPN（DMVPN） 3

2.1 IPSec VPN技术概述 3

2.1.1 原生IPSec VPN网络 4

2.1.2 与GRE组合的IPSecVPN网络 4

2.2 DMVPN技术概述 4

2.3 DMVPN主要技术 5

2.3.1 多点通用路由封装协议mGRE 6

2.3.2 下一跳解析协议NHRP 6

2.4 DMVPN通信 6

2.4.1 中心站点与分支站点的通信 6

2.4.2 分支站点间的通信 7

2.5 本章小结 7

第三章 群组加密传输VPN（GETVPN） 8

3.1 GET VPN的技术架构 8

3.2 GET VPN的特点 8

3.3 GET VPN的技术原理 9

3.4 GET VPN的信任组成员ACL 10

3.5 本章小结 11

第四章 模拟安全高效网络架构 12

4.1实验场景简介 12

4.2 实验平台的选择 12

4.2.1 操作系统平台的选择 12

4.2.2 仿真平台的选择 12

4.2.3 仿真平台的使用 13

4.3 实验设计与实现 14

4.3.1 实验环境及拓扑结构 14

4.3.2 实验步骤 15

4.3.3 实验结果验收 15

4.4 本章小结 20

第五章 总结与展望 21

5.1 总结 21

5.2 展望 21

第六章 结束语 22

谢 辞 23

参考文献 23

附 录 24

各路由器的配置 24

第一章 绪 论

1.1引言

随着当前互联网行业的不断扩大与发展，越来越多的新兴行业与传统行业开始与网络产生密切的连接，其中又不乏规模庞大、产业雄厚的大型企业。这些与互联网相关业务，其所涉及的经济效益、社会效益十分广泛，所以网络信息安全性、高效性早早地就被提上了议程。当企业发展到一定程度，会出现在多地有分支机构的情况，多个分支之间往往需要频繁地互通，这种跨区域的数据传输，对IPSec VPN技术的使用是比较合理的选择。

而如今随着网络技术的发展和实际需求的不断升级，在企业构建网络的实践过程中发现，早期的Hub-Spoke网络结构暴露出来的弊端已经日益明显。企业需要在自己的专线和VPN网络中保证任意节点之间的自由互通，而在这样的需求面前，传统的IPSec VPN技术日渐暴露自己的劣势。

1.2课题背景

如果是需要构建一个点对点地VPN网络结构的话，一般可以选择IPSec VPN技术。在此之上还需要构建一个有多个分支组成的大型网络架构，可以搭建以总部为核心的全互联或半互联的网络架构。在实际生产场景中，大部分企业会选择将自己的主要网络服务器和数据库资源集中于一个特定的数据中心，而分支机构则通过该中心对核心数据进行上传和下载，这样的架构大多可以满足企业的日常需求。而如今企业发展庞大，分支机构不断增加，此时传统IPSec VPN面临挑战：在两个支部相互通信时，仍需先通过中心站点，才能到达彼此。而这样路由情况会使得访问过程出现严重的延迟，也会给作为中心站点设备带来极大的网络资源负担，严重影响使用体验，也给整个网络架构带了极大隐患。

剩余内容已隐藏，请支付后下载全文，论文总字数：31068字