【DMVPN】フェーズ1をわかりやすく解説

DMVPN には、フェーズ1〜3の3つの動作モードがあります。この記事ではフェーズ1を取り上げ、Cisco ルータ4台の検証構成で設定と動作を確かめます。

フェーズ1では、スポークが NHRP を使って自分のアドレスをハブに登録し、ハブはマルチポイント GRE（mGRE）の1つのトンネルインターフェースで全スポークとつながります。スポーク側のトンネルはハブ宛ての固定のトンネルなので、スポーク同士が直接トンネルを張ることはありません。スポーク間の通信はすべてハブで折り返すため、スポークが増えるほどハブの処理負荷が高くなります。

DMVPN フェーズ1の仕組み

DMVPN は、mGRE と NHRP を組み合わせて、多数の拠点を1つのオーバーレイネットワークにまとめる仕組みです。mGRE と NHRP そのものの説明は 【DMVPN】mGRE、NHRPの概要をわかりやすく解説 にまとめています。

NHRP で扱うアドレスは2種類あります。トンネルを運ぶ外側のアドレスを NBMA アドレス、トンネルインターフェースに付けたアドレスをトンネルアドレスと呼びます。ハブは NHS（ネクストホップサーバ）として、各スポークから登録された「トンネルアドレスと NBMA アドレスの対応」を NHRP テーブルに持ちます。

3つのフェーズの違いは、スポーク間の通信をどう扱うかです。

検証構成

R2 がハブ、R5 と R6 がスポークです。R3 はアンダーレイ（インターネットの代わり）のルータで、DMVPN の設定はしません。トンネルアドレスは 192.168.0.0/24 で、末尾をルータ番号にそろえています。

アンダーレイの設定

アンダーレイのアドレスとルートを設定する

まず、トンネルを運ぶアンダーレイネットワークを作ります。アンダーレイは 169.254.0.0/16 の範囲のサブネットで構成し、各ルータの間で疎通できれば準備完了です。R2・R5・R6 は、アンダーレイ全体（169.254.0.0/16）への経路を R3 に向けています。

R2

R2(config)#interface FastEthernet0/0.23
R2(config-subif)# encapsulation dot1Q 23
R2(config-subif)# ip address 169.254.23.2 255.255.255.0
R2(config-subif)#exit
R2(config)#ip route 169.254.0.0 255.255.0.0 169.254.23.3

R3

R3(config)#interface FastEthernet0/0.23
R3(config-subif)# encapsulation dot1Q 23
R3(config-subif)# ip address 169.254.23.3 255.255.255.0
R3(config)#interface FastEthernet0/0.35
R3(config-subif)# encapsulation dot1Q 35
R3(config-subif)# ip address 169.254.35.3 255.255.255.0
R3(config)#interface FastEthernet0/0.36
R3(config-subif)# encapsulation dot1Q 36
R3(config-subif)# ip address 169.254.36.3 255.255.255.0

R5

R5(config)#interface FastEthernet0/0.35
R5(config-subif)# encapsulation dot1Q 35
R5(config-subif)# ip address 169.254.35.5 255.255.255.0
R5(config-subif)#exit
R5(config)#ip route 169.254.0.0 255.255.0.0 169.254.35.3

R6

R6(config)#interface FastEthernet0/0.36
R6(config-subif)# encapsulation dot1Q 36
R6(config-subif)# ip address 169.254.36.6 255.255.255.0
R6(config-subif)#exit
R6(config)#ip route 169.254.0.0 255.255.0.0 169.254.36.3

ping：ハブからスポークのアンダーレイに届くか

ハブの R2 から、R5 と R6 のアンダーレイ側のアドレスへ ping します。ここが通らないと、トンネルも NHRP の登録も成り立ちません。

R2

R2#ping 169.254.35.5
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 169.254.35.5, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 24/36/48 ms
R2#ping 169.254.36.6
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 169.254.36.6, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/24/44 ms

ハブルータ（R2）の設定

ハブに mGRE のトンネルを作る

ハブのトンネルインターフェースを設定します。ポイントは、tunnel destination を書かずに tunnel mode gre multipoint（mGRE）にしていることです。これで1つのトンネルインターフェースで複数のスポークを受け入れられます。宛先の NBMA アドレスは、スポークから届く NHRP の登録で分かります。

R2

R2(config)#interface Tunnel0
R2(config-if)# ip address 192.168.0.2 255.255.255.0
R2(config-if)# ip nhrp authentication DMVPNPWD
R2(config-if)# ip nhrp map multicast dynamic
R2(config-if)# ip nhrp network-id 1
R2(config-if)# tunnel source 169.254.23.2
R2(config-if)# tunnel mode gre multipoint

通常の GRE トンネルの設定（アドレス、tunnel source）に加えて、ハブで使っている DMVPN の設定は次のとおりです。

スポーク1（R5）の設定

スポークにハブ宛てのトンネルを作る

スポークの R5 を設定します。フェーズ1のスポークは、tunnel destination でハブの NBMA アドレスを指定した、ふつうの GRE トンネルです（tunnel mode は既定の GRE のまま）。トンネルの行き先がハブに固定されるので、スポーク間の通信もすべてハブへ送られます。

R5

R5(config)#interface Tunnel0
R5(config-if)# ip address 192.168.0.5 255.255.255.0
R5(config-if)# ip nhrp authentication DMVPNPWD
R5(config-if)# ip nhrp map 192.168.0.2 169.254.23.2
R5(config-if)# ip nhrp map multicast 169.254.23.2
R5(config-if)# ip nhrp network-id 1
R5(config-if)# ip nhrp nhs 192.168.0.2
R5(config-if)# tunnel source 169.254.35.5
R5(config-if)# tunnel destination 169.254.23.2

通常の GRE トンネルの設定に加えて、スポークで使っている DMVPN の設定は次のとおりです（ip nhrp authentication と ip nhrp network-id はハブと同じ意味です）。

トンネルのアップと show dmvpn：ハブに登録されたか

R2 と R5 の設定が終わると、R5 のトンネルインターフェースがアップします。

R5

%LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to up

R2 で show dmvpn を実行し、R5 が登録されているかを確認します。

R2

R2#show dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
        N - NATed, L - Local, X - No Socket
        # Ent --> Number of NHRP entries with same NBMA peer
        NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting
        UpDn Time --> Up or Down Time for a Tunnel
==============================================================


Interface: Tunnel0, IPv4 NHRP Details
Type:Hub, NHRP Peers:2,


# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb
----- --------------- --------------- ----- -------- -----
     1 169.254.35.5        192.168.0.5    UP 00:12:30     D

パケットキャプチャ：NHRP の登録の中身

R5 が送った NHRP Registration Request をキャプチャで見てみます。キャプチャは R5 と R3 の間（VLAN 35）で取ったものです。NHRP は GRE でカプセル化され、外側の IP ヘッダはアンダーレイのアドレス（R5 → R2）になっています。

▸ 802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 351▸ Internet Protocol Version 4, Src: 169.254.35.5, Dst: 169.254.23.2▸ Generic Routing Encapsulation (NHRP)2▾ Next Hop Resolution Protocol (NHRP Registration Request)  ▸ NHRP Fixed Header  ▾ NHRP Mandatory Part      Source Protocol Len: 4      Destination Protocol Len: 43    ▸ Flags: 0x8002, Uniqueness Bit, Cisco NAT Supported      Request ID: 0x00010004 (65540)4      Source NBMA Address: 169.254.35.5      Source Protocol Address: 192.168.0.5      Destination Protocol Address: 192.168.0.2    ▸ Client Information Entry  ▸ Responder Address Extension  ▸ Forward Transit NHS Record Extension  ▸ Reverse Transit NHS Record Extension  ▸ NHRP Authentication Extension  ▸ Cisco NAT Address Extension  ▸ End of Extension

これに対して、R2 は NHRP Registration Reply を返します。Reply は Request をもとに作られるため、NHRP の中のアドレス（Source NBMA Address など）は Request と同じ値のままで、外側の IP ヘッダだけが R2 → R5 の向きになります。

▸ 802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 351▸ Internet Protocol Version 4, Src: 169.254.23.2, Dst: 169.254.35.5▸ Generic Routing Encapsulation (NHRP)2▾ Next Hop Resolution Protocol (NHRP Registration Reply)  ▸ NHRP Fixed Header  ▾ NHRP Mandatory Part      Source Protocol Len: 4      Destination Protocol Len: 4    ▸ Flags: 0x8002, Uniqueness Bit, Cisco NAT Supported      Request ID: 0x00010005 (65541)3      Source NBMA Address: 169.254.35.5      Source Protocol Address: 192.168.0.5      Destination Protocol Address: 192.168.0.2    ▸ Client Information Entry  ▸ Responder Address Extension  ▸ Forward Transit NHS Record Extension  ▸ Reverse Transit NHS Record Extension  ▸ NHRP Authentication Extension  ▸ Cisco NAT Address Extension  ▸ End of Extension

スポーク2（R6）の設定

2台目のスポークを追加する

スポーク2の設定は、スポーク1の設定のうち、トンネルインターフェースの IP アドレスと tunnel source のアドレスを変えるだけです。ハブ側の設定は変える必要がありません。

R6

R6(config)#interface Tunnel0
R6(config-if)# ip address 192.168.0.6 255.255.255.0
R6(config-if)# ip nhrp authentication DMVPNPWD
R6(config-if)# ip nhrp map 192.168.0.2 169.254.23.2
R6(config-if)# ip nhrp map multicast 169.254.23.2
R6(config-if)# ip nhrp network-id 1
R6(config-if)# ip nhrp nhs 192.168.0.2
R6(config-if)# tunnel source 169.254.36.6
R6(config-if)# tunnel destination 169.254.23.2

R2 で show dmvpn を実行し、R6 も登録されたことを確認します。

R2

R2#show dmvpn
Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
        N - NATed, L - Local, X - No Socket
        # Ent --> Number of NHRP entries with same NBMA peer
        NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting
        UpDn Time --> Up or Down Time for a Tunnel
=========================================================


Interface: Tunnel0, IPv4 NHRP Details
Type:Hub, NHRP Peers:2,


# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb
----- --------------- --------------- ----- -------- -----
     1 169.254.35.5        192.168.0.5    UP 00:12:30     D
     1 169.254.36.6        192.168.0.6    UP 00:00:18     D

R5 に加えて R6 のエントリ（NBMA アドレス 169.254.36.6、トンネルアドレス 192.168.0.6）が、State UP、Attrb D で並んでいます。

疎通試験

オーバーレイで疎通を確かめる

これで DMVPN によるオーバーレイネットワーク（192.168.0.0/24）ができました。R2（ハブ）から R5、R6（スポーク）のトンネルアドレスへ ping します。

R2

R2#ping 192.168.0.5
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.5, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 24/33/40 ms
R2#ping 192.168.0.6
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.6, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 40/43/48 ms

次に、スポーク間の通信として R6 から R5 へ ping します。

R6

R6#ping 192.168.0.5
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.5, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 52/67/92 ms

パケットキャプチャ：スポーク間の通信はハブを折り返す

R6 から R5 への ping を R2（ハブ）でキャプチャすると、ping 1往復で4つのパケットが見えます。同じ Echo request が2回出ているのは、R6 から届いたパケットと、R2 が R5 へ転送したパケットの両方を見ているからです。2回目は R2 がルーティングした分だけ TTL が1つ減っています。

このように、フェーズ1ではスポーク同士が同じ 192.168.0.0/24 にいても、通信は必ずハブを通ります。スポーク間で直接トンネルを張れるようにしたのがフェーズ2です。

うまくいかないときの切り分け

まとめ

フェーズ1では、ハブだけが mGRE で、スポークはハブ宛ての GRE トンネルを持ちます。スポークは NHRP でハブに登録し、スポーク間の通信はハブを折り返します。

関連記事：【DMVPN】mGRE、NHRPの概要をわかりやすく解説 ／ 【基本】GREトンネルの設定方法 ／ 【DMVPN】フェーズ1上のOSPF（Broadcastタイプ） ／ 【DMVPN】フェーズ2をわかりやすく解説