Серверная Админа | Компьютерны… on Telegram: “👋 Привет, сетевой друг! Сегодня про NHRP (Next…”

👋 Привет, сетевой друг!

Сегодня про NHRP (Next Hop Resolution Protocol) - протокол, который помогает маршрутизаторам в DMVPN находить друг друга и строить прямые туннели, не гоняя весь трафик через центральный хаб.

🟣Представим сеть из трёх офисов:

       HUB
      /   \
   SPOKE1 SPOKE2

У филиалов есть GRE-туннели до HUB. Когда SPOKE1 отправляет трафик в сеть SPOKE2, пакеты сначала идут через центральный маршрутизатор, хотя филиалы могут связаться напрямую.
NHRP позволяет узнать реальный NBMA-адрес удалённого филиала (например, публичный IP) и использовать его для прямого соединения.

🟣Сначала филиалы регистрируются на HUB, который работает как NHRP Server (NHS). Например, SPOKE2 сообщает:

Tunnel IP: 10.0.0.3
NBMA IP:   203.0.113.20

HUB сохраняет эту связку. Когда SPOKE1 понадобится адрес SPOKE2, он сможет получить его через NHRP Resolution Request/Reply.

🟣Настройка Cisco IOS. На HUB:

interface Tunnel0
 ip address 10.0.0.1 255.255.255.0
 ip nhrp network-id 100
 ip nhrp map multicast dynamic
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint

На SPOKE1:

interface Tunnel0
 ip address 10.0.0.2 255.255.255.0
 ip nhrp network-id 100
 ip nhrp nhs 10.0.0.1
 ip nhrp map 10.0.0.1 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint

198.51.100.1 - внешний адрес HUB. Это только GRE/NHRP-часть конфигурации, без маршрутизации и IPsec.

🟣В DMVPN Phase 3 появляется механизм shortcut. SPOKE1 сначала отправляет пакет через HUB, а тот возвращает NHRP Redirect, подсказывая, что есть более короткий путь.
SPOKE1 запрашивает NBMA-адрес назначения и после Resolution Reply может отправлять трафик напрямую:

SPOKE1 → HUB → SPOKE2
           ↓
      NHRP Redirect
           ↓
SPOKE1 ─────────→ SPOKE2
На HUB включаем:
ip nhrp redirect
На филиалах:
ip nhrp shortcut

🟣Проверить NHRP-соседей и динамические соответствия адресов:

show ip nhrp
show dmvpn

Сам NHRP не рассчитывает маршруты и не создаёт GRE-туннели. Он сообщает маршрутизатору, по какому NBMA-адресу искать удалённый узел. Благодаря этому DMVPN может переключить трафик с маршрута через HUB на прямой путь между филиалами.

Серверная Админа | Zeroday | #NHRP