[发明专利]在DMVPN中实现互联网任意两端安全通信的方法

权利要求书

1.在DMVPN中实现互联网任意两端安全通信的方法，该方法利用DMVPN 在互联网中构建一个由中心及分部都采用mGRE技术通信设备所组建的以星 型结构为主，网状结构为辅的拓扑网络；该网络中通过设置IPSEC保证通信安 全；利用NHRP协议使分部间可以相互直接通信；并且扩展NHRP协议，利 用NHRP协议中的extension header，完成流量分割；

其特征在于：包括以下具体步骤：

a.中心与分部间的通信步骤：

(1)所有spoke使用NHRP协议封装报文向hub发送本地协议地址和NBMA 地址的绑定信息；

(2)需要流量分割的节点处理发送地址的绑定信息时还要在NHRP的 extension header中加入流量分割算法和相关信息；

(3)hub接收这些信息并保存在本地缓存中；

b.分部与分部间的通信步骤：

(1)spoke先发送对端sopke的协议地址信息到hub；hub查找缓存，选择合 适缓存后把协议地址对应的NBMA地址返回给spoke；

(2)spoke根据收到的NBMA地址就可以直接和对端spoke通信了；同时也 缓存该信息，以后在与该spoke通信时，直接查本地缓存就可以了；

(3)上述所有的缓存都有一定超时，超时后删除。

2.根据权利要求1的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：所述分部与分部间的通信步骤中hub在查找缓存时，对于无流量分 割的缓存，直接找到后返回即可；对于有流量分割的缓存需要找到所有可用的 缓存，再根据算法要求选择一个返回给spoke。

3.根据权利要求1的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：所述方法中所涉及的DMVPN的流量分割技术在某个节点需要承 受比较大的流量时，可以在该节点增加设备来分担流量，同时在中心设备中根 据特定的算法协调其他各个节点和该节点的数据流向。

4.根据权利要求3的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：所述特定的算法可以是轮询、基于权重算法。

5.根据权利要求1的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：通信中如果有负载比较大的spoke点，可以在该spoke点增加设备 来减轻spoke的负担。

6.根据权利要求1的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：配置hub节点的过程如下：

a)配置一个tunnel接口并在接口中使用mGRE的模式；

b)IPSEC相关配置：如设置profile名字，使用的transform-set，同时 将profile名字应用在tunnel接口中用于对该隧道的加密保护；

c)NHRP相关配置：配置multicast dynamic，主要用于在发送组播报文时 向所有注册的spoke发送；

d)配置动态路由协议使spoke间获取对方的下一跳地址。

7.根据权利要求1的在DMVPN中实现互联网任意两端安全通信的方法，其 特征在于：配置spoke的过程如下：

a)配置一个tunnel接口并在接口中使用mGRE的模式；

b)IPSEC相关配置：如设置profile名字，使用的transform-set，同时 将profile名字应用在tunnel接口中用于对该隧道的加密保护；

c)配置NHRP：配置中心服务器的协议地址，以及协议地址和NBMA地址的 绑定信息，这样spoke可以将本身的注册信息发向正确的中心服务器， 如果需要流量分割还需要在地址绑定信息后加入权重信息；

d)配置动态路由协议使spoke间获取对方的下一跳地址。