[發明專利]在DMVPN中實現互聯網任意兩端安全通信的方法

有效

• 申請號: 200810034127.X
• 申請日: 2008-02-29
• 公開（公告）號: CN101521621A
• 公開（公告）日: 2009-09-02
• 發明（設計）人: 汪革;方昊;張曄
• 申請（專利權）人: 上海博達數據通信有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06
• 代理公司: 上海天翔知識產權代理有限公司
• 代理人: 孫景宜

1.在DMVPN中實現互聯網任意兩端安全通信的方法，該方法利用DMVPN 在互聯網中構建一個由中心及分部都采用mGRE技術通信設備所組建的以星 型結構為主，網狀結構為輔的拓撲網絡；該網絡中通過設置IPSEC保證通信安 全；利用NHRP協議使分部間可以相互直接通信；并且擴展NHRP協議，利 用NHRP協議中的extension?header，完成流量分割；

其特征在于：包括以下具體步驟：

a.中心與分部間的通信步驟：

(1)所有spoke使用NHRP協議封裝報文向hub發送本地協議地址和NBMA 地址的綁定信息；

(2)需要流量分割的節點處理發送地址的綁定信息時還要在NHRP的 extension?header中加入流量分割算法和相關信息；

(3)hub接收這些信息并保存在本地緩存中；

b.分部與分部間的通信步驟：

(1)spoke先發送對端sopke的協議地址信息到hub；hub查找緩存，選擇合 適緩存后把協議地址對應的NBMA地址返回給spoke；

(2)spoke根據收到的NBMA地址就可以直接和對端spoke通信了；同時也 緩存該信息，以后在與該spoke通信時，直接查本地緩存就可以了；

(3)上述所有的緩存都有一定超時，超時后刪除。

2.根據權利要求1的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：所述分部與分部間的通信步驟中hub在查找緩存時，對于無流量分 割的緩存，直接找到后返回即可；對于有流量分割的緩存需要找到所有可用的 緩存，再根據算法要求選擇一個返回給spoke。

3.根據權利要求1的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：所述方法中所涉及的DMVPN的流量分割技術在某個節點需要承 受比較大的流量時，可以在該節點增加設備來分擔流量，同時在中心設備中根 據特定的算法協調其他各個節點和該節點的數據流向。

4.根據權利要求3的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：所述特定的算法可以是輪詢、基于權重算法。

5.根據權利要求1的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：通信中如果有負載比較大的spoke點，可以在該spoke點增加設備 來減輕spoke的負擔。

6.根據權利要求1的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：配置hub節點的過程如下：

a)配置一個tunnel接口并在接口中使用mGRE的模式；

b)IPSEC相關配置：如設置profile名字，使用的transform-set，同時 將profile名字應用在tunnel接口中用于對該隧道的加密保護；

c)NHRP相關配置：配置multicast?dynamic，主要用于在發送組播報文時 向所有注冊的spoke發送；

d)配置動態路由協議使spoke間獲取對方的下一跳地址。

7.根據權利要求1的在DMVPN中實現互聯網任意兩端安全通信的方法，其 特征在于：配置spoke的過程如下：

a)配置一個tunnel接口并在接口中使用mGRE的模式；

b)IPSEC相關配置：如設置profile名字，使用的transform-set，同時 將profile名字應用在tunnel接口中用于對該隧道的加密保護；

c)配置NHRP：配置中心服務器的協議地址，以及協議地址和NBMA地址的 綁定信息，這樣spoke可以將本身的注冊信息發向正確的中心服務器， 如果需要流量分割還需要在地址綁定信息后加入權重信息；

d)配置動態路由協議使spoke間獲取對方的下一跳地址。