Il termine DMVPN è l’abbreviazione di Dynamic Multipoint Virtual Private Network, queste permettono la creazione di Tunnel VPN dinamici, la modalità di comunicazione è Hub and Spoke, mentre il traffico, se possibile, avviene direttamente Spoke with Spoke.
Per configurare DMVPN abbiamo bisogno di diversi protocolli:

• mGRE  (Multipoint Generic Routing Encapsulation Protocol)
• NHRP (Next Hop Resolution Protocol)
• IGP (Internal Gateway Protocol)
• IPSec

Nella nostra configurazione come protocollo di Routing useremo EIGRP.
Gli apparati su cui ho testato e uso la configurazione che verrà illustrata sono:

• Cisco ASR 1001-X (funzione di Hub)
• Cisco ISR4321 (funzione di Spoke)
• Cisco ISR1117-4P (funzione di Spoke)

Premessa: i Router dovranno essere già configurati per la navigazione su Internet e per il nostro esempio con indirizzi IP Pubblici Statici.

Il primo Router che andiamo a configurare sarà il Cisco ASR 1001-X con la funzione di Hub, prima di tutto determiniamo il tipo di crittografia da usare per proteggere il nostro traffico

crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key xxx address 0.0.0.0
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
 mode tunnel
!
crypto ipsec profile DMVPN
 set security-association lifetime seconds 900
 set transform-set ESP-3DES-SHA

ricordiamoci di sostituire xxx con la key vogliamo usare e che dovremmo impostare uguale anche sui Router Spoke.
Inoltre memorizziamo il nome del profilo DMVPN, che useremo in seguito, quando lo assegneremo all’interfaccia di Tunnel che cripterà il traffico in IPSec.

Per prima cosa definiamo una Interfaccia di Loopback come terminazione del traffico DMVPN, questa parte non è obbligatoria ma personalmente preferisco usarla per non appoggiarmi direttamente all’interfaccia WAN.

interface Loopback0
 description Ip per terminazione DMVPN
 ip address IPPUBBLICO 255.255.255.255
 no ip redirects
 no ip unreachables
 no ip proxy-arp

Il codice a seguire definisce una interfaccia di Tunnel che sarà la terminazione/raccolta delle nostre DMVPN.

interface Tunnel1
 description DMVPN
 bandwidth 51200
 ip address 172.16.1.1 255.255.255.0
 no ip redirects
 ip mtu 1400
 ip hello-interval eigrp 95 30
 ip hold-time eigrp 95 90
 no ip next-hop-self eigrp 95
 no ip split-horizon eigrp 95
 ip nhrp network-id 1
 ip tcp adjust-mss 1360
 tunnel source Loopback0
 tunnel mode gre multipoint
 tunnel key 1
 tunnel protection ipsec profile DMVPN

sulla configurazione appena creata porterei attenzione su alcuni punti.
ip address deve appartenere una classe che metterà in comunicazione tutte le interfacce Tunnel dei Router che parteciperanno alla nostra Intranet.
ip nhrp network-id 1 questo comando definisce il network-id della rete per la quale il protocollo nhrp deve scoprire il next-hop.
tunnel source Loopback0 definisce quale deve essere l’interfaccia su cui vanno terminate le DMVPN, nel nostro caso la Loopback0 che abbiamo creato in precedenza.
tunnel protection ipsec profile DMVPN definisce il profilo IPSec che verrà utilizzato per criptare il traffico, nel nostro caso è il profilo chiamato DMVPN.
Analizziamo ora la parte EIGRP che useremo come Routing Protocol per annunciare le nostre reti private all’interno della Intranet create con le DMVPN.

router eigrp 95
 distribute-list route-map FILTER-ROUTES-IN in Tunnel1
 network 172.16.1.0 0.0.0.255 ##rete DMVPN
 network 192.168.1.0 ##eventuale rete locale che vogliamo propagare

andiamo ad analizzare la parte di configurazione:
distribute-list route-map FILTER-ROUTES-IN in Tunnel1
questa riga ci permette di ricevere solamente le reti che ci interessano, evitando potenziali errori.

ip access-list extended FILTER-DMVPN-ROUTES
 permit ip 172.16.1.0 0.0.0.255 any
ip access-list extended FILTER-INTRANET-ROUTES
 permit ip 192.168.100.0 0.0.0.255 any
 permit ip 192.168.110.0 0.0.0.255 any
ip access-list extended FILTER-MNGT-ROUTES
 permit ip 10.10.0.0 0.0.0.255 any
 permit ip 10.10.10.0 0.0.0.255 any
ip access-list extended FILTER-VOICE-ROUTES
 permit ip 192.168.101.0 0.0.0.255 any
 permit ip 192.168.111.0 0.0.0.255 any
!
route-map FILTER-ROUTES-IN permit 10
 description Filter Mngt Routes from Spoke Routers
 match ip address FILTER-MNGT-ROUTES
!
route-map FILTER-ROUTES-IN permit 20
 description Filter Intranet Routes from Spoke Routers
 match ip address FILTER-INTRANET-ROUTES
!
route-map FILTER-ROUTES-IN permit 30
 description Filter Voice Routes from Spoke Routers
 match ip address FILTER-VOICE-ROUTES
!
route-map FILTER-ROUTES-IN permit 40
 description Filter DMVPN Network
 match ip address FILTER-DMVPN-ROUTES

A questo punto la configurazione del nostro Hub è terminata e possiamo procedere alla parte di configurazione del nostro primo Spoke.
Come prima parte andiamo a configurare il tipo di crittografia che andremo ad utilizzare, chiaramente dovrà essere la stessa che abbiamo già impostato sul nostro Hub, anche la key deve essere la stessa usata in precedenza

crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key xxx address 0.0.0.0
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
 mode tunnel
!
crypto ipsec profile DMVPN
 set security-association lifetime seconds 900
 set transform-set ESP-3DES-SHA

procediamo alla creazione della interfaccia di Tunnel che stabilirà la connessione con il nostro Hub

interface Tunnel1
 description Tunnel DMVPN
 ip address 172.16.1.2 255.255.255.0
 no ip redirects
 ip mtu 1400
 ip hello-interval eigrp 95 30
 ip hold-time eigrp 95 90
 no ip next-hop-self eigrp 95
 no ip split-horizon eigrp 95
 ip nhrp map multicast IPPUBBLICO HUB
 ip nhrp map 172.16.1.1 IPPUBBLICO HUB
 ip nhrp network-id 1
 ip nhrp nhs 172.16.1.1
 ip tcp adjust-mss 1360
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 tunnel key 1
 tunnel protection ipsec profile DMVPN

nella configurazione della interfaccia Tunnel andrei ad analizzare alcune righe importanti:
ip nhrp map multicast IPPUBBLICO HUB e ip nhrp map multicast IPPUBBLICO HUB queste ci permettono il discovery tramite il protocollo nhrp del next-hop, quindi è molto importante andare ad indicare l’indirizzo dell’interfaccia di Tunnel del nostro Hub, nel nostro caso 172.16.1.1.
Inoltre ricordiamoci di applicare la protezione IPSec con il comando tunnel protection ipsec profile DMVPN dove il nome DMVPN deve essere coerente con il profilo che abbiamo creato in precedenza.
Ultimo step, andare ad attivare il routing protocol EIGRP per annunciare le nostre reti alla Intranet DMVPN

router eigrp 95
 network 10.10.0.0 0.0.0.255 ##rete per il MNGT
 network 172.16.1.0 0.0.0.255 ##rete per Intranet DMVPN
 network 192.168.100.0 ##rete LAN Dati
 network 192.168.101.0 ##rete LAN Voce

La stessa procedura andrà eseguita su tutti i router Spoke.

In questa guida ho cercato di riassumere le parti più importanti della configurazione, ci sono ancora tanti fattori come la possibilità di creare più Tunnel, magari verso Hub diversi per questioni di HA e anche molto importante attivare la QOS, molto utile ad esempio per priorizzare il traffico Voce nella nostra Intranet.
Tutta la documentazione ufficiale la potete trovare sul sito Cisco direttamente a questo link Cisco Dynamic Multipoint VPN.