В сети DMVPN, использующей multipoint GRE (mGRE), периферийные узлы (spokes) должны шифровать трафик, предназначенный для других периферийных узлов. Какая единственная конфигурация требуется на периферийных узлах для применения IPsec к туннелям spokes-to-spokes на основе mGRE?

В DMVPN с mGRE для защиты трафика spoke-to-spoke используется команда tunnel protection ipsec profile на интерфейсе mGRE-туннеля. Эта команда связывает профиль IPsec с туннелем, позволяя динамически устанавливать IPsec SA между периферийными узлами при их взаимодействии. Применение crypto map к интерфейсу mGRE-туннеля не является корректным методом для динамического IPsec в DMVPN, так как crypto map обычно используется для статических или VTI-туннелей. Настройка статических IPsec SA для каждой пары периферийных узлов непрактична и не масштабируется в DMVPN, где соединения spoke-to-spoke устанавливаются динамически. Включение ip nhrp map multicast на центральном узле необходимо для передачи multicast-трафика через DMVPN, но не имеет прямого отношения к применению IPsec для шифрования spoke-to-spoke.