Netzwerk & WAN
DMVPN
DMVPN (Dynamic Multipoint VPN) ist ein Cisco-Konzept, das viele Standorte über eine Zentrale koppelt und bei Bedarf direkte, verschlüsselte Tunnel aufbaut.
- mGRE + NHRP + IPsec
- Zero-Touch-Skalierung am Hub
- Hub-Spoke mit Spoke-zu-Spoke
- Phasen 1, 2, 3
- Cisco-Architektur
DMVPN (Dynamic Multipoint VPN) ist eine Cisco-Architektur für skalierbare Standortnetze. Sie kombiniert auf einem einzigen Tunnel-Interface drei Bausteine: mGRE für die Tunnel, NHRP für die Adressauflösung und IPsec für die Verschlüsselung, dazu ein dynamisches Routing-Protokoll.
Das Ergebnis ist ein Hub-and-Spoke-Overlay, das bei Bedarf direkte Spoke-zu-Spoke-Tunnel aufbaut, ohne dass am Hub pro Spoke etwas konfiguriert werden muss. Dieser Artikel erklärt die drei Phasen, die Routing-Besonderheiten, dynamische Spoke-Adressen, Redundanz über Dual-Hub und die Cisco-Bindung samt Alternativen. Die Bausteine selbst sind eigene Themen.
1. Das Prinzip: konstante Hub-Konfiguration
Der zentrale Nutzen von DMVPN: Die Konfiguration am Hub wächst nicht mit der Zahl der Spokes. Ein mGRE-Interface und ein IPsec-Profil bedienen alle. Neue Spokes werden nur am Spoke selbst eingerichtet und registrieren sich per NHRP beim Hub. Das macht den Rollout vieler Filialen schlank.
2. Die drei Phasen
DMVPN ist in drei Ausbaustufen organisiert, die sich in der Spoke-zu-Spoke-Fähigkeit und im Routing unterscheiden:
| Phase | Spoke-Tunnel | Spoke-zu-Spoke | Summarization am Hub |
|---|---|---|---|
| 1 | statisches P2P-GRE zum Hub | nein, immer über den Hub | ja |
| 2 | mGRE (dynamisch) | ja, direkt on demand | nein, verhindert sonst die Spoke-zu-Spoke-Auflösung |
| 3 | mGRE + NHRP-Shortcut | ja, on demand | ja, über Redirect/Shortcut |
Phase 3 ist heute der Standard: NHRP-Redirect am Hub und Shortcuts an den Spokes lösen die Summarization-Einschränkung von Phase 2 auf. Phase 3 ist aber kein bloßer Schalter auf eine Phase-2-Konfiguration, sondern erfordert Änderungen an Hub und Spokes.
3. NHRP und Routing über DMVPN
Der Hub ist NHRP-Server, die Spokes sind Clients; sie melden ihre aktuelle (auch dynamische) Adresse und fragen bei Bedarf die NBMA-Adresse anderer Spokes ab. Über das Overlay läuft ein dynamisches Routing-Protokoll, mit Besonderheiten: Bei EIGRP muss am Hub das Split Horizon aus, in Phase 2 zusätzlich der Next-Hop erhalten bleiben; bei OSPF ist der Netzwerktyp anzupassen (point-to-multipoint oder broadcast mit Hub als DR); BGP (iBGP mit Hub als Route-Reflector) skaliert für große Deployments gut.
Cisco IOS: DMVPN-Hub (Phase 3, mit Tunnelschutz)
interface Tunnel0
ip address 10.0.0.1 255.255.255.0
ip nhrp network-id 1
ip nhrp map multicast dynamic
ip nhrp redirect
tunnel source GigabitEthernet0/0
tunnel mode gre multipoint
tunnel protection ipsec profile DMVPN4. IPsec-Profil und dynamische Spoke-Adressen
Die Verschlüsselung kommt über ein einziges IPsec-Profil per Tunnelschutz, ohne Crypto-Map pro Spoke. Spokes dürfen ihre öffentliche Adresse dynamisch beziehen (DSL, LTE). Wechselt diese, kann die NHRP-Neuregistrierung an einem Eindeutigkeits-Flag scheitern; mit ip nhrp registration no-unique am Spoke wird der alte Eintrag überschrieben.
5. Redundanz: Dual-Hub
Ein einzelner Hub ist ein Single Point of Failure. Übliche Abhilfe sind Dual-Hub-Designs: Beim Single-Cloud-Modell teilen sich zwei Hubs ein DMVPN-Netz, jeder Spoke kennt beide als NHRP-Server. Beim Dual-Cloud-Modell hat jeder Spoke zwei mGRE-Interfaces, je eines pro Hub und idealerweise pro Provider; das dynamische Routing übernimmt den Failover und ermöglicht ISP-Redundanz.
6. Cisco-Bindung und Alternativen
DMVPN ist eine Cisco-Eigenentwicklung ohne eigenen RFC (die Bausteine GRE, NHRP, IKEv2 sind standardisiert). Volle Funktion gibt es nur auf Cisco IOS/IOS XE. Cisco positioniert FlexVPN (IKEv2-basiert, dynamische VTIs) als strategische Nachfolge. Wer herstellerübergreifend ein dynamisches Mesh braucht, schaut auf ADVPN (standardsnah, ohne GRE-Overhead).
7. Best Practices und typische Fehler
- Phasen nicht verwechseln Phase 3 braucht ip nhrp redirect am Hub und ip nhrp shortcut an den Spokes; eine halbe Umstellung führt zu inkonsistentem Spoke-zu-Spoke-Verhalten.
- MTU/MSS setzen GRE plus IPsec kosten Overhead; typisch ip mtu 1400 und ip tcp adjust-mss 1360 am Tunnel.
- Multicast-Mapping ohne korrektes NHRP-Multicast-Mapping kommen Routing-Hellos nicht durch (einseitige Nachbarschaften).
- NHRP-Auth ist kein Schutz der NHRP-Auth-String trennt nur Netze; die Sicherheit liefert IPsec.
- IKEv2 statt IKEv1 Altbestände nutzen oft IKEv1; für neue DMVPNs IKEv2 verwenden.
8. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Hub-Konfiguration konstant, Zero-Touch für neue Spokes | Cisco-proprietär: volle Funktion nur auf Cisco IOS/IOS XE |
| Direkte Spoke-zu-Spoke-Tunnel on demand (Phase 2/3) | Drei Schichten (GRE+NHRP+IPsec) erhöhen Overhead und Komplexität |
| Dynamische Spoke-Adressen (DSL/LTE) über NHRP | Routing über NBMA erfordert manuelle Anpassungen |
| Breite Routing-Unterstützung (EIGRP/OSPF/BGP) | Phase-2-Routing erzwingt Hub ohne Summarization |
| Über 20 Jahre Produktionsreife, gut dokumentiert | Fehlersuche über alle drei Schichten anspruchsvoll |
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
DMVPN im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.