Netzwerk & WAN
mGRE (Multipoint GRE)
Multipoint GRE (mGRE) erweitert den klassischen Punkt-zu-Punkt-GRE-Tunnel zu einer Schnittstelle, über die ein Router viele Gegenstellen gleichzeitig erreicht.
- Punkt-zu-Multipunkt-GRE
- Ein Interface für viele Spokes
- NHRP-Adressauflösung
- Basis für DMVPN
- IPsec optional
mGRE (Multipoint GRE) ist ein GRE-Tunnel-Interface, das nicht genau eine, sondern beliebig viele Gegenstellen über eine einzige Schnittstelle bedient. Anders als klassisches Punkt-zu-Punkt-GRE hat es keine feste Zieladresse.
Damit entsteht ein Auflösungsproblem: Woher weiß der Tunnel, an welche reale Adresse ein Paket geht? Dieser Artikel erklärt mGRE und seine Stützschicht NHRP (Server/Client-Rollen, dynamische Registrierung, Spoke-zu-Spoke-Auflösung), das NBMA-Modell, das Zusammenspiel mit IPsec und Multicast sowie die typischen Fehler. Die fertige Architektur darüber ist DMVPN, ein eigenes Thema.
1. Ein Interface für viele Gegenstellen
Klassisches GRE braucht je Gegenstelle ein eigenes Tunnel-Interface mit fester Zieladresse, das skaliert schlecht. mGRE kehrt das um: Ein einziges Interface (tunnel mode gre multipoint, ohne tunnel destination) bedient alle Spokes. Am Hub bleibt die Konfiguration konstant, egal ob 5 oder 500 Spokes dazukommen.
2. Das Mapping-Problem und NHRP
Ohne feste Zieladresse muss mGRE für jede Tunnel-IP die zugehörige reale (NBMA-)Adresse kennen. Das löst NHRP (Next Hop Resolution Protocol, RFC 2332): Es bildet die Overlay-Tunnel-IP auf die darunterliegende öffentliche Adresse ab. Der Hub agiert als NHRP-Server (NHS), die Spokes als Clients (NHC).
Beim Start meldet jeder Spoke per Registration seine aktuelle NBMA-Adresse beim Hub, der eine dynamische Mapping-Datenbank pflegt. So funktioniert das auch mit Spokes, die ihre öffentliche IP dynamisch beziehen (DSL, LTE).
Cisco IOS: mGRE-Hub mit NHRP
interface Tunnel0
ip address 10.0.0.1 255.255.255.0
no ip redirects
ip nhrp network-id 1
ip nhrp map multicast dynamic
tunnel source GigabitEthernet0/0
tunnel mode gre multipoint3. NBMA und Spoke-zu-Spoke-Auflösung
Das mGRE-Overlay verhält sich wie ein NBMA-Medium (Non-Broadcast Multi-Access): Mehrere Endpunkte teilen ein Interface, aber Broadcast/Multicast ist nicht nativ vorhanden. Will Spoke A ein Netz hinter Spoke B erreichen, läuft der Verkehr zunächst über den Hub; parallel fragt Spoke A per NHRP Resolution die NBMA-Adresse von Spoke B ab und baut anschließend einen direkten Tunnel auf. Danach fließt der Verkehr ohne Umweg über den Hub.
4. IPsec und Multicast-Mapping
mGRE selbst verschlüsselt nicht; über IPsec (ein Profil für alle Spokes per Tunnelschutz) kommt die Verschlüsselung hinzu. Damit Routing-Protokolle über das Overlay funktionieren, muss Multicast explizit abgebildet werden: am Hub ip nhrp map multicast dynamic, an den Spokes ein statisches Multicast-Mapping auf die Hub-Adresse.
Routing-Protokolle über NBMA
Auf einem mGRE-Interface verhalten sich IGPs besonders: OSPF braucht meist den Netzwerktyp point-to-multipoint, EIGRP am Hub ein abgeschaltetes Split Horizon, damit Spoke-Routen überhaupt zwischen Spokes weitergegeben werden. Ohne das bleiben Nachbarschaften oder Routen unvollständig.
5. Typische Fehler in der Praxis
- NHRP-Authentifizierung überschätzt der NHRP-Auth-String (oft max. 8 Zeichen, im Klartext) trennt Tunnel, ist aber kein Sicherheitsschutz. Für Vertraulichkeit ist IPsec zuständig.
- Tunnel-Key-Mismatch ein abweichender GRE-Tunnel-Key verhindert die korrekte Zuordnung; die Registrierung scheitert still.
- Fehlendes Multicast-Mapping ohne statisches Multicast-Mapping an den Spokes entstehen einseitige Nachbarschaften, Routing-Hellos werden nicht bestätigt.
- Falsche Tunnel-Source als tunnel source gehört die physische Außen-Schnittstelle, nicht die Tunnel-IP; sonst scheitern NHRP und IPsec.
6. mGRE und DMVPN
mGRE ist die Tunnel-Technik, NHRP die Auflösung. Erst die Kombination aus mGRE, NHRP und IPsec, samt der Phasenlogik für Spoke-zu-Spoke-Verkehr, ergibt die fertige Architektur DMVPN. mGRE plus NHRP ohne IPsec ist für vertrauenswürdige interne Netze möglich, über das Internet gehört IPsec dazu.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Ein Interface bedient viele Spokes, Hub-Konfiguration bleibt konstant | Hub als NHRP-Server ist ein zentraler Punkt (Redundanz nötig) |
| Dynamische Spoke-Adressen (DSL/LTE) über NHRP-Registrierung | Routing über NBMA erfordert manuelle Anpassungen (OSPF-Typ, Split Horizon) |
| Spoke-zu-Spoke-Direkttunnel statt Hub-Umweg | NHRP-Authentifizierung ist kein Sicherheitsmerkmal |
| Saubere Basis für DMVPN | Overhead aus GRE plus IPsec verlangt MTU-Management |
| Multicast/dynamisches Routing über das Overlay möglich | Bei Cisco voll, herstellerübergreifend nur eingeschränkt |
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
mGRE (Multipoint GRE) im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.