DMVPN
多数の拠点を結ぶIPsec VPNで、拠点同士が必要になったときに直接のトンネルを動的に作れるようにする技術。設定の手間を抑えながら、フルメッシュに近い構成を実現できる。
イマシルちゃんの解説
10個の拠点を、全部の組み合わせでVPNのトンネルでつなごうとすると、45本ものトンネルを設定しないといけないんだ。大変だよね。
DMVPNでは、ふだんは本社（ハブ）とだけつながっておいて、
支社同士が話したくなったら、本社に「あの支社の住所を教えて」って聞いて、その場で直通のトンネルを作るんだ。
必要なときだけ道を作るから、設定がシンプルなんだよ！
より深い解説
定義
DMVPN（Dynamic Multipoint VPN）は、シスコシステムズ社が開発した、多拠点のVPNを効率よく構成するための技術である。次の技術を組み合わせて実現する。
| 技術 | 役割 |
|---|---|
| mGRE（マルチポイントGRE） | 1つのトンネルインタフェースで、複数の相手とGREトンネルを張る |
| NHRP（Next Hop Resolution Protocol） | トンネル上の相手のアドレス（トンネルのアドレス）と、実際のインターネット上のアドレスの対応を、ハブに問い合わせて解決する |
| IPsec | GREトンネルの中を流れるパケットを暗号化する |
| ルーティングプロトコル | トンネルの上で、OSPFやEIGRP、BGPなどで経路を交換する |
構成と動作
| 役割 | 内容 |
|---|---|
| ハブ | 中心となる拠点（本社）。すべてのスポークの情報（NHRPの登録）を持つ |
| スポーク | 各拠点（支社）。起動時にハブとトンネルを張り、自分のアドレスをハブに登録する |
- スポークは、ハブとだけ常時トンネルを張る（ハブアンドスポーク）
- スポークAがスポークBと通信したくなると、NHRPでハブにBの実際のアドレスを問い合わせる
- AとBの間に、直接のトンネルが動的に作られ、以後はハブを経由せずに通信する（スポーク間トンネル）
- 一定時間使われないトンネルは消える
長所
| 長所 | 内容 |
|---|---|
| 設定の簡素化 | 新しい拠点を追加しても、ハブや既存の拠点の設定を変えなくてよい |
| 効率的な通信 | 拠点間の通信がハブを経由しないため、遅延が小さく、ハブの負荷も減る |
| 動的なアドレス | スポークのインターネット側のアドレスが動的に変わっても使える |
広域イーサネットとの組み合わせ
拠点間を広域イーサネットで結んでいる場合、拠点同士はレイヤ2で直接つながるため、OSPFなどで自由に経路を制御でき、全拠点が互いに通信できる（フルメッシュ）。DMVPNを使ったIPsec VPNを副回線にすると、インターネット上でも同様にフルメッシュのトポロジと経路制御が実現でき、主回線と副回線を同じ考え方で運用しやすい。