本文档介绍如何在Secure Firewall 9.20上配置动态虚拟隧道接口(DVTI)。

本文档中的信息基于以下软件版本：

注意：本文档中的信息是从特定实验环境中的设备创建的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

动态虚拟隧道接口(DVTI)可为远程访问虚拟专用网络(VPN)提供高度安全且可扩展的连接。

DVTI可用于集中星型配置。隧道为每个VPN会话提供按需独立虚拟访问接口。 

1.分支发起与中心的IKE交换请求，以进行VPN连接。

2.中心对分支进行身份验证。

3.思科安全防火墙管理中心在中心上分配动态虚拟模板。

4.虚拟模板在集线器上动态生成虚拟访问接口。此接口对于每个分支的VPN会话是唯一的。

5.中心与使用虚拟访问接口的分支建立动态VTI隧道。

6.中心和分支使用动态路由协议(BGP/OSPF/EIGRP)或受保护网络功能（多安全关联VTI）通过隧道交换流量。

7.动态VTI的功能与任何其他接口类似，因此只要隧道处于活动状态，您就可以应用QoS、防火墙规则、路由协议和其他功能。 

8.在HUB设备和多个远程/分支站点的多个静态隧道接口上创建一个DVTI。

在本文中，可以通过DVTI测试BGP、OSPF和EIGRP。

注意：思科安全防火墙在版本7.3上添加了DVTI支持，目前根据Cisco Bug ID CSCwe13781，仅支持一个DVTI。

思科安全防火墙中心配置

配置物理隧道源接口。

配置IkEv2策略。

配置IPSEC策略并将其附加到新的IPSEC配置文件。

使用之前创建的IPSEC配置文件配置虚拟模板，并将其分配到为DVTI提供IP地址的环回接口。

注：虚拟模板用于为按需隧道配置DVTI。

创建辅助环回接口以模拟来自集线器后OnPREM网络的流量。

注意：如果集线器后面有本地流量，请跳过此步骤。

配置隧道组。

注意：命令路由集接口将DVTI IP地址作为静态IP地址发送到对等设备。

在构建隧道的接口上启用IKEv2。

思科安全防火墙分支配置

配置物理隧道源接口。

配置IKEv2策略。

配置IPSEC策略并将其附加到新的IPSEC配置文件。

使用之前创建的IPSEC配置文件配置静态虚拟隧道接口，并将其分配给提供未编号IP地址的环回接口。

创建辅助环回接口以模拟来自分支后LAN-REMOTE-1网络的流量。

配置隧道组。

注意：命令路由集接口将SVTI IP地址作为静态IP地址发送到对等设备。

在可以建立隧道的接口上启用IKEv2。

中心配置

注意:Redistribute connected subnets命令用于通过OSPF将OnPREM网络通告到分支。根据设计，重分发可以不同。

分支配置

集线器验证

集线器上的路由表现在通过OSPF显示LAN-REMOTE-1网络。

分支验证

分支上的路由表现在显示通过OSPF的OnPREM网络。

现在，分支LAN-REMOTE-1可以访问OnPREM。

 现在，集线器OnPREM能够到达LAN-REMOTE-1。

中心配置:

辐条配置:

现在，分支LAN-REMOTE-1可以访问OnPREM。

 现在，集线器OnPREM能够到达LAN-REMOTE-1。

集线器验证：

集线器上的路由表现在通过EIGRP显示LAN-REMOTE-1网络。

分支验证：

分支上的路由表现在显示通过EIGRP的OnPREM网络。

注：当静态或动态VTI接口与eBGP组合时，如果使用BGP，请确保TTL跳的值大于1。

中心配置:

分支配置

集线器验证：

集线器上的路由表现在通过BGP显示LAN-REMOTE-1网络。

分支验证：

分支上的路由表现在通过BGP显示OnPREM网络。

要排除OSPF故障，请使用以下调试和show命令：

要排除EIGRP故障，请使用以下debugs和show命令：

要排除BGP故障，请使用以下调试和show命令：。

要对IKEv2进行故障排除，请使用以下debugs和show命令：