# トンネルインターフェースの作成とmGREモードの指定（ハブとスポーク両方に必要な設定）

(config)#interface Tunnel {任意の番号}
(config-if)#ip address {アドレス} {サブネットマスク}
(config-if)#tunnel source {NBMAアドレス | インターフェース}
(config-if)#tunnel mode gre multipoint
(config-if)#tunnel key {キーID}

# NHRPの有効化（ハブとスポーク両方に必要な設定）

(config)#interface Tunnel {任意の番号}
(config-if)#ip nhrp network-id {任意の番号}

# NHSのマルチキャストマッピングの設定（ハブに必要な設定）

(config-if)#ip nhrp map multicast dynamic

※OSPFやEIGRPなどのマルチキャストに対応するための設定
※スポークのIPアドレスは固定ではないため「dynamic」を指定

# NHCのマルチキャストマッピングの設定（スポークに必要な設定）

(config-if)#ip nhrp map multicast {NBMAアドレス}

※OSPFやEIGRPなどのマルチキャストに対応するための設定
※ハブの物理インターフェース（WAN側）のIPアドレスを指定

# NHCが問い合わせを行うNHSアドレスの設定（スポークに必要な設定）

(config-if)#ip nhrp nhs {NHSのトンネルインターフェースのIPアドレス}
(config-if)#ip nhrp map {NHSのトンネルインターフェースのIPアドレス} {NBMAアドレス}

※ハブのトンネルインターフェースのIPアドレスと、ハブの物理インターフェースのIPアドレスを指定

# NHRPの認証設定（ハブとスポーク両方に必要な設定）

(config-if)#ip nhrp authentication {認証用の文字列}

※ハブとスポークで同一の文字列を入力

# NBMAアドレスのホールドタイムの設定（任意で行う設定）

(config)#interface Tunnel {任意の番号}
(config-if)#ip nhrp holdtime {ホールドタイム(秒)}

※デフォルトは7200秒

# NHRP登録タイムの設定（任意で行う設定）

(config)#interface Tunnel {任意の番号}
(config-if)#ip nhrp registration timeout {NHRP登録タイム(秒)}

※設定していない場合はホールドタイムの3分の1の秒数が使われるため、デフォルト値は2400秒

# ISAKMPポリシーの作成（ハブとスポーク両方に設定）

(config)#crypto isakmp policy {1～10000}
(config-isakmp)#encryption {3des | aes 192 | aes 256}
(config-isakmp)#hash {md5 | sha | sha256}
(config-isakmp)#authentication pre-share
(config-isakmp)#group 5
(config-isakmp)#lifetime {60～86400(秒)}

※セキュリティ上、現在のCiscoでは「3des」「md5」は非推奨となっています

# IPsecトランスフォームセットの設定（ハブとスポーク両方に設定）

(config)#crypto ipsec transform-set {トランスフォーム名} {トランスフォーム(暗号化や認証アルゴリズムを指定)}
(cfg-crypto-trans)#mode transport

※DMVPNではGREでトンネリングが行われ、IPsecではトンネリングを行う必要がないため、IPsec通信モードを「transport」モードにすることが推奨
※デフォルトの「tunnel」モードではGREとIPsecの両方でトンネリングが行われるため、オーバーヘッドが多くなる。

# IKEフェーズ1 事前共有鍵の設定（ハブとスポーク両方に設定）

## 動的にIPアドレスを指定する方法
(config)#crypto isakmp key {事前共有鍵} address 0.0.0.0

基本的にmGREでは対向ルータが1つに固定されないため、全てのIPアドレスを示す「0.0.0.0」を指定

## 静的にIPアドレスを指定する方法
(config)#crypto isakmp key {事前共有鍵} address {対向ルータのIPアドレス}

スポーク間の通信を行わない場合は、スポーク側でハブルータのIPアドレスを固定で指定してもよい
(ハブ側では複数のスポークの通信を行うので動的にIPアドレスを指定する必要がある)

# IKEフェーズ2 IPsecプロファイルの作成とインターフェースへの適用（ハブとスポーク両方に設定）

(config)#crypto ipsec profile {プロファイル名}
(ipsec-profile)#set transform-set {トランスフォーム名}
(config)#interface Tunnel {任意の番号}
(config-if)#tunnel protection ipsec profile {プロファイル名} [shared]

※「shared」キーワードは、トンネル送信元インターフェースが同一である複数のトンネルにおいて同じIPsecプロファイルを使用する場合に指定します。