Virtual Connect koristi dvoslojnu arhitekturu headend, gdje upravljačke ravnine usmjeravanja i GRE pružaju jedan uređaj, a IPsec upravljačku ravninu pruža drugi.

Po završetku povezivanja Virtual Connect stvorit će se dva GRE preko IPsec tunela između korisnikove poslovne mreže i Ciscovih podatkovnih centara namenske instance. Jedan do svakog suvišnog podatkovnog centra unutar odgovarajuće regije. Dodatne elemente umrežavanja potrebne za peering partner ili kupac razmjenjuju Ciscu putem obrasca za aktivaciju Control Hub Virtual Connect.

Donja slika prikazuje primjer modela implementacije virtualnog povezivanja za opciju s 2 koncentratora na strani kupca.

Virtual Connect - VPN je dizajn čvorišta, gdje su web stranice korisničkog središta povezane s DC1 i DC2 podatkovnih centara namjenske instance unutar određene regije.

Za bolju redundanciju preporučuju se dvije web lokacije Hub, ali jedno mjesto s dva tunela također je podržani model implementacije.

Od partnera se očekuje da usko surađuju s Kupcima, osiguravajući da je odabran najoptimalniji put za regi ju usluge Virtual Connect.

Donja slika prikazuje partnerske regije povezivanja u oblaku za namjensku instancu.

Dodatak za usmjeravanje virtualnog povezivanja implementiran je pomoću vanjskog BGP (eBGP) između namjenske instance i opreme za korisničku lokaciju (CPE). Cisco će oglašavati svoju odgovarajuću mrežu za svaki redundantni DC unutar regije CPE-u kupca, a CPE je dužan oglašavati zadanu rutu do Cisca.

• Cisco održava i dodjeljuje

  • IP adresiranje tunelskog sučelja (prijelazna veza za usmjeravanje) Cisco dodjeljuje iz određenog zajedničkog adresnog prostora (ne može se javno usmjeravati)

  • Adresa za želju prijevoza tunela (Ciscova strana)

  • Privatni autonomni brojevi sustava (ASN) za konfiguraciju BGP usmjeravanja korisnika

    • Cisco dodjeljuje iz određenog raspona privatne uporabe: 64512 do 65534

• eBGP se koristi za razmjenu ruta između namjenske instance i CPE

  • Cisco će podijeliti dodijeljenu /24 mrežu na 2 /25 po jednu za svaki DC u odgovarajućoj regiji

  • U programu Virtual Connect svaka mreža /25 oglašava se natrag u CPE od strane Cisco preko odgovarajućih VPN tunela od točke do točke (prijelazna veza)

  • CPE mora biti konfiguriran s odgovarajućim eBGP susjedima. Ako koristite jedan CPE, koristit će se dva eBGP susjeda, od kojih jedan pokazuje na svaki udaljeni tunel. Ako koristite dva CPE, tada će svaki CPE imati jednog eBGP susjeda koji se nalazi na jednom udaljenom tunelu za CPE.

  • Cisco strana svakog GRE tunela (tunelsko sučelje IP) konfigurirana je kao BGP susjed na CPE

  • CPE je dužan oglašavati zadanu rutu preko svakog od tunela

  • CPE je odgovoren za preraspodjelu, prema potrebi, naučenih ruta unutar poslovne mreže kupca.

• U uvjetima kvara veze bez kvara, jedan CPE će imati dva aktivna/aktivna tunela. Za dva CPE čvora, svaki CPE će imati jedan aktivni tunel i oba CPE čvora trebaju biti aktivna i prolaziti promet. Prema scenariju bez kvara, promet se mora podijeliti u dva tunela koji idu do ispravnih /25 odredišta, ako se jedan od tunela spusti, preostali tunel može nositi promet za oba. U takvom scenariju kvara, kada je mreža /25 isključena tada se mreža /24 koristi kao rezervna ruta. Cisco će putem internog WAN-a slati promet kupaca prema DC-u koji je izgubio povezanost.

Pregovaranje o IPsec tunelu uključuje dvije faze, fazu IKEv2 i fazu IPsec. Ako se pregovori o fazi IKEv2 ne završe, tada nema pokretanja druge faze IPsec. Prvo izdajte naredbu "show crypto ikev2 sa" (na Ciscovoj opremi) ili sličnu naredbu na opremi treće strane kako biste provjerili je li IKEv2 sesija aktivna. Ako sesija IKEv2 nije aktivna, potencijalni razlozi mogu biti:

• Zanimljiv promet ne pokreće IPsec tunel.

• Popis pristupa IPsec tunelu pogrešno je konfiguriran.

• Ne postoji povezanost između kupca i IP krajnje točke IPSec tunela namjenske instance.

• Parametri sesije IKEv2 ne podudaraju se između strane namjenske instance i strane kupca.

• Vatrozid blokira IKEv2 UDP pakete.

Prvo provjerite IPsec dnevnike za sve poruke koje pokazuju napredak pregovora o tunelu IKEv2. Dnevnici mogu ukazivati na to gdje postoji problem s pregovorima IKEv2. Nedostatak poruka za evidentiranje također može ukazivati na to da se sesija IKEv2 ne aktivira.

Neke uobičajene pogreške u pregovorima IKEv2 su:

• Postavke za IKEv2 na CPE strani ne odgovaraju Ciscovoj strani, ponovno provjerite spomenute postavke:

  • Provjerite je li verzija IKE verzija 2.

  • Provjerite odgovaraju li parametri enkripcije i provjere autentičnosti s očekivanom šifriranjem na strani Namjenske instance.

    Kada se koristi šifra "GCM", GCM protokol obrađuje provjeru autentičnosti i postavlja parametar provjere autentičnosti na NULL.

  • Provjerite postavku životnog vijeka.

  • Provjerite grupu modula Diffie Hellman.

  • Provjerite postavke pseudo slučajne funkcije.

• Popis pristupa kripto karti nije postavljen na:

  • Dozvola GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255" (ili ekvivalentna naredba)

    Popis pristupa mora biti posebno za "GRE" protokol, a protokol "IP" neće raditi.

Ako poruke dnevnika ne pokazuju nikakvu pregovaračku aktivnost za fazu IKEv2, možda će biti potrebno snimanje paketa.

Kada se pravilno konfigurira, sljedeće započinje IPsec tunel i prva faza IKEv2 pregovora:

• GRE pamti od CPE bočnog GRE tunelskog sučelja na GRE tunelsko sučelje namjenske instance.

• BGP susjeda TCP sesije od CPE strane BGP susjeda do BGP susjeda na strani namjenske instance.

• Ping s IP adrese CPE bočnog tunela na IP adresu bočnog tunela namjenske instance.

  Ping ne može biti IP prijevoza tunela do IP prijevoza tunela, to mora biti IP tunela do IP tunela.

Ako je potreban trag paketa za promet IKEv2, postavite filter za UDP i priključak 500 (kada nijedan NAT uređaj nije u sredini IPsec krajnjih točaka) ili priključak 4500 (kada je NAT uređaj umetnut u sredinu IPsec krajnjih točaka).

Provjerite jesu li IKEv2 UDP paketi s portom 500 ili 4500 poslani i primljeni na i s DI IPsec IP adrese.

Provjerite je li prva faza IPsec (to jest sigurnosna udruga IKEv2) aktivna prije rješavanja problema s drugom fazom IPsec. Izvršite "show crypto ikev2 sa" ili ekvivalentnu naredbu da biste provjerili sesiju IKEv2. Na izlazu provjerite je li sesija IKEv2 trajala više od nekoliko sekundi i da ne odskakuje. Vrijeme rada sesije prikazuje se kao sesija "Aktivno vrijeme" ili ekvivalent u izlazu.

Nakon što se IKEv2 sesija provjeri kao aktivna, istražite IPsec sesiju. Kao i kod sesije IKEv2, izvršite "show crypto ipsec sa" ili ekvivalentnu naredbu za provjeru IPsec sesije. I sesija IKEv2 i IPsec sesija moraju biti aktivne prije uspostavljanja GRE tunela. Ako se IPsec sesija ne prikazuje kao aktivna, provjerite u zapisnicima IPsec poruka o pogreškama ili pogreške u pregovorima.

Neka od najčešćih problema s kojima se mogu susresti tijekom pregovora o IPsec-u su:

Postavke na CPE strani ne podudaraju se sa stranom Namjenske instance, ponovno provjerite postavke:

• Provjerite odgovaraju li parametri šifriranja i provjere autentičnosti s postavkama na strani Namjenske instance.

• Provjerite postavke Savršene tajnosti prosljeđivanja i da se postavke podudaraju na strani Namjenske instance.

• Provjerite postavke životnog vijeka.

• Provjerite je li IPsec konfiguriran u tunelskom načinu rada.

• Provjerite izvornu i odredišnu IPsec adresu.

Kada se sesije IPsec i IKEv2 provjere kao otvorene i aktivne, paketi GRE tunela čuvaju žive mogu teći između namjenske instance i CPE krajnjih točaka tunela. Ako se sučelje tunela ne prikazuje status, neki uobičajeni problemi su:

• VRF transportnog sučelja tunela ne odgovara VRF-u povratnog sučelja (ako se na sučelju tunela koristi konfiguracija VRF).

  Ako se konfiguracija VRF-a ne koristi na sučelju tunela, ova se provjera može zanemariti.

• Keepalive nisu omogućene na CPE sučelju bočnog tunela

  Ako memorije nisu podržane na CPE opremi, Cisco mora biti obaviješten tako da su i zadane memorije na strani namjenske instance onemogućene.

  Ako su podržani keepalives, provjerite jesu li memorije omogućene.

• Maska ili IP adresa sučelja tunela nisu točni i ne odgovaraju očekivanim vrijednostima namjenske instance.

• Adresa prijevoza izvornog ili odredišnog tunela nije točna i ne odgovara očekivanim vrijednostima namjenske instance.

• Vatrozid blokira GRE pakete koji se šalju u IPsec tunel ili primaju iz IPsec tunela (tunel GRE se transportira preko IPsec tunela)

Ping test trebao bi provjeriti je li lokalno sučelje tunela uključeno i da je povezanost dobra s udaljenim sučeljem tunela. Izvršite provjeru pinga s IP-a tunela (ne transportnog IP-a) do IP udaljenog tunela.

Provjera ping rezultira GRE paketom koji se generira od IP-a transporta izvornog tunela do IP transporta odredišnog tunela, dok će korisni teret GRE paketa (unutarnji IP) biti izvorni i odredišni IP tunela.

Ako ping test nije uspješan i prethodne stavke su provjerene, tada će možda biti potrebno snimanje paketa kako bi se osiguralo da icmp ping rezultira GRE paketom koji se zatim inkapsulira u IPsec paket i zatim šalje s izvorne IPsec adrese na odredišnu IPsec adresu. Brojači na sučelju tunela GRE i brojači sesije IPsec također mogu pomoći u prikazivanju. ako se paketi za slanje i primanje povećavaju.

Osim ping prometa, snimanje bi također trebalo prikazivati Keepalive GRE pakete čak i tijekom prometa u praznom hodu. Konačno, ako je BGP konfiguriran, BGP keepalive paketi također bi trebali biti poslani kao GRE paketi inkapsulirani u IPSEC pakete, kao i preko VPN-a.

Na strani Namjenske instance omogućene su dvije značajke za dinamičko podešavanje MTU-a za velike veličine paketa. GRE tunel dodaje više zaglavlja IP paketima koji teku kroz VPN sesiju. IPsec tunel dodaje dodatna zaglavlja na vrhu GRE zaglavlja dodatno će smanjiti najveći MTU dopušteni preko tunela.

Tunel GRE prilagođava značajku MSS, a putanja GRE tunela u značajci otkrivanja MTU omogućena je na strani namjenske instance. Konfigurirajte "ip tcp ajust-mss 1350" ili ekvivalentnu naredbu, kao i "tunnel path\ u0002mtu-Discovery" ili ekvivalentnu naredbu na strani korisnika kako biste pomogli u dinamičkom podešavanju MTU prometa kroz VPN tunel.