Virtual Connect koristi dvoslojnu arhitekturu glavnog uređaja, gdje je usmjeravanje i GRE upravljačke ravnine osigurava jedan uređaj, a IPSec kontrolnu ravninu osigurava drugi.

Po završetku Virtualno povezivanje povezivost, dva GRE preko IPSec tunela će se stvoriti između korisničke poslovne mreže i namjenskih Ciscovih podatkovnih centara. Jedan za svaki redundantni podatkovni centar unutar odgovarajuće Regije. Dodatne mrežne elemente potrebne za peering partner ili korisnik razmjenjuje s Cisco putem obrasca za aktivaciju Control Hub Virtual Connect.

Slika 1 prikazuje primjer model implementacije Virtual Connect za opciju 2-koncentratora na strani korisnika.

Virtual Connect - VPN je dizajn čvorišta, gdje su web-mjesta čvorišta korisnika povezana s DC1 i DC2 podatkovnih centara namjenske instance unutar određene regije.

Za bolju redundantnost preporučuju se dvije Hub stranice, ali jedno mjesto Hub s dva tunela također je podržan model implementacije.

Širina pojasa po tunelu ograničena je na 250 Mbps.

Klijentove udaljene stranice unutar iste regije trebale bi se spojiti natrag na web-mjesta čvorišta preko korisnikovog WAN-a i Cisco nije odgovoran za tu povezanost.

Od partnera se očekuje da blisko surađuju s Kupcima, osiguravajući odabir najoptimalnijeg puta za regiju usluge 'Virtual Connect'.

Slika 2 prikazuje Peering regije namjenske instance za povezivanje u oblaku.

dodatak za usmjeravanje za Virtual Connect implementiran je pomoću vanjskog BGP-a (eBGP) između namjenske instance i korisničke premise opreme (CPE). Cisco će oglašavati svoju odgovarajuću mrežu za svaki redundantni DC unutar regije do CPE-a Kupca, a CPE je dužan oglašavati zadanu rutu do Cisco.

• Cisco održava i dodjeljuje

  • IP adresiranje tunelskog sučelja (prilazna veza za usmjeravanje) Cisco dodjeljuje iz određenog Zajedničkog adresnog prostora (koji nije javno usmjeravan)

  • Adresa odredišta za transport kroz tunel (Ciscova strana)

  • Brojevi privatnog autonomnog sustava (ASN-ovi) za konfiguraciju BGP usmjeravanja korisnika

    • Cisco dodjeljuje iz označenog raspona za privatnu upotrebu: 64512 do 65534

• eBGP se koristi za razmjenu ruta između namjenske instance i CPE-a

  • Cisco će podijeliti dodijeljenu /24 mrežu na 2/25 jednu za svaki DC u odgovarajućoj regiji

  • U Virtual Connect svaku /25 mrežu Cisco oglašava natrag u CPE preko odgovarajućih VPN tunela od točke do točke (prolazna veza)

  • CPE mora biti konfiguriran s odgovarajućim eBGP susjedima. Ako se koristi jedan CPE, koristit će se dva eBGP susjeda, jedan koji pokazuje na svaki udaljeni tunel. Ako koristite dva CPE, tada će svaki CPE imati jednog eBGP susjeda koji usmjerava na jedan udaljeni tunel za CPE.

  • Cisco strana svakog GRE tunela ( IP sučelja tunela) konfigurirana je kao BGP susjed na CPE-u

  • CPE je potreban za oglašavanje zadane rute preko svakog od tunela

  • CPE je odgovoran za redistribuciju, prema potrebi, naučenih ruta unutar mreže poduzeća korisnika.

• Pod uvjetom kvara veze bez kvara, jedan CPE će imati dva aktivna/aktivna tunela. Za dva CPE čvora, svaki CPE imat će jedan aktivni tunel i oba CPE čvora trebaju biti aktivna i prolazni promet. Prema scenariju bez kvara, promet se mora podijeliti u dva tunela koji idu do ispravnih /25 odredišta, ako se jedan od tunela sruši, preostali tunel može prenijeti promet za oba. U takvom scenariju kvara, kada mreža /25 ne radi, tada se /24 mreža koristi kao rezervna ruta. Cisco će slati promet korisnika putem svog internog WAN-a prema DC-u koji je izgubio vezu.

Pregovaranje o IPsec tunelu uključuje dvije faze, IKEv2 fazu i IPsec fazu. Ako se pregovaranje faze IKEv2 ne završi, tada nema pokretanja druge IPsec faze. Najprije izdajte naredbu "show crypto ikev2 sa" (na Cisco opremi) ili sličnu naredbu na opremi treće strane kako biste provjerili je li IKEv2 sesija aktivna. Ako IKEv2 sesija nije aktivna, mogući razlozi mogu biti:

• Zanimljiv promet ne pokreće IPsec tunel.

• Popis popis za pristup IPsec tunelu je pogrešno konfiguriran.

• Ne postoji povezanost između korisnika i IPsec krajnje točke tunela namjenske IP.

• Parametri IKEv2 sesije se ne podudaraju između strane namjenske instance i strane korisnika.

• Vatrozid blokira IKEv2 UDP pakete.

Najprije provjerite u IPsec zapisnicima bilo kakve poruke koje pokazuju napredak pregovaranja IKEv2 tunela. Dnevnici mogu naznačiti gdje postoji problem s IKEv2 pregovorima. Nedostatak prijavnih poruka također može ukazivati na to da se IKEv2 sesija nije aktivirana.

Neke uobičajene pogreške s IKEv2 pregovaranjem su:

• Postavke za IKEv2 na CPE strani ne odgovaraju Cisco strani, ponovno provjerite navedene postavke:

  • Provjerite je li verzija IKE verzija 2.

  • Provjerite odgovaraju li parametri šifriranja i provjere autentičnosti očekivanoj enkripciji na strani namjenske instance.

    Kada je šifra "GCM" u upotrebi, GCM protokol obrađuje autentifikaciju i postavlja parametar provjere autentičnosti na NULL.

  • Provjerite postavku vijeka trajanja.

  • Potvrdite Diffie Hellmanov modul modula.

  • Provjerite postavke pseudo slučajne funkcije.

• Popis popis za pristup za kripto kartu nije postavljen na:

  • Dopusti GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255" (ili ekvivalentna naredba)

    Popis popis za pristup mora biti posebno za "GRE" protokol i "IP" protokol neće raditi.

Ako poruke dnevnika ne pokazuju nikakvu aktivnost pregovaranja za fazu IKEv2, tada će možda biti potrebno hvatanje paketa.

Strana namjenske instance možda neće uvijek započeti IKEv2 razmjenu i ponekad može očekivati da strana CPE korisnika bude inicijator. Provjerite konfiguraciju CPE strane za sljedeće preduvjete za pokretanje IKEv2 sesije: Provjerite ima li IPsec popis za pristup za GRE promet (protokol 50) od IP -a za prijenos CPE tunela do IP -a za prijenos tunela namjenske instance. Osigurajte da je sučelje GRE tunela omogućeno za GRE održavanje aktivacije, ako oprema ne podržava GRE održavanje aktivnosti, onda će Cisco biti obaviješten jer će GRE održavanje aktivnosti biti omogućeno na strani Namjenske instance prema zadanim postavkama. Provjerite je li BGP omogućen i konfiguriran sa susjednom adresom IP-a tunela namjenske instance.

Kada se ispravno konfigurira, sljedeće započinje IPsec tunel i IKEv2 pregovaranje prve faze:

• GRE održava aktivaciju od sučelja GRE tunela na strani CPE do sučelja GRE tunela na strani Namjenske instance.

• BGP susjed TCP sesija od CPE strane BGP susjeda do BGP susjeda na strani Namjenske instance.

• Ping s IP adrese tunela sa strane CPE na IP adresa IP adresa tunela sa strane namjenske instance.

  Ping ne može biti IP za prijenos u tunel za prijenos IP , to mora biti IP od IP do tunela.

Ako je praćenje paketa potrebno za IKEv2 promet, postavite filtar za UDP i bilo port 500 (kada nijedan NAT uređaj nije u sredini krajnjih točaka IPsec) ili port 4500 (kada je NAT uređaj umetnut u sredinu IPsec-a krajnje točke).

Provjerite da li se IKEv2 UDP paketi s portom 500 ili 4500 šalju i primaju na i s DI IPsec IP adresa.

Datacenter namjenske instance možda neće uvijek započeti prvi IKEv2 paket. Zahtjev je da CPE uređaj može pokrenuti prvi IKEv2 paket prema strani namjenske instance. Ako lokalni vatrozid to dopušta, pokušajte i ping na udaljenu IPsec adresu. Ako ping nije uspješan s lokalne na udaljenu IPsec adresu, izvršite rutu praćenja kako biste pomogli i odredite gdje je paket ispušten. Neki vatrozidovi i internetska oprema možda neće dopustiti praćenje rute.

Provjerite je li prva faza IPseca (tj. IKEv2 sigurnosna asocijacija) aktivna prije rješavanja problema druge faze IPseca. Izvedite "show crypto ikev2 sa" ili ekvivalentnu naredbu za provjeru IKEv2 sesije. U izlazu provjerite je li sesija IKEv2 pokrenuta više od nekoliko sekundi i da se ne odskače. Vrijeme rada sesije prikazuje se kao "Aktivno vrijeme" sesije ili ekvivalentno u izlazu.

Nakon što se IKEv2 sesija potvrdi da je pokrenuta i aktivna, istražite IPsec sesiju. Kao i kod IKEv2 sesije, izvedite "show crypto ipsec sa" ili ekvivalentnu naredbu za provjeru IPsec sesije. I IKEv2 sesija i IPsec sesija moraju biti aktivne prije nego se uspostavi GRE tunel. Ako se IPsec sesija ne prikaže kao aktivna, provjerite ima li u IPsec zapisnicima poruka o pogreškama ili pogreške u pregovaranju.

Neki od češćih problema koji se mogu susresti tijekom IPsec pregovora su:

Postavke na strani CPE ne odgovaraju strani Namjenske instance, ponovno provjerite postavke:

• Provjerite odgovaraju li parametri šifriranja i provjere autentičnosti postavkama na strani Namjenske instance.

• Provjerite postavke savršene prosljeđene tajnosti i podudaranje postavki na strani Namjenske instance.

• Provjerite postavke životnog vijeka.

• Provjerite je li IPsec konfiguriran u tunelskom načinu rada.

• Provjerite izvornu i odredišnu IPsec adresu.

Kada se provjere da su sesije IPsec i IKEv2 aktivne i aktivne, paketi GRE tunela koji održavaju aktivnost mogu teći između Namjenske instance i krajnjih točaka CPE tunela. Ako sučelje tunela ne prikazuje status, neki uobičajeni problemi su:

• Prijenosni VRF sučelja tunela ne odgovara VRF sučelju povratne petlje (ako se VRF konfiguracija koristi na sučelju tunela).

  Ako se VRF konfiguracija ne koristi na sučelju tunela, ova se provjera može zanemariti.

• Keepalives nisu omogućeni na sučelju CPE bočnog tunela

  Ako CPE oprema nije podržana za održavanje, Cisco mora biti obaviješten kako bi se onemogućili i zadani održavanja na strani namjenske instance. Ako su podržani održavanje aktivacije, provjerite jesu li omogućeno održavanje.

• Maska ili IP adresa sučelja tunela nije točna i ne odgovara očekivanim vrijednostima Namjenske instance.

• Izvorna ili odredišna transportna adresa tunela nije točna i ne odgovara očekivanim vrijednostima Namjenske instance.

• Vatrozid blokira slanje GRE paketa u IPsec tunel ili primanje iz IPsec tunela (GRE tunel se prenosi preko IPsec tunela)

Test pinga trebao bi potvrditi da je lokalno sučelje tunela pokrenuto i da je povezanost s udaljenim sučeljem tunela dobra. Izvršite provjeru pinga od IP -a tunela (ne transportnog IP-a) do IP-a udaljenog tunela.

Popis kripto popis za pristup za IPsec tunel koji prenosi promet GRE tunela dopušta samo GRE pakete da prelaze. Kao rezultat toga, pingovi neće raditi s IP -a za prijenos tunela do IP -a za udaljeni tunel za prijenos.

Provjera pinga rezultira GRE paketom koji se generira od izvornog IP - a za prijenos odredišnog tunela, dok će korisni teret GRE paketa (unutarnji IP) biti IP izvornog i odredišnog tunela.

Ako ping test nije uspješan i prethodne stavke su provjerene, tada će možda biti potrebno hvatanje paketa kako bi se osiguralo da icmp ping rezultira GRE paketom koji se zatim inkapsulira u IPsec paket i zatim šalje s izvorne IPsec adrese na odredišnu IPsec adresu. Brojači na sučelju GRE tunela i brojači IPsec sesija također mogu pomoći u prikazivanju. ako se paketi za slanje i primanje povećavaju.

Osim ping prometa, hvatanje bi također trebalo pokazati aktivne GRE pakete čak i tijekom prometa u stanju mirovanja. Konačno, ako je BGP konfiguriran, BGP paketi za održavanje aktivnosti također bi se trebali slati kao GRE paketi inkapsulirani u IPSEC pakete i preko VPN-a.

Na strani namjenske instance omogućene su dvije značajke za dinamičko podešavanje MTU-a za velike veličine paketa. GRE tunel dodaje više zaglavlja IP paketima koji teku kroz VPN sesiju. IPsec tunel dodaje dodatna zaglavlja na vrh GRE zaglavlja što će dodatno smanjiti najveći dopušteni MTU preko tunela.

GRE tunel prilagođava MSS značajku, a put GRE tunela u značajci otkrivanja MTU je omogućen na strani Namjenske instance. Konfigurirajte "ip tcp adjust-mss 1350" ili ekvivalentnu naredbu, kao i "tunnel path\u0002mtu-discovery" ili ekvivalentnu naredbu na strani korisnika kako biste pomogli u dinamičkom prilagođavanju MTU prometa kroz VPN tunel.