Virtual Connectは、ルーティングとGREコントロールプレーンが1つのデバイスで提供され、 IPSecコントロールプレーンが別のデバイスで提供されるデュアルティアヘッドエンドアーキテクチャを採用しています。

Virtual Connect接続が完了すると、お客様の企業ネットワークとDedicated Instance Ciscoのデータセンターとの間に2つのGRE over IPsecトンネルが作成されます。 それぞれの地域内の各冗長データセンターに1つずつ。 ピアリングに必要な追加のネットワーク要素は、Control Hub Virtual Connectアクティベーションフォームを介してパートナーまたはお客様がシスコに交換します。

次の図は、 顧客側の2コンセントレータオプションの仮想接続導入モデルの例を示しています。

仮想接続-VPNはハブ設計で、 お客様のハブサイトが特定の地域内の専用インスタンスのデータセンターのDC1とDC2に接続されます。

冗長性を高めるために2つのハブサイトをお勧めしますが、 2つのトンネルを備えた1つのハブサイトもサポートされている導入モデルです。

パートナーはお客様と緊密に連携して、Virtual Connectサービス地域に最適な経路を選択することが期待されています。

下の図は、専用インスタンスのクラウド接続ピアリングリージョンを示しています。

Virtual Connectアドオンのルーティングは、専用インスタンスと顧客宅内機器（CPE）の間の外部BGP（eBGP）を使用して実装されます。 シスコは、地域内の各冗長DCのそれぞれのネットワークをお客様のCPEにアドバタイズし、CPEはデフォルトルートをシスコにアドバタイズする必要があります。

• シスコが管理し、割り当てます

  • トンネルインターフェイスのIPアドレス（ルーティング用の一時リンク）シスコは、指定された共有アドレス空間（パブリックにルーティングできない）から割り当てます

  • トンネルの転送先アドレス（シスコ側）

  • お客様のBGPルーティング設定用のプライベート自律システム番号（ASN）

    • シスコは、64512から65534までの指定された私的使用範囲からの割り当てを行います

• 専用インスタンスとCPE間でルートを交換するために使用されるeBGPは

  • シスコは、割り当てられた/24ネットワークを、それぞれの地域の各DCごとに2つ/25に分割します

  • Virtual Connectでは、各/25ネットワークは、それぞれのポイントツーポイントVPNトンネル（トランジェントリンク）を介してシスコによってCPEにアドバタイズされます。

  • CPEは適切なeBGPネイバーで設定する必要があります。 CPEを1つ使用する場合、2つのeBGPネイバーが使用され、1つは各リモートトンネルを指します。 2つのCPEを使用する場合、各CPEには、CPEの1つのリモートトンネルを指す1つのeBGPネイバーがあります。

  • 各GREトンネルのシスコ側（トンネルインターフェイスIP）は、CPEのBGPネイバーとして設定されています

  • CPEは、各トンネルを経由するデフォルトルートをアドバタイズするために必要です

  • CPEは、必要に応じて、学習したルートを顧客の企業ネットワーク内で再配布する責任があります。

• 障害のないリンク障害状態では、1つのCPEに2つのアクティブ/アクティブトンネルがあります。 CPEノードが2つある場合、各CPEにはアクティブなトンネルが1つあり、両方のCPEノードがアクティブでトラフィックを渡している必要があります。 非障害シナリオでは、トラフィックは正しい /25 宛先に向かう2つのトンネルに分割する必要があります。一方のトンネルがダウンした場合、もう一方のトンネルは両方のトラフィックを伝送できます。 このような障害シナリオでは、/25ネットワークがダウンすると、/24ネットワークがバックアップルートとして使用されます。 シスコは、内部のWANを介して、接続が失われたDCに顧客のトラフィックを送信します。

IPSecトンネルネゴシエーションには、IKEv2フェーズとIPSecフェーズの2つのフェーズがあります。 IKEv2フェーズのネゴシエーションが完了しない場合、2番目のIPSecフェーズは開始されません。 まず、「show crypto ikev2 sa」（シスコの機器の場合）またはサードパーティの機器で同様のコマンドを実行して、IKEv2セッションがアクティブかどうかを確認します。 IKEv2セッションがアクティブでない場合は、次のような原因が考えられます。

• 対象トラフィックはIPSecトンネルをトリガーしません。

• IPSecトンネルのアクセスリストが正しく設定されていません。

• お客様と専用インスタンスのIPsecトンネルエンドポイントIPとの間には接続がありません。

• IKEv2セッションのパラメータが、専用インスタンス側と顧客側で一致していません。

• ファイアウォールがIKEv2 UDPパケットをブロックしています。

まず、IPSecログをチェックして、IKEv2トンネルネゴシエーションの進行状況を示すメッセージがないか調べてください。 ログには、IKEv2ネゴシエーションの問題がある場所が示されている場合があります。 ロギングメッセージがないということは、IKEv2セッションがアクティブになっていないことを示している可能性もあります。

IKEv2ネゴシエーションでよくあるエラーは次のとおりです。

• CPE側のIKEv2の設定がCisco側と一致しません。上記の設定を再確認してください。

  • IKEのバージョンがバージョン2であることを確認してください。

  • 暗号化と認証のパラメータが、専用インスタンス側で期待される暗号化と一致していることを確認してください。

    「GCM」暗号が使用されている場合、GCMプロトコルが認証を処理し、認証パラメータをNULLに設定します。

  • ライフタイム設定を確認してください。

  • ディフィー・ヘルマン・モジュラスグループを確認してください。

  • 疑似ランダム関数の設定を確認してください。

• クリプトマップのアクセスリストが次のように設定されていません:

  • GRE（local_tunnel_transport_ip）255.255.255.255（remote_tunnel_transport_ip）255.255.255"（または同等のコマンド）を許可します

    アクセスリストは「GRE」プロトコル専用でなければならず、「IP」プロトコルは機能しません。

ログメッセージにIKEv2フェーズのネゴシエーションアクティビティが表示されない場合は、パケットキャプチャが必要な可能性があります。

正しく設定すると、次のようにIPSecトンネルと第1フェーズのIKEv2ネゴシエーションが開始されます。

• CPE側のGREトンネルインターフェイスから専用インスタンス側のGREトンネルインターフェイスへのGREキープアライブ。

• BGPネイバー CPE側のBGPネイバーから専用インスタンス側のBGPネイバーへのTCPセッション。

• CPE側のトンネルIPアドレスから専用インスタンス側のトンネルIPアドレスにpingします。

  pingはトンネルトランスポートIPからトンネルトランスポートIPにすることはできません。トンネルIPからトンネルIPにする必要があります。

IKEv2トラフィックにパケットトレースが必要な場合は、UDP用のフィルターとポート500（IPsecエンドポイントの中央にNATデバイスがない場合）またはポート4500（NATデバイスがIPsecエンドポイントの中央に挿入されている場合）のいずれかを設定します。

ポート500または4500のIKEv2 UDPパケットがDI IPsec IPアドレスとの間で送受信されていることを確認してください。

IPSecの第2フェーズをトラブルシューティングする前に、IPSecの第1フェーズ（つまり、IKEv2セキュリティアソシエーション）がアクティブであることを確認してください。 「show crypto ikev2 sa」または同等のコマンドを実行して、IKEv2セッションを確認してください。 出力で、IKEv2セッションが数秒以上稼働していて、バウンスしていないことを確認します。 セッションの稼働時間は、セッションの「アクティブタイム」またはそれと同等の出力として表示されます。

IKEv2セッションが起動してアクティブであることを確認したら、IPSecセッションを調べてください。 IKEv2セッションと同様に、「show crypto ipsec sa」または同等のコマンドを実行してIPsecセッションを確認してください。 GREトンネルが確立される前に、IKEv2セッションとIPSecセッションの両方がアクティブになっている必要があります。 IPSecセッションがアクティブと表示されない場合は、IPSecログでエラーメッセージやネゴシエーションエラーを確認してください。

IPSecネゴシエーション中に発生する可能性のある、より一般的な問題は次のとおりです。

CPE側の設定が専用インスタンス側の設定と一致しません。設定を再確認してください:

• 暗号化と認証のパラメータが専用インスタンス側の設定と一致していることを確認してください。

• パーフェクト・フォワード・シークレシの設定と、ハードウェア専有インスタンス側の設定と一致していることを確認してください。

• ライフタイム設定を確認してください。

• IPsecがトンネルモードで構成されていることを確認してください。

• 送信元と宛先のIPSecアドレスを確認してください。

IPSecとIKEv2のセッションが起動してアクティブであることが確認されると、GREトンネルのキープアライブパケットが専用インスタンスとCPEトンネルエンドポイントの間を流れるようになります。 トンネルインターフェイスのステータスが表示されない場合、よくある問題は次のとおりです。

• トンネルインターフェイスの転送 VRF がループバックインターフェイスの VRF と一致しません（トンネルインターフェイスで VRF 設定が使用されている場合）。

  VRF設定がトンネルインターフェイスで使用されていない場合は、このチェックは無視できます。

• CPE側のトンネルインターフェイスではキープアライブが有効になっていません

  CPE機器でキープアライブがサポートされていない場合は、専用インスタンス側のデフォルトのキープアライブも無効になるようにシスコに通知する必要があります。

  キープアライブがサポートされている場合は、キープアライブが有効になっていることを確認してください。

• トンネルインターフェイスのマスクまたはIPアドレスが正しくなく、専用インスタンスの期待値と一致しません。

• 送信元または宛先のトンネルのトランスポートアドレスが正しくなく、専用インスタンスの期待値と一致しません。

• ファイアウォールは、GREパケットがIPSecトンネルに送信されたり、IPSecトンネルから受信されたりするのをブロックしています（GREトンネルはIPSecトンネルを介して転送されます）

pingテストでは、ローカルトンネルインターフェイスが稼働していて、リモートトンネルインターフェイスへの接続が良好であることを確認する必要があります。 （トランスポートIPではなく）トンネルIPからリモートトンネルIPへのpingチェックを行います。

pingチェックの結果、送信元トンネルのトランスポートIPから宛先トンネルのトランスポートIPに生成されたGREパケットが生成され、GREパケット（内部IP）のペイロードが送信元と宛先のトンネルIPになります。

pingテストが成功せず、前述の項目が確認された場合は、パケットをキャプチャして、icmp pingによってGREパケットが生成されていることを確認する必要があります。このパケットはIPSecパケットにカプセル化され、送信元のIPsecアドレスから宛先IPsecアドレスに送信されます。 GREトンネルインターフェイスのカウンタとIPSecセッションカウンタも、送受信パケットが増えているかどうかを確認するのに役立ちます。

キャプチャでは、pingトラフィックに加えて、アイドルトラフィック中でもキープアライブGREパケットが表示されるはずです。 最後に、BGPが設定されている場合は、BGPキープアライブパケットもIPSECパケットにカプセル化されたGREパケットとしてVPN経由で送信する必要があります。

専用インスタンス側では、大きなパケットサイズに合わせてMTUを動的に調整する2つの機能が有効になっています。 GREトンネルは、VPNセッションを流れるIPパケットにさらに多くのヘッダーを追加します。 IPSecトンネルは、GREヘッダーの上にヘッダーを追加して、トンネルで許容される最大MTUをさらに減らします。

GREトンネルはMSS機能を調整し、MTU検出機能のGREトンネルパスは専用インスタンス側で有効になっています。 お客様側で「ip tcp adjust-mss 1350"または同等のコマンドと「tunnel path\ u0002mtu-discovery」または同等のコマンドを設定して、VPNトンネルを通るトラフィックのMTUを動的に調整できるようにしてください。