Virtual Connectは、デュアルティアのヘッドエンドアーキテクチャを使用し、ルーティングとGREコントロール飛行機が 1 つのデバイスによって提供され、IPSec コントロール飛行機が別のデバイスによって提供されます。

仮想接続接続が完了すると、顧客のエンタープライズネットワークと専用インスタンスの Cisco のデータセンター間に 2 つの GRE over IPSec トンネルが作成されます。各地域内の1対1の冗長データセンター。ピアリングに必要な追加のネットワーク要素は、Control Hub Virtual Connect アクティベーション フォームを通じて、パートナーまたは顧客から Cisco に交換されます。

下の図は、顧客側の 2 つのコンセントレータ オプションの仮想接続展開モデルの例を示しています。

仮想接続 - VPN はハブ設計であり、顧客のハブ サイトが特定の地域内の専用インスタンスのデータセンターの DC1 および DC2 に接続されます。

より良い冗長性のためには、2 つのハブ サイトが推奨されますが、2 つのトンネルを持つ One Hub サイトもサポートされている展開モデルです。

パートナーは顧客と緊密に連携し、 Virtual Connect サービス リージョンに最適なパスが選択されるようにすることが求められます。

下の図は、専用インスタンスのクラウド接続ピアリング リージョンを示しています。

Virtual Connect アドオンのルーティングは、専用インスタンスと顧客の設置型機器 (CPE) の間の外部 BGP (eB BGP) を使用して実装されます。Cisco は顧客の CPE に地域内の各冗長 DC に対してそれぞれのネットワークをアドバタイズし、CPE は Cisco へのデフォルトルートをアドバタイズする必要があります。

• Cisco は、

  • トンネルインターフェースIPアドレス指定(ルーティング用の一時的なリンク)Cisco は指定された共有アドレススペース(非パブリックルート)から割り当てる

  • トンネルトランスポートアドレス(シスコ側)

  • 顧客 BGP ルーティング構成用のプライベートな自律システム番号 (ASN)

    • Cisco は指定されたプライベートの使用範囲から割り当てる: 64512 ~ 65534

• eBGP は、専用インスタンスと CPE 間のルートを交換するために使用されます。

  • Cisco は指定された /24 ネットワークを各地域の各 DC に割り当て済み /25 に分割します

  • Virtual Connect 各 /25 ネットワークは、各ポイント間 VPN トンネル(一時的リンク)で Cisco により CPE にアドバタイズされます

  • CPE は適切な eBGP 近隣で構成される必要があります。1 つの CPE を使用する場合、2 つの eBGP 近隣が使用されます。1 つのリモートトンネルが 1 つポイントになります。2 つの CPE を使用する場合、各 CPE は 1 つの eBGP 近隣を持ち、CPE 用の 1 つのリモート トンネルに接続します。

  • 各 GRE トンネル (トンネルインターフェイス IP) の Cisco 側は、CPE の BGP 近隣として構成されます

  • CPE は各トンネルでデフォルトのルートをアドバタイズする必要があります

  • CPE は必要に応じて、サイト管理人の企業ネットワーク内で知らされたルートを再配布する責任を持っています。

• 非障害リンク障害状態では、単一 CPE には 2 つのアクティブ/アクティブトンネルがあります。2 つの CPE ノードについて、各 CPE は 1 つのアクティブなトンネルを持ち、両方の CPE ノードをアクティブにし、トラフィックを渡す必要があります。非障害シナリオの下で、トラフィックは正しい /25 宛先に進む 2 つのトンネルで分割する必要があります。トンネルの 1 つがダウンした場合、残りのトンネルは両方のトラフィックを実行できます。このような障害シナリオの下では、/25 ネットワークがダウンすると、/24 ネットワークがバックアップルートとして使用されます。Cisco は、接続が失われた DC に対して、内部 WAN 経由で顧客のトラフィックを送信します。

IPsec トンネル ネゴシエーションには、IKEv2 フェーズと IPsec フェーズの 2 つのフェーズが含まれます。IKEv2 フェーズのネゴシエーションが完了しない場合、2 番目の IPsec フェーズは開始されません。まず、コマンド「show crypto ikev2 sa」（シスコ機器の場合）または同様のコマンドをサードパーティ機器で発行して、IKEv2 セッションがアクティブかどうかを確認します。IKEv2 セッションがアクティブでない場合、考えられる理由は次のとおりです。

• 興味深いトラフィックは IPsec トンネルをトリガーしません。

• IPsec トンネル アクセス リストが正しく構成されていません。

• 顧客と専用インスタンス IPsec トンネルのエンドポイント IP との間に接続がありません。

• IKEv2 セッション パラメータが専用インスタンス側と顧客側で一致していません。

• ファイアウォールが IKEv2 UDP パケットをブロックしています。

まず、IPsec ログで IKEv2 トンネル ネゴシエーションの進行状況を示すメッセージを確認します。ログには、IKEv2 ネゴシエーションに問題がある場所が示される場合があります。ログ メッセージがない場合、IKEv2 セッションがアクティブ化されていないことを示している可能性もあります。

IKEv2 ネゴシエーションでよくあるエラーは次のとおりです。

• CPE 側の IKEv2 の設定が Cisco 側と一致していません。次の設定を再確認してください。

  • IKE バージョンがバージョン 2 であることを確認します。

  • 暗号化と認証のパラメータが専用インスタンス側で期待される暗号化と一致していることを確認します。

    「GCM」暗号が使用されている場合、GCM プロトコルが認証を処理し、認証パラメータを NULL に設定します。

  • 有効期間の設定を確認します。

  • Diffie Hellman 係数グループを検証します。

  • 疑似ランダム関数の設定を確認します。

• 暗号マップのアクセス リストが次のように設定されていません:

  • GREを許可する (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255" (または同等のコマンド)

    アクセス リストは「GRE」プロトコル専用である必要があり、「IP」プロトコルは機能しません。

ログ メッセージに IKEv2 フェーズのネゴシエーション アクティビティが表示されない場合は、パケット キャプチャが必要になる可能性があります。

適切に設定されている場合、次のように IPsec トンネルと第 1 フェーズの IKEv2 ネゴシエーションが開始されます。

• CPE 側 GRE トンネル インターフェイスから専用インスタンス側 GRE トンネル インターフェイスへの GRE キープアライブ。

• CPE 側 BGP ネイバーから専用インスタンス側 BGP ネイバーへの BGP ネイバー TCP セッション。

• CPE 側トンネル IP アドレスから専用インスタンス側トンネル IP アドレスに ping を実行します。

  トンネル トランスポート IP からトンネル トランスポート IP への ping は実行できません。トンネル IP からトンネル IP への ping を実行する必要があります。

IKEv2 トラフィックのパケット トレースが必要な場合は、UDP のフィルターとポート 500 (IPsec エンドポイントの中間に NAT デバイスがない場合) またはポート 4500 (IPsec エンドポイントの中間に NAT デバイスが挿入されている場合) を設定します。

ポート 500 または 4500 の IKEv2 UDP パケットが DI IPsec IP アドレスとの間で送受信されることを確認します。

IPsec 第 2 フェーズのトラブルシューティングを行う前に、IPsec 第 1 フェーズ (つまり、IKEv2 セキュリティ アソシエーション) がアクティブであることを確認します。IKEv2 セッションを確認するには、「show crypto ikev2 sa」または同等のコマンドを実行します。出力で、IKEv2 セッションが数秒以上稼働しており、バウンスしていないことを確認します。セッションの稼働時間は、出力ではセッションの「アクティブ時間」または同等の値として表示されます。

IKEv2 セッションが稼働中かつアクティブであることが確認されたら、IPsec セッションを調査します。IKEv2 セッションと同様に、「show crypto ipsec sa」または同等のコマンドを実行して IPsec セッションを確認します。GRE トンネルを確立する前に、IKEv2 セッションと IPsec セッションの両方がアクティブになっている必要があります。IPsec セッションがアクティブとして表示されない場合は、IPsec ログでエラー メッセージまたはネゴシエーション エラーを確認してください。

IPsec ネゴシエーション中に発生する可能性のある一般的な問題には次のようなものがあります。

CPE 側の設定が専用インスタンス側と一致していません。設定を再確認してください。

• 暗号化と認証のパラメータが専用インスタンス側の設定と一致していることを確認します。

• Perfect Forward Secrecy の設定を確認し、専用インスタンス側の設定と一致していることを確認します。

• 有効期間の設定を確認します。

• IPsec がトンネル モードで設定されていることを確認します。

• 送信元および宛先 IPsec アドレスを確認します。

IPsec および IKEv2 セッションが稼働中かつアクティブであることが検証されると、GRE トンネル キープアライブ パケットは専用インスタンスと CPE トンネル エンドポイント間を流れることができるようになります。トンネル インターフェイスのステータスが表示されない場合、一般的な問題は次のとおりです。

• トンネル インターフェイス トランスポート VRF がループバック インターフェイスの VRF と一致しません (トンネル インターフェイスで VRF 設定が使用されている場合)。

  トンネル インターフェイスで VRF 設定が使用されていない場合は、このチェックは無視できます。

• CPE側トンネルインターフェースでキープアライブが有効になっていない

  CPE 機器でキープアライブがサポートされていない場合は、専用インスタンス側のデフォルトのキープアライブも無効になるように Cisco に通知する必要があります。

  キープアライブがサポートされている場合は、キープアライブが有効になっていることを確認します。

• トンネル インターフェイスのマスクまたは IP アドレスが正しくなく、専用インスタンスの予想値と一致しません。

• 送信元または宛先のトンネル トランスポート アドレスが正しくなく、専用インスタンスの予想値と一致しません。

• ファイアウォールが、GRE パケットの IPsec トンネルへの送信または IPsec トンネルからの受信をブロックしています (GRE トンネルは IPsec トンネルを介して転送されます)

ping テストでは、ローカル トンネル インターフェイスが稼働しており、リモート トンネル インターフェイスへの接続が良好であることを確認する必要があります。トンネル IP (トランスポート IP ではありません) からリモート トンネル IP への ping チェックを実行します。

ping チェックの結果、送信元トンネル トランスポート IP から宛先トンネル トランスポート IP への GRE パケットが生成されますが、GRE パケットのペイロード (内部 IP) は送信元および宛先トンネル IP になります。

ping テストが成功せず、前述の項目が検証された場合は、icmp ping によって GRE パケットが生成され、それが IPsec パケットにカプセル化されて送信元 IPsec アドレスから宛先 IPsec アドレスに送信されていることを確認するために、パケット キャプチャが必要になることがあります。GRE トンネル インターフェイスのカウンターと IPsec セッション カウンターも、送受信パケットが増加しているかどうかを示すのに役立ちます。

キャプチャには、ping トラフィックに加えて、アイドル トラフィック中でもキープアライブ GRE パケットも表示される必要があります。最後に、BGP が設定されている場合は、BGP キープアライブ パケットも、VPN 経由で IPSEC パケットにカプセル化された GRE パケットとして送信される必要があります。

専用インスタンス側では、大きなパケット サイズに対して MTU を動的に調整するための 2 つの機能が有効になっています。GRE トンネルは、VPN セッションを流れる IP パケットにさらにヘッダーを追加します。IPsec トンネルは GRE ヘッダーの上に追加のヘッダーを追加し、トンネル上で許可される最大 MTU をさらに削減します。

GRE トンネルは MSS 機能を調整し、専用インスタンス側で MTU 検出機能の GRE トンネル パスが有効になります。「ip tcp adjust-mss 1350」または同等のコマンドと「tunnel」を設定します。 path\u0002mtu-discovery" または、VPN トンネルを通過するトラフィックの MTU を動的に調整するために顧客側で同等のコマンドを実行します。