Virtual Connectは、デュアルティアのヘッドエンドアーキテクチャを使用し、ルーティングとGREコントロール飛行機が 1 つのデバイスによって提供され、IPSec コントロール飛行機が別のデバイスによって提供されます。

仮想接続接続が完了すると、顧客のエンタープライズネットワークと専用インスタンスの Cisco のデータセンター間に 2 つの GRE over IPSec トンネルが作成されます。各地域内の1対1の冗長データセンター。ピアリングに必要な追加のネットワーク要素は、Control Hub Virtual Connect アクティベーション フォームを通じて、パートナーまたは顧客から Cisco に交換されます。

次の図は、顧客側の 2 コンセントレータオプションの仮想接続展開モデルの例です。

仮想接続 - VPN はハブ設計であり、顧客のハブ サイトが特定の地域内の専用インスタンスのデータセンターの DC1 および DC2 に接続されます。

より良い冗長性のためには、2 つのハブ サイトが推奨されますが、2 つのトンネルを持つ One Hub サイトもサポートされている展開モデルです。

パートナーは顧客と緊密に連携し、仮想接続 サービス地域に最適なパスを選択する必要があります。

次の図は、専用インスタンスのクラウド接続ピアリング領域を示しています。

Virtual Connect アドオンのルーティングは、専用インスタンスと顧客の設置型機器 (CPE) の間の外部 BGP (eB BGP) を使用して実装されます。Cisco は顧客の CPE に地域内の各冗長 DC に対してそれぞれのネットワークをアドバタイズし、CPE は Cisco へのデフォルトルートをアドバタイズする必要があります。

• Cisco は、

  • トンネルインターフェースIPアドレス指定(ルーティング用の一時的なリンク)Cisco は指定された共有アドレススペース(非パブリックルート)から割り当てる

  • トンネルトランスポートアドレス(シスコ側)

  • 顧客 BGP ルーティング構成用のプライベートな自律システム番号 (ASN)

    • Cisco は指定されたプライベートの使用範囲から割り当てる: 64512 ~ 65534

• eBGP は、専用インスタンスと CPE 間のルートを交換するために使用されます。

  • Cisco は指定された /24 ネットワークを各地域の各 DC に割り当て済み /25 に分割します

  • Virtual Connect 各 /25 ネットワークは、各ポイント間 VPN トンネル(一時的リンク)で Cisco により CPE にアドバタイズされます

  • CPE は適切な eBGP 近隣で構成される必要があります。1 つの CPE を使用する場合、2 つの eBGP 近隣が使用されます。1 つのリモートトンネルが 1 つポイントになります。2 つの CPE を使用する場合、各 CPE は 1 つの eBGP 近隣を持ち、CPE 用の 1 つのリモート トンネルに接続します。

  • 各 GRE トンネル (トンネルインターフェイス IP) の Cisco 側は、CPE の BGP 近隣として構成されます

  • CPE は各トンネルでデフォルトのルートをアドバタイズする必要があります

  • CPE は必要に応じて、サイト管理人の企業ネットワーク内で知らされたルートを再配布する責任を持っています。

• 非障害リンク障害状態では、単一 CPE には 2 つのアクティブ/アクティブトンネルがあります。2 つの CPE ノードについて、各 CPE は 1 つのアクティブなトンネルを持ち、両方の CPE ノードをアクティブにし、トラフィックを渡す必要があります。非障害シナリオの下で、トラフィックは正しい /25 宛先に進む 2 つのトンネルで分割する必要があります。トンネルの 1 つがダウンした場合、残りのトンネルは両方のトラフィックを実行できます。このような障害シナリオの下では、/25 ネットワークがダウンすると、/24 ネットワークがバックアップルートとして使用されます。Cisco は、接続が失われた DC に対して、内部 WAN 経由で顧客のトラフィックを送信します。

IPsec トンネル ネゴシエーションには、IKEv2 フェーズと IPsec フェーズの 2 つのフェーズが含まれます。IKEv2 フェーズネゴシエーションが完了しない場合、2 番目の IPsec フェーズが開始されません。まず、「show crypto ikev2 sa」（Cisco 機器上）コマンド、またはサードパーティ機器上の同様のコマンドを発行して、IKEv2 セッションがアクティブかどうかを確認します。IKEv2 セッションがアクティブでない場合、次の潜在的な理由があります。

• 興味深いトラフィックは IPsec トンネルをトリガーしません。

• IPsec トンネル アクセス リストの設定が間違っています。

• 顧客と専用インスタンス IPsec トンネル エンドポイント IP 間に接続性がありません。

• IKEv2 セッション パラメータが専用インスタンス側と顧客側の間で一致しません。

• ファイアウォールが IKEv2 UDP パケットをブロックしています。

まず、IKEv2 トンネル ネゴシエーションの進行状況を示すメッセージの IPsec ログを確認します。ログは IKEv2 ネゴシエーションに問題がある場所を示す場合があります。ログメッセージの欠如は、IKEv2 セッションがアクティブになっていないことを示す場合もあります。

IKEv2 ネゴシエーションの一般的なエラーは次のとおりです。

• CPE 側の IKEv2 の設定が Cisco 側と一致しません。上記の設定を再確認してください。

  • IKE バージョンがバージョン 2 であることを確認します。

  • 暗号化と認証のパラメータが、専用インスタンス側の期待される暗号化と一致することを確認します。

    「GCM」暗号が使用されている場合、GCM プロトコルは認証を処理し、認証パラメータを NULL に設定します。

  • 有効期間設定を確認します。

  • Diffie Hellman 係数グループを確認します。

  • 疑似ランダム関数設定を確認します。

• 暗号マップのアクセス リストは次のように設定されていません。

  • GRE (local_tunnel_transport_ip) 255.255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255" (または同等のコマンド)

    アクセス リストは「GRE」プロトコル専用のものでなければならず、「IP」プロトコルは機能しません。

ログ メッセージが IKEv2 フェーズのネゴシエーションアクティビティを表示していない場合は、パケット キャプチャが必要になる場合があります。

正しく設定すると、IPsec トンネルと第 1 フェーズ IKEv2 ネゴシエーションが開始されます。

• CPE 側の GRE トンネル インターフェイスから専用インスタンス側の GRE トンネル インターフェイスへの GRE キープアライブ。

• CPE 側の BGP ネイバーから専用インスタンス側の BGP ネイバーへの BGP ネイバーの TCP セッション。

• CPE 側トンネル IP アドレスから専用インスタンス側トンネル IP アドレスに ping します。

  ping はトンネル トランスポート IP からトンネル IP にすることはできません。トンネル IP からトンネル IP にする必要があります。

IKEv2 トラフィックにパケット トレースが必要な場合は、UDP およびポート 500（NAT デバイスが IPsec エンドポイントの真ん中にない場合）またはポート 4500（nat デバイスが IPsec エンドポイントの真ん中に挿入されている場合）のいずれかのフィルタを設定します。

ポート 500 または 4500 を含む IKEv2 UDP パケットが DI IPsec IP アドレスとの間で送受信されることを確認します。

IPsec 第 2 フェーズをトラブルシューティングする前に、IPsec 第 1 フェーズ（つまり IKEv2 セキュリティ関連付け）がアクティブであることを確認します。「show crypto ikev2 sa」または同等のコマンドを実行して、IKEv2 セッションを確認します。出力で、IKEv2 セッションが数秒以上稼働し、バウンスしていないことを確認します。セッションの稼働時間は、セッションの「アクティブ時間」または同等の出力として表示されます。

IKEv2 セッションがアップおよびアクティブであると確認したら、IPsec セッションを調査します。IKEv2 セッションと同様に、「show crypto ipsec sa」または同等のコマンドを実行して IPsec セッションを確認します。GRE トンネルが確立される前に、IKEv2 セッションと IPsec セッションの両方をアクティブにする必要があります。IPsec セッションがアクティブとして表示されない場合は、IPsec ログでエラーメッセージまたはネゴシエーションエラーを確認します。

IPsec のネゴシエーション中に発生する可能性のある最も一般的な問題には、次のものがあります。

CPE 側の設定が専用インスタンス側と一致しない場合は、次の設定を再確認してください。

• 暗号化と認証のパラメータが専用インスタンス側の設定と一致していることを確認します。

• Perfect Forward Secrecy の設定と、専用インスタンス側の設定が一致することを確認します。

• 有効期間設定を確認します。

• IPsec がトンネル モードで設定されていることを確認します。

• 発信元と宛先 IPsec アドレスを確認します。

IPsec および IKEv2 セッションがアップおよびアクティブとして検証されると、GRE トンネル キープアライブ パケットは専用インスタンスと CPE トンネル エンドポイント間でフローティングできます。トンネル インターフェイスがステータスを表示していない場合、次のような一般的な問題があります。

• トンネル インターフェイスのトランスポート VRF は、ループバック インターフェイスの VRF と一致しません（VRF 設定がトンネル インターフェイスで使用されている場合）。

  VRF 設定がトンネル インターフェイスで使用されていない場合、このチェックは無視できます。

• キープアライブは CPE 側のトンネル インターフェイスで有効になっていません

  キープアライブが CPE 機器でサポートされていない場合、専用インスタンス側のデフォルト キープアライブも無効になるように、Cisco に通知する必要があります。

  キープアライブがサポートされている場合は、キープアライブが有効になっていることを確認します。

• トンネル インターフェイスのマスクまたは IP アドレスが間違っており、専用インスタンスの期待値と一致しません。

• 送信元または送信先のトンネル トランスポート アドレスが間違っており、専用インスタンスの期待値と一致しません。

• ファイアウォールが GRE パケットを IPsec トンネルに送信するか、IPsec トンネルから受信することをブロックしています（GRE トンネルは IPsec トンネルを介して転送されます）。

ping テストでは、ローカル トンネル インターフェイスが起動し、リモート トンネル インターフェイスとの接続が良好であることを確認する必要があります。トンネル IP（トランスポート IP ではなく）からリモート トンネル IP への ping チェックを実行します。

ping チェックは、ソース トンネル トランスポート IP から宛先トンネル トランスポート IP に生成される GRE パケットで、GRE パケット（内部 IP）のペイロードが送信元および宛先トンネル IP になります。

ping テストが成功せず、上記の項目が検証された場合、icmp ping が GRE パケットとなり、それを IPsec パケットにカプセル化され、送信元 IPsec アドレスから宛先 IPsec アドレスに送信されることを確認するためにパケット キャプチャが必要となる場合があります。GRE トンネル インターフェイスのカウンタと IPsec セッション カウンタは、送受信パケットが増加している場合に表示にも役立ちます。

ping トラフィックに加えて、キャプチャはアイドルトラフィック中でもキープアライブ GRE パケットを表示する必要があります。最後に、BGP が設定されている場合、BGP キープアライブ パケットも、IPSEC パケットおよび VPN 経由でカプセル化された GRE パケットとして送信する必要があります。

専用インスタンス側では、大きなパケット サイズに対して MTU を動的に調整するための 2 つの機能が有効になっています。GRE トンネルは、VPN セッションを経由する IP パケットにより多くのヘッダーを追加します。IPsec トンネルは、GRE ヘッダーの上に追加のヘッダーを追加することで、トンネル上で許可される最大の MTU をさらに縮小します。

GRE トンネルは MSS 機能を調整し、MTU 検出機能の GRE トンネル パスは専用インスタンス側で有効になります。顧客側に "ip tcp adjust-mss 1350" または同等のコマンド、および "tunnel path\u0002mtu-discovery" または同等のコマンドを設定して、VPN トンネル経由のトラフィックの MTU の動的な調整を支援します。