Virtuálne pripojenie využíva dvojvrstvovú architektúru koncovej stanice, kde smerovacie a riadiace roviny GRE poskytuje jedno zariadenie a riadiacu rovinu IPSec poskytuje druhé.

Po dokončení pripojenia Virtual Connect sa medzi podnikovou sieťou zákazníka a dátovými centrami spoločnosti Cisco pre vyhradené inštancie vytvoria dva tunely GRE cez IPSec. Jeden pre každé redundantné dátové centrum v príslušnom regióne. Ďalšie sieťové prvky potrebné pre peering si partner alebo zákazník vymieňa so spoločnosťou Cisco prostredníctvom aktivačného formulára Control Hub Virtual Connect.

Obrázok nižšie zobrazuje príklad modelu nasadenia virtuálneho pripojenia pre možnosť s 2 koncentrátormi na strane zákazníka.

Virtuálne pripojenie – VPN je dizajn Hub, kde sú lokality Hub zákazníka pripojené k dátovým centrám DC1 a DC2 vyhradenej inštancie v rámci konkrétneho regiónu.

Pre lepšiu redundanciu sa odporúčajú dve Hub lokality, ale podporovaný model nasadenia je aj jedna Hub lokalita s dvoma tunelmi.

Od partnerov sa očakáva úzka spolupráca so zákazníkmi a zabezpečenie výberu najoptimálnejšej cesty pre oblasť služieb Virtual Connect.

Obrázok nižšie zobrazuje peeringové oblasti pripojenia vyhradenej inštancie do cloudu.

Smerovanie pre doplnok Virtual Connect je implementované pomocou externého BGP (eBGP) medzi vyhradenou inštanciou a zariadením zákazníka (CPE). Spoločnosť Cisco bude inzerovať svoju príslušnú sieť pre každý redundantný DC v rámci regiónu koncovému bodu zákazníka a koncový bod zákazníka je povinný inzerovať predvolenú trasu spoločnosti Cisco.

• Spoločnosť Cisco udržiava a prideľuje

  • IP adresovanie tunelového rozhrania (prechodné prepojenie pre smerovanie) Cisco priraďuje z určeného zdieľaného adresného priestoru (neverejne smerovateľného)

  • Adresa cieľa tunelovej prepravy (strana spoločnosti Cisco)

  • Čísla súkromných autonómnych systémov (ASN) pre konfiguráciu smerovania BGP zákazníka

    • Spoločnosť Cisco priraďuje z určeného rozsahu súkromného použitia: 64512 až 65534

• eBGP používaný na výmenu trás medzi vyhradenou inštanciou a CPE

  • Spoločnosť Cisco rozdelí pridelené /24 sieť do 2 /25 jeden pre každý DC v príslušnom regióne

  • Vo Virtuálnom pripojení každý /25 sieť je spoločnosťou Cisco inzerovaná späť do CPE cez príslušné tunely VPN typu point-to-point (prechodné spojenie)

  • CPE musí byť nakonfigurované s príslušnými susedmi eBGP. Ak sa používa jedno CPE, použijú sa dvaja susedia eBGP, jeden smerujúci do každého vzdialeného tunela. Ak sa používajú dve CPE zariadenia, každé CPE bude mať jedného suseda eBGP smerujúceho k jednému vzdialenému tunelu pre dané CPE.

  • Strana Cisco každého GRE tunela (IP rozhranie tunela) je nakonfigurovaná ako BGP neighbor na CPE.

  • CPE musí inzerovať predvolenú trasu cez každý z tunelov.

  • CPE je zodpovedné za prerozdelenie naučených trás v rámci podnikovej siete zákazníka podľa potreby.

• V stave zlyhania linky bez poruchy bude mať jedno CPE dve active/active tunely. Pre dva uzly CPE bude mať každý CPE jeden aktívny tunel a oba uzly CPE by mali byť aktívne a prepúšťať prevádzku. V scenári bez poruchy sa musí doprava rozdeliť do dvoch tunelov smerujúcich do správneho /25 destinácie, ak jeden z tunelov skolabuje, zostávajúci tunel môže prepraviť dopravu pre obe. V takomto scenári zlyhania, keď /25 sieť je nefunkčná, potom /24 sieť sa používa ako záložná trasa. Spoločnosť Cisco bude posielať zákaznícku prevádzku cez svoju internú sieťovú sieť WAN smerom k centrále domény, ktorá stratila pripojenie.

Vyjednávanie tunela IPsec zahŕňa dve fázy, fázu IKEv2 a fázu IPsec. Ak sa vyjednávanie fázy IKEv2 nedokončí, druhá fáza IPsec sa nezačne. Najprv zadajte príkaz „show crypto ikev2 sa“ (na zariadeniach Cisco) alebo podobný príkaz na zariadeniach tretej strany, aby ste overili, či je relácia IKEv2 aktívna. Ak relácia IKEv2 nie je aktívna, možné príčiny môžu byť:

• Zaujímavá prevádzka nespúšťa tunel IPsec.

• Zoznam prístupových bodov tunela IPsec je nesprávne nakonfigurovaný.

• Medzi zákazníkom a koncovou IP adresou tunela IPsec vyhradenej inštancie nie je žiadne pripojenie.

• Parametre relácie IKEv2 sa nezhodujú medzi stranou vyhradenej inštancie a stranou zákazníka.

• Brána firewall blokuje pakety IKEv2 UDP.

Najprv skontrolujte protokoly IPsec, či neobsahujú správy, ktoré zobrazujú priebeh vyjednávania tunela IKEv2. V protokoloch môže byť uvedené, kde sa vyskytol problém s vyjednávaním IKEv2. Absencia správ v protokole môže tiež naznačovať, že relácia IKEv2 nie je aktivovaná.

Niektoré bežné chyby pri vyjednávaní IKEv2 sú:

• Nastavenia pre IKEv2 na strane CPE sa nezhodujú so stranami Cisco, znova skontrolujte uvedené nastavenia:

  • Skontrolujte, či je verzia IKE verzia 2.

  • Overte, či parametre šifrovania a overovania zodpovedajú očakávanému šifrovaniu na strane vyhradenej inštancie.

    Keď sa používa šifra „GCM“, protokol GCM spracováva autentifikáciu a nastavuje parameter autentifikácie na hodnotu NULL.

  • Overte nastavenie životnosti.

  • Overte Diffie-Hellmanovu modulovú grupu.

  • Overte nastavenia funkcie Pseudo Random.

• Prístupový zoznam pre krypto mapu nie je nastavený na:

  • Povolenie GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255" (alebo ekvivalentný príkaz)

    Zoznam prístupových práv musí byť špecificky pre protokol „GRE“ a protokol „IP“ nebude fungovať.

Ak správy v protokole neukazujú žiadnu vyjednávaciu aktivitu pre fázu IKEv2, môže byť potrebné zachytenie paketov.

Po správnej konfigurácii sa spustí tunel IPsec a prvá fáza vyjednávania IKEv2:

• Udržiavanie prítomnosti GRE z rozhrania tunela GRE na strane CPE do rozhrania tunela GRE na strane vyhradenej inštancie.

• BGP neighbor TCP relácia zo suseda BGP na strane CPE do suseda BGP na strane vyhradenej inštancie.

• Vykonajte príkaz ping z IP adresy tunela na strane CPE na IP adresu tunela na strane vyhradenej inštancie.

  Ping nemôže byť IP adresa tunela do IP adresy tunela, musí byť IP adresa tunela do IP adresy tunela.

Ak je pre prevádzku IKEv2 potrebné sledovanie paketov, nastavte filter pre UDP a buď port 500 (keď sa uprostred koncových bodov IPsec nenachádza žiadne zariadenie NAT), alebo port 4500 (keď je uprostred koncových bodov IPsec vložené zariadenie NAT).

Overte, či sa pakety IKEv2 UDP s portom 500 alebo 4500 odosielajú a prijímajú na a z IP adresy DI IPsec.

Pred riešením problémov s druhou fázou IPsec overte, či je aktívna prvá fáza IPsec (t. j. bezpečnostné priradenie IKEv2). Vykonajte príkaz „show crypto ikev2 sa“ alebo ekvivalentný príkaz na overenie relácie IKEv2. Vo výstupe overte, či je relácia IKEv2 aktívna dlhšie ako niekoľko sekúnd a či sa nedeaktivuje. Doba prevádzkyschopnosti relácie sa vo výstupe zobrazuje ako „aktívny čas“ relácie alebo ekvivalent.

Keď sa overí, že relácia IKEv2 je spustená a aktívna, preskúmajte reláciu IPsec. Rovnako ako v prípade relácie IKEv2, vykonajte príkaz „show crypto ipsec sa“ alebo ekvivalentný príkaz na overenie relácie IPsec. Pred vytvorením tunela GRE musia byť aktívne relácie IKEv2 aj IPsec. Ak sa relácia IPsec nezobrazuje ako aktívna, skontrolujte protokoly IPsec, či neobsahujú chybové hlásenia alebo chyby vyjednávania.

Medzi najčastejšie problémy, s ktorými sa môžete stretnúť počas rokovaní o IPsec, patria:

Nastavenia na strane CPE sa nezhodujú so stranami vyhradenej inštancie, znova skontrolujte nastavenia:

• Overte, či sa parametre šifrovania a overovania zhodujú s nastaveniami na strane vyhradenej inštancie.

• Overte nastavenia funkcie Perfect Forward Secrecy a či sa zhodujú s nastaveniami na strane vyhradenej inštancie.

• Overte nastavenia životnosti.

• Overte, či bol IPsec nakonfigurovaný v tunelovom režime.

• Overte zdrojovú a cieľovú IPsec adresu.

Keď sa overí, že relácie IPsec a IKEv2 sú spustené a aktívne, pakety keepalive tunela GRE môžu prúdiť medzi koncovými bodmi vyhradenej inštancie a tunela CPE. Ak sa stav rozhrania tunela nezobrazuje, niektoré bežné problémy sú:

• VRF prenosového rozhrania tunela sa nezhoduje s VRF rozhrania spätnej slučky (ak sa na rozhraní tunela používa konfigurácia VRF).

  Ak sa na rozhraní tunela nepoužíva konfigurácia VRF, túto kontrolu možno ignorovať.

• Funkcie Keepalive nie sú povolené na rozhraní tunela na strane CPE.

  Ak zariadenia CPE nepodporujú funkcie keepalive, spoločnosť Cisco musí byť o tom informovaná, aby sa predvolené funkcie keepalive na strane vyhradenej inštancie tiež deaktivovali.

  Ak sú podporované funkcie keepalive, overte, či sú povolené.

• Maska alebo IP adresa tunelového rozhrania nie je správna a nezodpovedá očakávaným hodnotám vyhradenej inštancie.

• Zdrojová alebo cieľová transportná adresa tunela nie je správna a nezodpovedá očakávaným hodnotám vyhradenej inštancie.

• Brána firewall blokuje pakety GRE odosielané do tunela IPsec alebo prijímané z tunela IPsec (tunel GRE sa prenáša cez tunel IPsec).

Test ping by mal overiť, či je lokálne tunelové rozhranie funkčné a či je pripojenie k vzdialenému tunelovému rozhraniu dobré. Vykonajte kontrolu ping z IP adresy tunela (nie transportnej IP adresy) na IP adresu vzdialeného tunela.

Výsledkom kontroly ping je paket GRE, ktorý sa vygeneruje zo zdrojovej IP adresy tunela do cieľovej IP adresy tunela, pričom užitočné zaťaženie paketu GRE (vnútorná IP adresa) bude zdrojová a cieľová IP adresa tunela.

Ak test ping nie je úspešný a predchádzajúce položky sú overené, môže byť potrebné zachytenie paketov, aby sa zabezpečilo, že test ping ICMP vedie k vygenerovaniu paketu GRE, ktorý je potom zapuzdrený do paketu IPsec a následne odoslaný zo zdrojovej adresy IPsec na cieľovú adresu IPsec. Počítadlá na rozhraní tunela GRE a počítadlá relácií IPsec môžu tiež pomôcť zobraziť, či sa počet odosielaných a prijímaných paketov zvyšuje.

Okrem prevádzky ping by mal zachytený prenos zobrazovať aj keepalive GRE pakety, a to aj počas nečinnej prevádzky. Nakoniec, ak je nakonfigurovaný protokol BGP, pakety BGP keepalive by sa mali odosielať aj ako pakety GRE zapuzdrené v paketoch IPSEC cez VPN.

Na strane vyhradenej inštancie sú povolené dve funkcie na dynamické nastavenie MTU pre veľké veľkosti paketov. Tunel GRE pridáva ďalšie hlavičky k IP paketom prechádzajúcim cez reláciu VPN. Tunel IPsec pridáva ďalšie hlavičky nad hlavičky GRE, čo ďalej zníži najväčšiu povolenú hodnotu MTU v tuneli.

Tunel GRE upravuje funkciu MSS a cesta tunela GRE vo funkcii zisťovania MTU je povolená na strane vyhradenej inštancie. Nakonfigurujte príkaz „ip tcp adjust-mss 1350“ alebo ekvivalentný, ako aj „tunnel path\u0002mtu-discovery" alebo ekvivalentný príkaz na strane zákazníka, ktorý pomôže s dynamickým nastavením MTU prevádzky cez VPN tunel.