Virtual Connect využíva dvojúrovňovú architektúru koncovej stanice, kde smerovanie a riadiace roviny GRE poskytuje jedno zariadenie a kontrolnú rovinu IPSec poskytuje druhé.

Po dokončení pripojenia Virtual Connect sa vytvoria dva tunely GRE over IPSec medzi podnikovou sieťou zákazníka a dátovými centrami Cisco Dedicated Instance. Jeden do každého redundantného dátového centra v rámci príslušného regiónu. Ďalšie sieťové prvky potrebné pre partnerský vzťah si partner alebo zákazník vymieňa so spoločnosťou Cisco prostredníctvom aktivačného formulára Control Hub Virtual Connect.

Obrázok 1 zobrazuje príklad modelu nasadenia Virtual Connect pre možnosť 2 koncentrátorov na strane zákazníka.

Virtual Connect – VPN je dizajn rozbočovača, kde sú zákaznícke rozbočovače pripojené k DC1 a DC2 dátových centier vyhradenej inštancie v rámci konkrétneho regiónu.

Pre lepšiu redundanciu sa odporúčajú dve lokality Hub, ale podporovaným modelom nasadenia je aj lokalita One Hub s dvoma tunelmi.

Od partnerov sa očakáva, že budú úzko spolupracovať so zákazníkmi a zabezpečia výber najoptimálnejšej cesty pre oblasť služieb „Virtual Connect“.

Obrázok 2 zobrazuje peeringové oblasti vyhradenej inštancie cloudového pripojenia.

Doplnok Routing for Virtual Connect je implementovaný pomocou externého BGP (eBGP) medzi vyhradenou inštanciou a zariadením zákazníka (CPE). Cisco bude inzerovať svoju príslušnú sieť pre každý redundantný DC v rámci regiónu k CPE zákazníka a CPE musí inzerovať predvolenú cestu do Cisco.

• Cisco udržiava a prideľuje

  • Tunel Interface IP adresovanie (prechodné prepojenie na smerovanie) Cisco prideľuje z určeného zdieľaného priestoru adries (neverejne smerovateľné)

  • Cieľová adresa dopravy v tuneli (strana spoločnosti Cisco)

  • Súkromné čísla autonómnych systémov (ASN) pre konfiguráciu smerovania BGP zákazníka

    • Cisco priraďuje z určeného rozsahu súkromného použitia: 64512 až 65534

• eBGP sa používa na výmenu trás medzi vyhradenou inštanciou a CPE

  • Cisco rozdelí pridelenú sieť /24 na 2 /25 pre každý DC v príslušnom regióne

  • V rámci Virtual Connect je každá sieť /25 inzerovaná späť do CPE spoločnosťou Cisco cez príslušné tunely typu point-to-point VPN (prechodné prepojenie)

  • CPE musí byť nakonfigurované s príslušnými susedmi eBGP. Ak používate jeden CPE, použijú sa dvaja susedia eBGP, jeden ukazuje na každý vzdialený tunel. Ak používate dva CPE, potom každé CPE bude mať jedného suseda eBGP smerujúceho do jediného vzdialeného tunela pre CPE.

  • Strana Cisco každého tunela GRE (IP tunelového rozhrania) je nakonfigurovaná ako sused BGP na CPE

  • CPE sa vyžaduje na inzerovanie predvolenej trasy cez každý z tunelov

  • CPE je zodpovedný za redistribúciu podľa potreby naučených ciest v rámci podnikovej siete zákazníka.

• V prípade zlyhania spojenia bez zlyhania bude mať jeden CPE dva aktívne/aktívne tunely. Pre dva uzly CPE bude mať každý CPE jeden aktívny tunel a oba uzly CPE by mali byť aktívne a mali by prechádzať prevádzkou. V scenári bez zlyhania sa musí premávka rozdeliť do dvoch tunelov smerujúcich do správnych /25 cieľov, ak jeden z tunelov spadne, zostávajúci tunel môže prenášať premávku pre oba. Pri takomto scenári zlyhania, keď je sieť /25 mimo prevádzky, potom sa sieť /24 používa ako záložná trasa. Cisco bude posielať zákaznícky prenos cez svoju internú WAN do DC, ktoré stratilo konektivitu.

Vyjednávanie tunela IPsec zahŕňa dve fázy, fázu IKEv2 a fázu IPsec. Ak sa vyjednávanie fázy IKEv2 nedokončí, druhá fáza IPsec sa nespustí. Najprv zadajte príkaz „show crypto ikev2 sa“ (na zariadení Cisco) alebo podobný príkaz na zariadení tretej strany, aby ste overili, či je relácia IKEv2 aktívna. Ak relácia IKEv2 nie je aktívna, možné dôvody môžu byť:

• Zaujímavá prevádzka nespúšťa tunel IPsec.

• Prístupový zoznam tunela IPsec je nesprávne nakonfigurovaný.

• Medzi zákazníkom a IPsec tunelového tunela vyhradenej inštancie neexistuje žiadne prepojenie.

• Parametre relácie IKEv2 sa nezhodujú medzi stranou vyhradenej inštancie a stranou zákazníka.

• Firewall blokuje pakety IKEv2 UDP.

Najprv skontrolujte protokoly IPsec, či neobsahujú správy, ktoré ukazujú priebeh vyjednávania tunela IKEv2. Protokoly môžu naznačovať, kde sa vyskytol problém s vyjednávaním IKEv2. Nedostatok protokolovacích správ môže tiež naznačovať, že relácia IKEv2 nie je aktivovaná.

Niektoré bežné chyby pri vyjednávaní IKEv2 sú:

• Nastavenia pre IKEv2 na strane CPE nezodpovedajú strane Cisco, znova skontrolujte uvedené nastavenia:

  • Skontrolujte, či je verzia IKE verzia 2.

  • Overte, či sa parametre šifrovania a overovania zhodujú s očakávaným šifrovaním na strane vyhradenej inštancie.

    Keď sa používa šifra „GCM“, protokol GCM spracuje overenie a nastaví parameter overenia na hodnotu NULL.

  • Skontrolujte nastavenie životnosti.

  • Overte skupinu modulov Diffie Hellman.

  • Overte nastavenia Pseudo Random Function.

• Zoznam prístupových práv pre krypto mapu nie je nastavený na:

  • Povoliť GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255" (alebo ekvivalentný príkaz)

    Prístupový zoznam musí byť špecificky pre protokol „GRE“ a protokol „IP“ nebude fungovať.

Ak správy denníka nezobrazujú žiadnu aktivitu vyjednávania pre fázu IKEv2, môže byť potrebné zachytenie paketov.

Pri správnej konfigurácii sa spustí tunel IPsec a prvá fáza vyjednávania IKEv2:

• GRE udržiava z rozhrania GRE tunela na strane CPE do rozhrania tunela GRE na strane vyhradenej inštancie.

• Susedná TCP relácia BGP od suseda BGP na strane BGP suseda vyhradenej inštancie.

• Pingujte z IP adresy bočného tunela CPE na IP adresu bočného tunela vyhradenej inštancie.

  Ping nemôže byť tunelová transportná IP do tunelovej transportnej IP, musí to byť tunelová IP do tunelovej IP.

Ak je pre prenos IKEv2 potrebné sledovanie paketov, nastavte filter pre UDP a buď port 500 (keď sa v strede koncových bodov IPsec nenachádza žiadne zariadenie NAT) alebo port 4500 (keď je zariadenie NAT vložené do stredu IPsec koncové body).

Overte, či sa pakety IKEv2 UDP s portom 500 alebo 4500 odosielajú a prijímajú na a z adresy IP DI IPsec.

Pred riešením problémov s druhou fázou IPsec overte, či je aktívna prvá fáza IPsec (t. j. priradenie zabezpečenia IKEv2). Vykonajte príkaz „show crypto ikev2 sa“ alebo ekvivalentný príkaz na overenie relácie IKEv2. Vo výstupe overte, či relácia IKEv2 trvá dlhšie ako niekoľko sekúnd a či nedochádza k odrazom. Doba prevádzkyschopnosti relácie sa vo výstupe zobrazuje ako relácia „Aktívny čas“ alebo ekvivalent.

Keď sa relácia IKEv2 overí ako aktívna a aktívna, preskúmajte reláciu IPsec. Rovnako ako pri relácii IKEv2 vykonajte príkaz „show crypto ipsec sa“ alebo ekvivalentný príkaz na overenie relácie IPsec. Pred vytvorením tunela GRE musia byť aktívna relácia IKEv2 aj relácia IPsec. Ak sa relácia IPsec nezobrazuje ako aktívna, skontrolujte protokoly IPsec, či neobsahujú chybové hlásenia alebo chyby pri vyjednávaní.

Niektoré z bežnejších problémov, s ktorými sa možno stretnúť počas rokovaní o IPsec, sú:

Nastavenia na strane CPE sa nezhodujú so stranou vyhradenej inštancie, znova skontrolujte nastavenia:

• Skontrolujte, či sa parametre šifrovania a overovania zhodujú s nastaveniami na strane Vyhradená inštancia.

• Overte nastavenia Perfect Forward Secrecy a či sa zhodujú nastavenia na strane Dedicated Instance.

• Overte nastavenia životnosti.

• Overte, či bol IPsec nakonfigurovaný v režime tunela.

• Overte zdrojovú a cieľovú adresu IPsec.

Keď sú relácie IPsec a IKEv2 overené ako aktívne a udržiavané, pakety GRE tunela môžu prúdiť medzi koncovými bodmi vyhradenej inštancie a tunela CPE. Ak sa stav rozhrania tunela nezobrazuje, niektoré bežné problémy sú:

• Transport VRF rozhrania tunela sa nezhoduje s VRF rozhrania spätnej slučky (ak sa na rozhraní tunela používa konfigurácia VRF).

  Ak sa na rozhraní tunela nepoužíva konfigurácia VRF, túto kontrolu možno ignorovať.

• Keepalives nie sú povolené na rozhraní bočného tunela CPE

  Ak zariadenie CPE nepodporuje udržiavanie, potom musí byť spoločnosť Cisco upozornená, aby sa zakázali aj predvolené udržiavania na strane vyhradenej inštancie.

  Ak sú udržiavané životy podporované, overte, či sú povolené udržiavanie života.

• Maska alebo IP adresa rozhrania tunela nie je správna a nezodpovedá očakávaným hodnotám vyhradenej inštancie.

• Adresa prenosu zdroja alebo cieľa tunela nie je správna a nezodpovedá očakávaným hodnotám vyhradenej inštancie.

• Brána firewall blokuje odosielanie paketov GRE do tunela IPsec alebo prijímanie z tunela IPsec (tunel GRE sa prenáša cez tunel IPsec)

Test ping by mal overiť, či je aktívne rozhranie lokálneho tunela a či je dobré pripojenie k rozhraniu vzdialeného tunela. Vykonajte kontrolu ping z IP tunela (nie transportnej IP) do IP vzdialeného tunela.

Výsledkom kontroly pingu je paket GRE, ktorý sa vygeneruje z IP transportného tunela zdroja do cieľového tunela IP, zatiaľ čo užitočné zaťaženie paketu GRE (vnútorná IP) bude IP zdroja a cieľa tunela.

Ak test ping nie je úspešný a predchádzajúce položky sú overené, môže byť potrebné zachytenie paketov, aby sa zabezpečilo, že výsledkom icmp ping bude paket GRE, ktorý je potom zapuzdrený do paketu IPsec a odoslaný zo zdrojovej adresy IPsec na cieľovú IPsec adresu. Počítadlá na rozhraní tunela GRE a počítadlá relácií IPsec môžu tiež pomôcť zobraziť. ak sa odosielané a prijímacie pakety zvyšujú.

Okrem ping prevádzky by zachytávanie malo tiež zobrazovať udržiavacie GRE pakety aj počas nečinnej prevádzky. Nakoniec, ak je nakonfigurované BGP, pakety udržiavania BGP by sa mali odosielať aj ako pakety GRE zapuzdrené v paketoch IPSEC aj cez VPN.

Na strane vyhradenej inštancie sú povolené dve funkcie na dynamickú úpravu MTU pre veľké veľkosti paketov. Tunel GRE pridáva ďalšie hlavičky do paketov IP prúdiacich cez reláciu VPN. Tunel IPsec pridáva ďalšie hlavičky na hlavičky GRE ďalej zníži najväčšiu povolenú MTU v tuneli.

Tunel GRE upravuje funkciu MSS a cesta tunela GRE vo funkcii zisťovania MTU je povolená na strane vyhradenej inštancie. Nakonfigurujte príkaz „ip tcp adjust-mss 1350“ alebo ekvivalentný príkaz, ako aj príkaz „tunel path\u0002mtu-discovery“ alebo ekvivalentný príkaz na strane zákazníka, aby ste pomohli s dynamickým prispôsobením MTU prevádzky cez tunel VPN.