Virtual Connect, yönlendirme ve GRE kontrolünün bir cihaz tarafından sağlanmıştır ve IPSec kontrol aracı başka bir kişi tarafından sağlanmıştır çift katmanlu uç mimarisi kullanır.

Sanal Bağlantı bağlantısı tamamlandıktan sonra, Müşterinin kurumsal ağı ve Adanmış Örnek Cisco'nun veri merkezleri arasında iki GRE IPSec tüneli oluşturulacak. İlgili Bölge içindeki her yedekli veri merkezinden. Eşleme için gereken ek ağ öğeleri, İş Ortağı veya Müşteri tarafından Control Hub Sanal Bağlantı etkinleştirme formu aracılığıyla Cisco'ya exchange'tir.

Şekil 1, müşteri tarafında 2 odaklı seçenek için Sanal Bağlantı dağıtım modeline bir örnek gösterir.

Sanal Bağlantı - VPN, Müşterinin Hub Sitelerinin belirli bir bölge içindeki Adanmış Örneğin veri merkezlerinin DC1 ve DC2'ye bağlı olduğu bir Hub tasarımıdır.

Daha iyi yedeklilik için iki Hub sitesi önerilir ancak iki tünele sahip One Hub sitesi de desteklenen bir dağıtım modelidir.

İş ortaklarının Müşterilerle yakın bir şekilde çalışması beklenmiyor ve "Sanal Bağlantı" hizmet bölgesi için en optimum yolun seçiliyor.

Şekil 2, Adanmış Örnek Bulut Bağlantısı eşleme Bölgelerini gösterir.

Sanal Bağlantı eklentisi için yönlendirme, Özel Örnek ve Müşteri Şirket Donanımı (CPE) arasında harici BGP (eBGP) kullanılarak uygulanır. Cisco, ilgili ağın bir bölge içindeki her yedek DC için Müşterinin CPE'sinde tanıtacak ve Cisco'ya varsayılan bir rotanın tanıtımı için CPE gereklidir.

• Cisco bakım ve atamaları

  • Tünel Arayüzü IP adresi (yönlendirme için geçici bağlantı) Cisco, belirtilen bir Paylaşılan Adres Alanından (genel olmayan yönlendirilebilir) atar

  • Tünel taşıma desiyasyonu adresi (Cisco tarafı)

  • Müşteri BGP yönlendirme yapılandırması için özel otonom sistem numaraları (ASN'ler)

    • Cisco, belirtilen özel kullanım aralığından atar: 64512 - 65534

• Adanmış Örnek ve CPE arasında yönlendirme değişimi için kullanılan eBGP

  • Cisco, atanan /24 ağı ilgili bölgedeki her DC için 2/25 ağına bölecek

  • Sanal Bağlantı'da her /25 ağın, ilgili noktadan noktaya VPN tünelleri (geçici bağlantı) üzerinden Cisco tarafından CPE'ye geri tanıtıldı

  • CPE, uygun eBGP komşuları ile yapılandır olmalı. Bir CPE kullanılırsa iki eBGP komşusu kullanılacaktır, bir de her uzak tüneli işaret eden. İki CPE kullanıyorsanız her CPE'de CPE için tek uzak tünelde bir eBGP komşusu olacak.

  • Her GRE tünelin Cisco tarafı (tünel arayüzü IP), CPE'de BGP komşusu olarak yapılandırılmıştır

  • Her bir tünel üzerinde varsayılan bir yönlendirmenin tanıtımını yapmak için CPE gereklidir

  • CPE, gerektiğinde cutomer'ın kurumsal ağında öğrenilen rotaları yeniden dağıtılabilir.

• Başarısız olmayan bağlantı hatası koşulu altında, tek bir CPE'de iki etkin/etkin tünel olur. İki CPE düğümü için her CPE'de bir etkin tünel olacak ve her iki CPE düğümünün de etkin olması ve trafiğin aktarılacak olması gerekir. Başarısız olmayan senaryo altında, trafik doğru /25 hedeflere giden iki tünelde ayrılmalı; eğer tünelden biri arızalıysa kalan tünel her ikisi için de trafiği taşıyabilir. Böyle bir hata senaryoda, /25 ağı arızalı olduğunda, /24 ağı yedek yol olarak kullanılır. Cisco, bağlantının kaybedil olduğu DC'ye doğru dahili WAN üzerinden müşteri trafiğini gönderecek.

IPsec tünel anlaşması IKEv2 fazı ve IPsec fazı olmak üzere iki fazdan oluşur. IKEv2 aşaması anlaşması tamamlanmazsa ikinci bir IPsec aşaması başlatılmaz. Ilk olarak, IKEv2 oturumunun etkin olup olmadığını doğrulamak için üçüncü taraf ekipmanında "şifreleme ikev2 sa'yı göster" komutunu (Cisco ekipmanında) veya benzer komutu verin. IKEv2 oturumu etkin değilse olası nedenler şunlar olabilir:

• Ilginç trafik IPsec tünelini tetiklemiyor.

• IPsec tünel erişim listesi yanlış yapılandırılmış.

• Müşteri ile Ayrılmış Örnek IPsec tünel uç noktası IP'si arasında bağlantı yoktur.

• IKEv2 oturum parametreleri, Ayrılmış Örnek tarafı ile müşteri tarafı arasında eşleşmiyor.

• Bir güvenlik duvarı, IKEv2 UDP paketlerini engelliyor.

Öncelikle, IKEv2 tünel anlaşmasının ilerlemesini gösteren herhangi bir mesaj için IPsec günlüklerini kontrol edin. Günlükler IKEv2 görüşmesindeki bir sorunun nerede olduğunu gösterebilir. Günlük mesajlarının olmaması, IKEv2 oturumunun etkinleştirilmediğini de gösterebilir.

IKEv2 anlaşmasıyla ilgili bazı yaygın hatalar şunlardır:

• CPE tarafında IKEv2 ayarları Cisco tarafıyla eşleşmiyor, belirtilen ayarları tekrar kontrol edin:

  • IKE sürümünün sürüm 2 olduğunu kontrol edin.

  • Şifreleme ve Kimlik Doğrulama parametrelerinin Ayrılmış Örnek tarafında beklenen şifrelemeyle eşleştiğini doğrulayın.

    "GCM" şifresi kullanımda olduğunda, GCM protokolü kimlik doğrulamayı işler ve kimlik doğrulama parametresini NULL olarak ayarlar.

  • Kullanım ömrü ayarını doğrulayın.

  • Diffie Hellman modül grubunu doğrulayın.

  • Sözde Rastgele Işlev ayarlarını doğrulayın.

• Şifreleme haritasının erişim listesi şu şekilde ayarlanmadı:

  • GRE (local_tunnel_transport_ip) 255.255.255.255 remote_tunnel_transport_ip() 255.255.255.255" (veya eşdeğer komut) izni

    Erişim listesi özellikle "GRE" protokolü için olmalıdır ve "IP" protokolü çalışmayacaktır.

Günlük mesajlarında IKEv2 aşaması için herhangi bir müzakere etkinliği gösterilmiyorsa paket yakalama gerekebilir.

Düzgün yapılandırıldığında, aşağıdakiler IPsec tüneli ve ilk faz IKEv2 anlaşmasına başlar:

• GRE, CPE tarafı GRE tünel arabiriminden Ayrılmış Örnek tarafı GRE tünel arabirimine bekler.

• CPE tarafı BGP komşusundan Ayrılmış Örnek tarafı BGP komşusuna BGP komşu TCP oturumu.

• CPE yan tünel IP adresinden Ayrılmış Örnek yan tünel IP adresine ping atın.

  Ping tünel taşıma IP'si tünel taşıma IP'si olamaz, tünel IP'si için tünel IP'si olmalıdır.

IKEv2 trafiği için bir paket izlemesi gerekiyorsa, UDP için filtreyi ve 500 numaralı bağlantı noktasını (IPsec uç noktalarının ortasında NAT cihazı olmadığında) veya 4500 numaralı bağlantı noktasını (IPsec uç noktalarının ortasına bir NAT cihazı yerleştirildiğinde) ayarlayın.

Bağlantı noktası 500 veya 4500 olan IKEv2 UDP paketlerinin DI IPsec IP adresine gönderildiğini ve buradan alındığını doğrulayın.

IPsec ikinci aşamasında sorun gidermeden önce IPsec birinci aşamasının (yani IKEv2 güvenlik ilişkilendirmesinin) etkin olduğunu doğrulayın. IKEv2 oturumunu doğrulamak için bir "şifreleme ikev2 sa göster" veya eşdeğer komut gerçekleştirin. Çıktıda, IKEv2 oturumunun birkaç saniyeden fazla olduğunu ve sıçramadığını doğrulayın. Oturum çalışma zamanı, çıktıda oturum "Aktif Süre" veya eşdeğeri olarak gösterilir.

IKEv2 oturumu yukarı ve aktif olarak doğrulandıktan sonra, IPsec oturumunu Inceleyin. IKEv2 oturumunda olduğu gibi, IPsec oturumunu doğrulamak için bir "şifreleme ipsec sa göster" veya eşdeğer komut gerçekleştirin. GRE tüneli kurulmadan önce hem IKEv2 oturumu hem de IPsec oturumu aktif olmalıdır. IPsec oturumu etkin olarak gösterilmiyorsa, hata mesajları veya anlaşma hataları için IPsec günlüklerini kontrol edin.

IPsec görüşmeleri sırasında karşılaşılabilecek daha yaygın sorunlardan bazıları şunlardır:

CPE tarafındaki ayarlar Ayrılmış Örnek tarafıyla eşleşmiyor, ayarları tekrar kontrol edin:

• Şifreleme ve Kimlik Doğrulama parametrelerinin Ayrılmış Örnek tarafındaki ayarlarla eşleştiğini doğrulayın.

• Mükemmel Iletme Gizliliği ayarlarını ve Ayrılmış Örnek tarafında ayarlarla eşleştiğini doğrulayın.

• Kullanım ömrü ayarlarını doğrulayın.

• IPsec' in tünel modunda yapılandırıldığını doğrulayın.

• Kaynak ve hedef IPsec adreslerini doğrulayın.

IPsec ve IKEv2 oturumları yukarı ve etkin olarak doğrulandığında, GRE tüneli canlı tutma paketleri Ayrılmış Örnek ve CPE tüneli uç noktaları arasında akabilir. Tünel arayüzü durumu görünmüyorsa bazı sık karşılaşılan sorunlar şunlardır:

• Tünel arabirimi taşıma VRF, geri döngü arayüzünün VRF'siyle eşleşmiyor (tünel arayüzünde VRF yapılandırması kullanılırsa).

  Tünel arayüzünde VRF yapılandırması kullanılmazsa bu kontrol yoksayılır.

• CPE yan tünel arayüzünde keepalives etkinleştirilmedi

  CPE ekipmanında bekletmeler desteklenmiyorsa Ayrılmış Örnek tarafındaki varsayılan bekletmelerin de devre dışı bırakılacak şekilde Cisco'ya bildirilmesi gerekir.

  Bekletmeler destekleniyorsa, bekletmelerin etkinleştirildiğini doğrulayın.

• Tünel arayüzündeki maske veya IP adresi doğru değil ve Ayrılmış Örnek beklenen değerlerle eşleşmiyor.

• Kaynak veya hedef tünel taşıma adresi doğru değil ve Özel Örnek beklenen değerlerle eşleşmiyor.

• Bir güvenlik duvarı, GRE paketlerinin IPsec tüneline gönderilmesini veya IPsec tünelinden alınmasını engelliyor (GRE tüneli IPsec tüneli üzerinden taşınır)

Bir ping testi, yerel tünel arayüzünün açık olduğunu ve bağlantının uzak tünel arabirimi için iyi olduğunu doğrulamalıdır. Tünel IP'sinden (taşıma IP'si değil) uzak tünel IP'sine ping kontrolü yapın.

Ping kontrolü, kaynak tünel taşıma IP'sinden hedef tünel taşıma IP'sine oluşturulan bir GRE paketinde sonuçlandırılırken, GRE paketinin (içindeki IP) yük kaynak ve hedef tünel IP'si olacaktır.

Ping testi başarılı olmazsa ve önceki öğeler doğrulanırsa, icmp ping'inin bir GRE paketi ile sonuçlandığından emin olmak için bir paket yakalama gerekebilir. Bu paket daha sonra bir IPsec paketine kapsüllenir ve ardından kaynak IPsec adresinden hedef IPsec adresine gönderilir. GRE tünel arayüzündeki ve IPsec oturum sayaçlarındaki sayaçlar da gösterilmeye yardımcı olabilir. Gönderme ve alma paketleri artıyorsa.

Ping trafiğine ek olarak, yakalama boşta trafik sırasında bile canlı tutma GRE paketlerini göstermelidir. Son olarak, eğer BGP yapılandırılmışsa, BGP koruma paketleri VPN üzerinden olduğu gibi IPSEC paketlerinde kapsüllenmiş GRE paketleri olarak gönderilmelidir.

Ayrılmış Örnek tarafında, büyük paket boyutları için MTU'yu dinamik olarak ayarlamak üzere iki özellik etkinleştirilir. GRE tüneli, VPN oturumundan akan IP paketlerine daha fazla başlık ekler. IPsec tüneli, GRE başlıklarının üstüne ek başlıklar ekler, tünel üzerinde izin verilen en büyük MTU'yu daha da azaltacaktır.

GRE tüneli MSS özelliğini ayarlar ve MTU keşif özelliğindeki GRE tünel yolu Ayrılmış Örnek tarafında etkinleştirilir. Müşteri tarafında "ip tcp adjust-mss 1350" veya eşdeğer komutunun yanı sıra "tunnel path\u0002mtu-discovery" veya eşdeğer komutu yapılandırarak VPN tüneli üzerinden trafiğin dinamik ayarına yardımcı olur.