Giriş

Virtual Connect, yönlendirme ve GRE kontrol düzlemlerinin bir cihaz tarafından sağlandığı ve IPSec kontrol düzleminin başka bir cihaz tarafından sağlandığı çift katmanlı bir headend mimarisi kullanır.

tamamlanmasının ardından Sanal Bağlantı Müşterinin kurumsal ağı ile Adanmış Örnek Cisco'nun veri merkezleri arasında IPSec üzerinden iki GRE tüneli oluşturulacaktır. İlgili Bölge içindeki her bir yedek veri merkezine bir tane. Eşleme için gereken ek ağ öğeleri, İş Ortağı veya Müşteri tarafından Control Hub Virtual Connect etkinleştirme formu aracılığıyla Cisco ile değiştirilir.

Şekil 1, müşteri tarafında 2 yoğunlaştırıcı seçeneği için Sanal Bağlantı dağıtım modeli bir örneğini gösterir.

Sanal Bağlantı - VPN , Müşterinin Merkez Sitelerinin belirli bir bölgedeki Tahsis Edilmiş Eşgörünüm veri merkezlerinin DC1 ve DC2'sine bağlandığı bir Merkez tasarımıdır.

Daha iyi yedeklilik için iki Hub sitesi önerilir, ancak iki tünelli Tek Hub sitesi de desteklenen bir dağıtım modeli.

Tünel başına bant genişliği 250 Mbps ile sınırlıdır.

Müşterinin aynı bölgedeki uzak sitelerinin, Müşterinin WAN'ı üzerinden Hub sitelerine tekrar bağlanması gerekir ve bu bağlantıdan Cisco sorumlu değildir.

Ortakların Müşterilerle yakın bir şekilde çalışması ve 'Sanal Bağlantı' hizmet bölgesi için en uygun yolun seçilmesini sağlamaları beklenir.

Şekil 2, Ayrılmış Örnek Bulut Bağlantısı eşleme Bölgelerini gösterir.

Sanal Bağlantı eklenti için yönlendirme, Tahsis Edilmiş Eşgörünüm ile Müşteri Tesis Ekipmanı (CPE) arasında harici BGP (eBGP) kullanılarak uygulanır. Cisco , bir bölgedeki her yedek DC için kendi ağının reklamını Müşterinin CPE'sine yapacaktır ve CPE'nin Cisco varsayılan bir rotanın reklamını yapması gerekir.

• Cisco korur ve atar

  • Tünel Arayüzü IP adresleme (yönlendirme için geçici bağlantı) Cisco , belirlenmiş bir Paylaşılan Adres Alanından atar (genel olarak yönlendirilemez)

  • Tünel taşıma varış adresi (Cisco tarafı)

  • Müşteri BGP yönlendirme yapılandırması için özel otonom sistem numaraları (ASN'ler)

    • Cisco , belirlenen özel kullanım aralığından atama yapar: 64512 ila 65534

• Tahsis Edilmiş Bulut Sunucusu ve CPE arasında rota alışverişi yapmak için kullanılan eBGP

  • Cisco , atanan /24 ağı, ilgili bölgedeki her DC için 2 /25'e böler

  • Virtual Connect'te her /25 ağı, ilgili noktadan noktaya VPN tünelleri (geçici bağlantı) üzerinden Cisco tarafından CPE'ye geri bildirilir.

  • CPE, uygun eBGP komşularıyla yapılandırılmalıdır. Bir CPE kullanılıyorsa, her biri uzak tünele işaret eden iki eBGP komşusu kullanılacaktır. İki CPE kullanılıyorsa, her CPE'nin CPE için tek uzak tünele işaret eden bir eBGP komşusu olacaktır.

  • Her GRE tünelinin Cisco tarafı (tünel arayüzü IP), CPE'de BGP komşusu olarak yapılandırılmıştır.

  • Tünellerin her biri üzerinde varsayılan bir rotanın reklamını yapmak için CPE gereklidir

  • CPE, müşterinin kurumsal ağı içinde öğrenilen rotaları gerektiği gibi yeniden dağıtmaktan sorumludur.

• Hatasız bağlantı hatası koşulu altında, tek bir CPE'nin iki aktif/aktif tüneli olacaktır. İki CPE düğümü için, her CPE'nin bir aktif tüneli olacaktır ve her iki CPE düğümü de aktif ve geçen trafik olmalıdır. Arızasızlık senaryosunda, trafik doğru /25 varış noktasına giden iki tünele bölünmelidir, tünellerden biri çökerse kalan tünel her ikisi için de trafiği taşıyabilir. Böyle bir hata senaryosunda, /25 ağı kapalı olduğunda, /24 ağı bir yedekleme yolu olarak kullanılır. Cisco , müşteri trafiğini dahili WAN aracılığıyla, bağlantıyı kaybeden DC'ye gönderir.

IPsec tünel anlaşması, IKEv2 aşaması ve IPsec aşaması olmak üzere iki aşamadan oluşur. IKEv2 aşaması anlaşması tamamlanmazsa, ikinci bir IPsec aşaması başlatılmaz. İlk olarak, IKEv2 oturumunun etkin olup olmadığını doğrulamak için "show crypto ikev2 sa" ( Cisco ekipmanında) komutunu veya üçüncü taraf ekipmanında benzer bir komutu verin. IKEv2 oturumu etkin değilse, olası nedenler şunlar olabilir:

• İlginç trafik, IPsec tünelini tetiklemez.

• IPsec tünel erişim listesi yanlış yapılandırılmış.

• Müşteri ile Tahsis Edilmiş Örnek IPsec tünel uç noktası IP arasında bağlantı yoktur.

• IKEv2 oturum parametreleri, Tahsis Edilmiş Örnek tarafı ile müşteri tarafı arasında eşleşmiyor.

• Bir güvenlik duvarı IKEv2 UDP paketlerini engelliyor.

İlk olarak, IKEv2 tünel anlaşmasının ilerlemesini gösteren mesajlar için IPsec günlüklerini kontrol edin. Günlükler, IKEv2 anlaşmasıyla ilgili bir sorunun nerede olduğunu gösterebilir. Günlüğe kaydetme mesajlarının olmaması, IKEv2 oturumunun etkinleştirilmediğini de gösterebilir.

Günlük mesajları IKEv2 aşaması için herhangi bir anlaşma etkinliği göstermiyorsa, bir paket yakalama gerekebilir.

Tahsis Edilmiş Eşgörünüm tarafı her zaman IKEv2 değişimini başlatmayabilir ve bazen müşteri CPE tarafının başlatıcı olmasını bekleyebilir. IKEv2 oturum başlatma için aşağıdaki ön koşullar için CPE tarafı yapılandırmasını kontrol edin: CPE tünel aktarım IP Tahsis Edilmiş Örnek tünel aktarım IP GRE trafiği (protokol 50) için bir IPsec kripto erişim listesi olup olmadığını kontrol edin. Ekipman GRE canlı tutma özelliğini desteklemiyorsa, GRE canlı tutma özelliği varsayılan olarak Cisco Edilmiş Örnek tarafında etkinleştirileceğinden, GRE tünel arabiriminin GRE canlı tutmaları için etkinleştirildiğinden emin olun. BGP'nin etkinleştirildiğinden ve Tahsis Edilmiş Örnek tünel IP komşu adresiyle yapılandırıldığından emin olun.

Düzgün yapılandırıldığında, IPsec tüneli ve birinci aşama IKEv2 anlaşması aşağıdakiler başlar:

• GRE, CPE tarafı GRE tünel arayüzünden Tahsis Edilmiş Bulut Sunucusu tarafı GRE tünel arayüzüne kadar canlı tutar.

• CPE tarafındaki BGP komşusundan Tahsis Edilmiş Örnek tarafındaki BGP komşusuna BGP komşu TCP oturumu.

• CPE yan tünel IP adresi Tahsis Edilmiş Eşgörünüm yan tünel IP adresi ping işlemi yapın.

  Ping, tünel aktarım IP tünel aktarım IP olamaz, tünel IP tünel IP olmalıdır.

IKEv2 trafiği için bir paket izlemesi gerekiyorsa, UDP ve 500 numaralı bağlantı noktası (IPsec uç noktalarının ortasında NAT aygıtı olmadığında) veya 4500 numaralı bağlantı noktası (IPsec'in ortasına bir NAT aygıtı takıldığında) için filtreyi ayarlayın. uç noktalar).

500 veya 4500 bağlantı noktasına sahip IKEv2 UDP paketlerinin DI IPsec IP adresi gönderilip alındığını doğrulayın.

Tahsis Edilmiş Örnek veri merkezi her zaman ilk IKEv2 paketini başlatmayabilir. Gereklilik, CPE cihazının Tahsis Edilmiş Örnek tarafına doğru ilk IKEv2 paketini başlatabilmesidir. Yerel güvenlik duvarı izin veriyorsa, uzak IPsec adresine ping göndermeyi de deneyin. Yerelden uzak IPsec adresine ping başarılı olmazsa, yardım için bir izleme yolu gerçekleştirin ve paketin nereye düştüğünü belirleyin. Bazı güvenlik duvarları ve internet ekipmanı, izleme rotasına izin vermeyebilir.

IPsec ikinci aşamasında sorun gidermeden önce IPsec birinci aşamasının (yani IKEv2 güvenlik ilişkisinin) etkin olduğunu doğrulayın. IKEv2 oturumunu doğrulamak için bir "crypt ikev2 sa göster" veya eşdeğer bir komut gerçekleştirin. Çıktıda, IKEv2 oturumunun birkaç saniyeden uzun süredir çalıştığını ve sıçramadığını doğrulayın. Oturum çalışma süresi, çıktıda "Aktif Süre" oturumu veya eşdeğeri olarak gösterilir.

IKEv2 oturumunun açık ve etkin olduğunu doğruladıktan sonra, IPsec oturumunu araştırın. IKEv2 oturumunda olduğu gibi, IPsec oturumunu doğrulamak için bir "kripto ipsec sa göster" veya eşdeğer bir komut gerçekleştirin. GRE tüneli kurulmadan önce hem IKEv2 oturumu hem de IPsec oturumu etkin olmalıdır. IPsec oturumu etkin olarak görünmüyorsa, hata mesajları veya anlaşma hataları için IPsec günlüklerini kontrol edin.

IPsec müzakereleri sırasında karşılaşılabilecek daha yaygın sorunlardan bazıları şunlardır:

CPE tarafındaki ayarlar Tahsis Edilmiş Bulut Sunucusu tarafıyla eşleşmiyor, ayarları tekrar kontrol edin:

• Şifreleme ve Kimlik Doğrulama parametrelerinin Tahsis Edilmiş Örnek tarafındaki ayarlarla eşleştiğini doğrulayın.

• Kusursuz İletim Gizliliği ayarlarını ve Özel Durum tarafında eşleşme ayarlarının doğru olduğunu doğrulayın.

• Ömür boyu ayarlarını doğrulayın.

• IPsec'in tünel modunda yapılandırıldığını doğrulayın.

• Kaynak ve hedef IPsec adreslerini doğrulayın.

IPsec ve IKEv2 oturumlarının çalışır durumda ve etkin olduğu doğrulandığında, GRE tüneli paketleri Adanmış Örnek ve CPE tünel uç noktaları arasında akabilir. Tünel arayüzü durumu göstermiyorsa, bazı yaygın sorunlar şunlardır:

• Tünel arabirimi aktarım VRF'si, geri döngü arabiriminin VRF'si ile eşleşmiyor (tünel arabiriminde VRF yapılandırması kullanılıyorsa).

  Tünel arayüzünde VRF konfigürasyonu kullanılmıyorsa bu kontrol göz ardı edilebilir.

• Keepalives, CPE yan tünel arayüzünde etkinleştirilmedi

  Canlı tutmalar CPE ekipmanında desteklenmiyorsa, Adanmış Örnek tarafındaki varsayılan canlı tutmaların da devre dışı bırakılması için Cisco bildirilmelidir. Canlı tutmalar destekleniyorsa, canlı tutmaların etkinleştirildiğini doğrulayın.

• Tünel arabiriminin maskesi veya IP adresi doğru değil ve Ayrılmış Örnek beklenen değerleriyle eşleşmiyor.

• Kaynak veya hedef tünel aktarım adresi doğru değil ve Tahsis Edilmiş Örnek beklenen değerleriyle eşleşmiyor.

• Bir güvenlik duvarı, GRE paketlerinin IPsec tüneline gönderilmesini veya IPsec tünelinden alınmasını engelliyor (GRE tüneli, IPsec tüneli üzerinden taşınır)

Bir ping testi, yerel tünel arayüzünün çalıştığını ve uzak tünel arayüzüne bağlantının iyi olduğunu doğrulamalıdır. Tünel IP (aktarım IP değil) uzak tünel IP ping kontrolü yapın.

GRE tünel trafiğini taşıyan IPsec tüneli için kripto erişim listesi , yalnızca GRE paketlerinin geçmesine izin verir. Sonuç olarak, tünel taşıma IP uzak tünel taşıma IP ping'ler çalışmayacaktır.

Ping denetimi, kaynak tünel aktarım IP hedef tünel aktarım IP oluşturulan bir GRE paketiyle sonuçlanırken, GRE paketinin yükü (iç IP) kaynak ve hedef tünel IP olacaktır.

Ping testi başarılı olmazsa ve önceki öğeler doğrulanırsa, icmp ping'in daha sonra bir IPsec paketine kapsüllenen ve ardından kaynak IPsec adresinden şu adrese gönderilen bir GRE paketiyle sonuçlanmasını sağlamak için bir paket yakalama gerekebilir. hedef IPsec adresi. GRE tünel arabirimindeki sayaçlar ve IPsec oturum sayaçları da gösterilmesine yardımcı olabilir. gönderme ve alma paketleri artıyorsa.

Ping trafiğine ek olarak, yakalama, boş trafik sırasında bile canlı tutma GRE paketlerini göstermelidir. Son olarak, BGP yapılandırılırsa, BGP canlı tutma paketleri de VPN üzerinden IPSEC paketlerinde kapsüllenmiş GRE paketleri olarak gönderilmelidir.

Tahsis Edilmiş Örnek tarafında, büyük paket boyutları için MTU'yu dinamik olarak ayarlamak üzere iki özellik etkinleştirilmiştir. GRE tüneli, VPN oturumu boyunca akan IP paketlerine daha fazla başlık ekler. IPsec tüneli, GRE başlıklarının üstüne ek başlıklar ekler, tünel üzerinde izin verilen en büyük MTU'yu daha da azaltır.

GRE tüneli MSS özelliğini ayarlar ve MTU bulma özelliğindeki GRE tünel yolu, Tahsis Edilmiş Örnek tarafında etkinleştirilir. VPN tüneli üzerinden trafiğin MTU'sunun dinamik olarak ayarlanmasına yardımcı olmak için müşteri tarafında "ip tcp ayar-mss 1350" veya eşdeğer komutun yanı sıra "tünel yolu\u0002mtu-keşif" veya eşdeğer komutu yapılandırın.