虚拟连接使用双层前端架构，其中路由和GRE控制平面由一个设备提供，而IPSec控制平面由另一个设备提供。

虚拟连接连接完成后，将在客户的企业网络和专用实例思科的数据中心之间创建两个基于IPSec隧道的GRE。 对应区域内每个冗余数据中心一个。 对等连接所需的其他网络元素由合作伙伴或客户通过Control Hub虚拟连接激活表单与Cisco交换。

图1显示了一个Virtual Connect部署模型的示例，用于客户端的双集线器选项。

Virtual Connect - VPN是一种Hub设计，客户的Hub站点连接到特定区域内专用实例数据中心的DC1和DC2。

建议使用两个Hub站点以实现更好的冗余，但具有两个隧道的One Hub站点也是受支持的部署模型。

每个隧道的带宽限制为250 Mbps。

客户在同一区域内的远程站点需要通过客户的WAN重新连接到中心站点，而该连接不是Cisco的责任。

我们期望合作伙伴与客户紧密合作，确保为“虚拟连接”服务区域选择最理想的路径。

图2显示了专用实例云连接对等区域。

虚拟连接附加工具的路由通过专用实例和客户本地设备(CPE)之间的外部BGP (eBGP)实现。 Cisco将向客户的CPE通告区域内每个冗余DC各自的网络，并且需要CPE通告到Cisco的默认路由。

• 思科维护和分配

  • 隧道接口IP寻址（路由的瞬态链路） Cisco从指定的共享地址空间分配（不可公开路由）

  • 隧道传输弃置地址（Cisco端）

  • 客户BGP路由配置的专用自主系统号码(<UNK> )

    • Cisco从指定的专用使用范围分配： 64512至65534

• eBGP用于在专用实例和CPE之间交换路由

  • Cisco将为各自区域的每个DC将分配的/24网络拆分为2 /25网络

  • 在虚拟连接中，每个/25网络由Cisco通过相应的点对点VPN隧道（瞬态链路）向CPE

  • CPE必须使用适当的eBGP邻居进行配置。 如果使用一个CPE，则将使用两个eBGP邻居，其中一个指向每个远程隧道。 如果使用两个CPE，则每个CPE将有一个eBGP邻接沉入用于CPE的单个远程隧道。

  • 每个GRE隧道的Cisco端（隧道接口IP）配置为CPE上的BGP邻居

  • 需要CPE在每个隧道上通告默认路由

  • CPE可根据需要对切割者的企业网络中的学习路由进行重新分配。

• 在非故障链接失败情况下，单个CPE将有两个活动/活动隧道。 对于两个CPE节点，每个CPE将有一个活动隧道，并且两个CPE节点都应为活动并传递流量。 在非故障情况下，流量必须分成两个隧道，前往正确/25目的地，如果其中一个隧道发生故障，则其余隧道可以承载两个隧道的流量。 在这种故障情况下，当/25网络停止运行时，/24网络将被用作备份路由。 Cisco将通过其内部WAN向失去连接的DC发送客户流量。

IPsec隧道协商包括两个阶段：IKEv2阶段和IPsec阶段。 如果IKEv2阶段协商未完成，则不会启动第二个IPsec阶段。 首先，在第三方设备上发出命令“show crypto ikev2 sa”（在Cisco设备上）或类似命令，以验证IKEv2会话是否处于活动状态。 如果IKEv2会话未处于活动状态，可能的原因可能是：

• 有趣的流量不会触发IPsec隧道。

• IPsec隧道访问列表配置错误。

• 客户和专用实例IPsec隧道端点IP之间没有连接。

• 专用实例端和客户端之间的IKEv2会话参数不匹配。

• 防火墙正在阻止IKEv2 UDP数据包。

首先，检查IPsec日志中是否有显示IKEv2隧道协商进度的消息。 日志可能会指示IKEv2协商的问题所在。 缺少记录消息也可能表示IKEv2会话未激活。

IKEv2协商的一些常见错误包括：

• CPE端的IKEv2设置与Cisco端不匹配，请重新检查上述设置：

  • 检查IKE版本是否为版本2。

  • 验证加密和验证参数是否与专用实例端的预期加密匹配。

    使用"GCM"密码时，GCM协议处理验证，并将验证参数设置为NULL。

  • 验证生命周期设置。

  • 验证Diffie Hellman模量组。

  • 验证伪随机函数设置。

• 加密地图的访问列表未设置为：

  • Allow GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255"（或同等命令）

    访问列表必须专门针对"GRE"协议，且"IP"协议无效。

如果日志消息没有显示IKEv2阶段的任何协商活动，则可能需要数据包捕获。

专用实例端可能并不总是开始IKEv2交换，有时可能期望客户CPE端作为发起方。 检查CPE端配置以了解IKEv2会话发起的以下先决条件： 检查从CPE隧道传输IP到专用实例隧道传输IP的GRE流量（协议50）的IPsec加密访问列表。 确保为GRE保持连接启用了GRE隧道接口，如果设备不支持GRE保持连接，则Cisco会收到通知，因为默认情况下，GRE保持连接将在专用实例端启用。 确保使用专用实例隧道IP的相邻地址启用并配置BGP。

正确配置后，以下内容将启动IPsec隧道和第一阶段IKEv2协商：

• GRE连接从CPE侧GRE隧道接口到专用实例侧GRE隧道接口。

• BGP邻居TCP会话从CPE侧BGP邻居至专用实例侧BGP邻居。

• 从CPE侧隧道IP地址到专用实例侧隧道IP地址的Ping。

  Ping不能是隧道传输IP到隧道传输IP，必须是隧道IP到隧道IP。

如果IKEv2流量需要数据包跟踪，请设置UDP和端口500的过滤器（当没有NAT设备位于IPsec终端的中间时）或端口4500（当NAT设备插入IPsec终端的中间时）。

验证是否向DI IPsec IP地址发送和接收端口为500或4500的IKEv2 UDP数据包。

专用实例数据中心可能不总是开始第一个IKEv2数据包。 要求是CPE设备能够向专用实例端发起第一个IKEv2数据包。 如果本地防火墙允许，则还会尝试ping到远程IPsec地址。 如果从本地到远程IPsec地址的ping不成功，请执行跟踪路由以提供帮助，并确定数据包丢弃的位置。 某些防火墙和互联网设备可能不允许跟踪路由。

在对IPsec第二阶段进行故障诊断之前，验证IPsec第一阶段（即IKEv2安全关联）是否处于活动状态。 执行“show crypto ikev2 sa”或同等命令以验证IKEv2会话。 在输出中，验证IKEv2会话已启动超过几秒，并且没有弹出。 会话正常运行时间在输出中显示为会话“活动时间”或等效时间。

当IKEv2会话验证为已启动并处于活动状态后，调查IPsec会话。 与IKEv2会话一样，执行“show crypto ipsec sa”或同等命令以验证IPsec会话。 在建立GRE隧道之前，IKEv2会话和IPsec会话都必须处于活动状态。 如果IPsec会话未显示为活动状态，请检查IPsec日志中是否有错误消息或协商错误。

在IPsec谈判期间可能遇到的一些较为常见的问题是：

CPE端的设置与专用实例端不匹配，请重新检查设置：

• 验证加密和验证参数是否与专用实例端的设置匹配。

• 验证完美前转保密设置以及是否与专用实例端的设置匹配。

• 验证生命周期设置。

• 验证IPsec已配置为隧道模式。

• 验证源和目标IPsec地址。

当IPsec和IKEv2会话被验证为启动和活动时，GRE隧道保持连接的数据包能够在专用实例和CPE隧道端点之间流动。 如果隧道接口没有显示状态，一些常见问题包括：

• 隧道接口传输VRF与环回接口的VRF不匹配（如果隧道接口上使用了VRF配置）。

  如果隧道接口未使用VRF配置，则可忽略该检查。

• CPE侧隧道接口上未启用Keepalives

  如果CPE设备上不支持KEEPALIVES，则必须通知Cisco，以禁用专用实例端的默认keepalives。 如果支持保持连接，验证是否已启用保持连接。

• 隧道接口的掩码或IP地址不正确，与专用实例的预期值不匹配。

• 源或目标隧道传输地址不正确，与专用实例的预期值不匹配。

• 防火墙阻止GRE数据包发送到IPsec隧道或从IPsec隧道接收（GRE隧道通过IPsec隧道传输）

ping测试应验证本地隧道接口是否正常，远程隧道接口的连接是否良好。 从隧道IP（不是传输IP）到远程隧道IP执行ping检查。

携带GRE隧道流量的IPsec隧道的加密访问列表只允许GRE数据包穿越。 因此，从隧道传输IP到远程隧道传输IP，ping消息将不起作用。

ping检查将导致GRE数据包从源隧道传输IP到目标隧道传输IP生成，而GRE数据包的有效载荷（内部IP）将是源隧道和目标隧道IP。

如果ping测试不成功并且验证了前面的项，则可能需要数据包捕获，以确保icmp ping生成GRE数据包，然后将其封装到IPsec数据包中，然后从源IPsec地址发送到目标IPsec地址。 GRE隧道接口上的计数器和IPsec会话计数器也可以帮助显示。如果发送和接收数据包正在递增。

除了ping流量，捕获还应该显示保持连接的GRE数据包，即使在空闲流量。 最后，如果配置了BGP，BGP保持连接数据包还应该作为封装在IPSEC数据包中的GRE数据包以及通过VPN发送。

在专用实例端，启用了两个功能，可针对较大的数据包大小动态调整MTU。 GRE隧道向流经VPN会话的IP数据包添加更多报头。 IPsec隧道在GRE标头之上添加额外标头，将进一步减少隧道上允许的最大MTU。

GRE隧道调整MSS功能，在专用实例端启用MTU发现功能中的GRE隧道路径。 在客户端配置“ip tcp adjust-mss 1350”或同等命令以及“tunnel path\u0002mtu-discovery”或同等命令，以帮助通过VPN隧道动态调整流量的MTU。