虚拟连接使用双层前端体系结构，其中路由和流量控制设置由一个设备提供，IPSec 控制飞机由另一台设备提供。

在完成虚拟 连接 连接后，将在客户的企业网络和 Cisco 专用实例的数据中心之间创建两个通过 IPSec 的 4000 至 19993 年 4 月 24 日 24933 年 12 月 24 日。。每个冗余数据中心位于各“地区”内。合作伙伴或客户通过 Control Hub 虚拟连接激活表单向 Cisco 交换对等连接所需的其他联网元素。

下图显示了客户端 2 集中器选项的虚拟连接部署模型示例。

虚拟连接 - VPN 是 Hub 设计，客户的 Hub 站点连接到特定区域内的专用实例的 DC1 和 DC2 数据中心。

建议使用两个 Hub 站点以实现更好的冗余，但是一个拥有两个隧道的 Hub 站点也是受支持的部署模型。

合作伙伴应与客户密切合作，确保为 Virtual Connect 服务区域选择最优路径。

下图显示了专用实例云连接对等区域。

虚拟连接加载项的路由通过专用实例与客户本地设备 （CPE） 之间的外部 BGP （eBGP） 实现。Cisco 将针对一个地区的每个冗余 DC 将各自的网络播发到客户的 CPE，而 CPE 需要将缺省路由播发到 Cisco。

• Cisco 维护和分配

  • 隧道接口 IP 地址（传送的瞬态链接）Cisco 从指定的共享地址空间分配（不可公开路由）

  • 隧道传输解说地址（Cisco 一方）

  • 用于客户 BGP 路由配置的专用自治系统号码 （ASNS）

    • Cisco 从指定的专用使用范围分配：64512 到 65534

• eBGP 用于在专用实例和 CPE 之间交换路由

  • Cisco 将分配 /24 网络分给相应区域每个 DC 的 2 /25 一个。

  • 在虚拟连接中，Cisco 通过各自的点对点 VPN 隧道（瞬态链接）将每个 /25 网络播发回 CPE。

  • CPE 必须配置有相应的 eBGP 位位器。如果使用 1 个 CPE，将使用两个 eBGP 高分值，一个指向每个远程隧道。如果使用两个 CPE，那么每个 CPE 都有一个 eBGP neighbor neighborit to single remote tunnel to CPE。

  • 每个 BGP 隧道（隧道接口 IP）的 Cisco 端配置为 CPE 上的 BGP 相邻

  • 需要 CPE 才能在每个隧道上播发缺省路由

  • CPE 可重新分发（根据要求）在客户企业网络中学习路由。

• 在非故障链接失败的状况下，单个 CPE 将拥有两个活动/活动隧道。对于两个 CPE 节点，每个 CPE 都有一个活动隧道，两个 CPE 节点都应活动且传递流量。在非故障情况下，流量必须分流到正确的 /25 个目的地的两个隧道，如果其中一个隧道下行，其余隧道可同时传输这两个流量。在此类故障情境下，当 /25 网络出现故障时，将 /24 网络用作备份路由。Cisco 会通过内部 WAN 将客户流量发送到丢失连接的 DC。

两条隧道通车时的交通流量

该图展示了 Virtual Connect 网络架构，详细说明了主隧道和辅助隧道均运行时的流量。

它代表了一种主动连接模型，客户可以访问思科数据中心托管的 UC 应用程序，利用双重 GRE/IPSEC 使用 BGP 在互联网上建立隧道以交换路由。

定义：

• 客户前提:
  • 这代表客户的现场网络，用户及其设备（例如，IP 电话、运行 UC 客户端的计算机）位于此处。
  • 来自这里的流量需要到达思科数据中心托管的 UC 应用程序。
• Cisco Webex Calling 专用实例（专用实例）数据中心（WxC-DI DC-A 和 WxC-DI DC-B）:
  • 这些是托管 UC 应用程序的思科数据中心。
  • DC-A 和 DC-B 在地理位置上不同，从而提供冗余。
  • 每个数据中心都有自己的 UC 应用程序子网：
    • DC-A subnet:X.X.X.0/25
    • DC-B subnet:X.X.X.128/25
• GRE/IPsec 隧道（1号隧道和2号隧道）:
  • 这些是通过公共互联网在 客户端 和 思科数据中心 之间建立的安全加密连接。
  • GRE（通用路由封装）：该协议用于在虚拟点对点链路内封装各种网络层协议。它允许 BGP 等路由协议通过隧道运行。
  • IPsec（Internet 协议安全）：这套协议为 IP 通信提供加密安全服务（身份验证、完整性、机密性）。它对 GRE 封装的流量进行加密，确保互联网上的数据安全传输。
• 边界网关协议（BGP）:
  • BGP 是用于在 客户场所 和 Cisco 数据中心之间交换路由信息的路由协议。

如上图所示，部署在客户场所的设备需要建立两个 GRE/IPSEC 隧道。

下面使用的命名约定是 XX / YY、DC-A DC-B 是所有提供专用实例的区域的通用名称。这些值对于每个地区都是唯一的，并且是每个地区的实际值。具体值是在虚拟连接激活期间提供的。

在思科端，IPSec 和 GRE 隧道将在不同的设备上终止。因此，客户必须确保在设备上相应地配置 IPSec 目标和 GRE 目标 IP。如果客户的设备支持 GRE 和 IPSEC，他们可以对它们使用相同的 IP。请参阅上图。在门户上激活虚拟连接期间提供 IP 相关值。

• 隧道 1: 通过互联网将客户端连接到“专用实例 DC-A”（数据中心 A）。该隧道使用 BGP AS:64XX1 在客户端和 BGP AS:64XX2 在专用实例 DC-A 端。IPSEC 和 GRE 隧道源配置分为客户提供的详细信息和 Cisco 提供的详细信息。
• 隧道 2: 通过互联网将客户端连接到“专用实例 DC-B”（数据中心 B）。该隧道使用 BGP AS:64YY1 在客户端和 BGP AS:64YY2 在专用实例 DC-B 端。与隧道 1 一样，IPSEC 和 GRE 隧道源配置在客户和思科之间共享。

在 BGP 中 AS:64XX 和 BGP AS:64YY, XX 和 YY 特定于某个区域。

一旦 GRE/IPSEC 建立到 Webex Calling 专用实例数据中心（A 和 B）的隧道后，客户应该会通过相应的 BGP 会话收到从 Cisco 通告的以下路由。

• 对于 DC-A：从思科发布的路线将 X.X.X.0/25 和 X.X.x.0/24. （可选）如果为客户路由请求并配置了 IaaS Y.Y.Y.0/25 和 Y.Y.Y.0/24 将会由思科进行宣传。
• 对于 DC-B：从思科发布的路线将 X.X.X.128/25 和 X.X.x.0/24. （可选）如果为客户路由请求并配置了 IaaS Y.Y.Y.128/25 和 Y.Y.Y.0/24 将会由思科进行宣传。
• 客户需要宣传 0.0.0./0 通过两个连接（隧道）路由到思科
• 客户必须遵循最长的前缀 (/25) 当两个隧道都启动时，路由通过相应的隧道将流量发送到思科。
• 思科将通过相同的隧道返回流量以保持流量对称。

交通流量：

• 发往“DC-A UC 应用”的流量 (X.X.X.0/25) 从客户处流经隧道 1。
• 发往“DC-B UC 应用”的流量 (X.X.X.128/25) 来自客户场所的流量通过隧道 2。

故障转移场景 : 当其中一条隧道关闭时，交通流量

如上图所示，当通往 DC-A 的隧道中断时，通过隧道建立的通往 DC-A 的 BGP 也将中断。

对 BGP的影响 : 当隧道 1 中断时，该隧道上的 BGP 会话也将中断。因此，DC-A 将不再能够通告其路由（特别是 X.X.X.0/25) 通过此路径发送给客户。因此，客户路由器将检测到该路径不可达。

现在，由于隧道 1 已关闭，客户所在地的客户路由器将自动从其路由表中删除通过隧道 1 了解到的路由或将其标记为不可达。

• 发往 UC 应用网络的流量 (X.X.X.0/24) 或 DC-A 子网 (X.X.X.0/25) 然后将通过工作隧道重定向到 DC-B，DC-B 继续通告 X.X.X.0/24 其中包括 X.X.X.0/25 网络。
• 如果到 DC-B 的隧道关闭而到 DC-A 的隧道仍然开启，则会看到类似的行为。

IPsec隧道协商包括两个阶段：IKEv2阶段和IPsec阶段。如果 IKEv2 阶段协商未完成，则不会启动第二个 IPsec 阶段。首先，在第三方设备上发出命令“show crypto ikev2 sa”（在思科设备上）或类似命令，以验证 IKEv2 会话是否处于活动状态。如果 IKEv2 会话未激活，则可能的原因如下：

• 有趣的流量不会触发 IPsec 隧道。

• IPsec 隧道访问列表配置错误。

• 客户与专用实例 IPsec 隧道端点 IP 之间没有连接。

• 专用实例端和客户端之间的 IKEv2 会话参数不匹配。

• 防火墙正在阻止 IKEv2 UDP 数据包。

首先，检查 IPsec 日志中是否有任何显示 IKEv2 隧道协商进度的消息。日志可能表明 IKEv2 协商中存在问题的地方。缺少日志消息也可能表明 IKEv2 会话未被激活。

IKEv2 协商的一些常见错误包括：

• CPE 端的 IKEv2 设置与 Cisco 端不匹配，请重新检查提到的设置：

  • 检查IKE版本是否为版本2。

  • 验证加密和身份验证参数是否与专用实例端的预期加密匹配。

    当使用“GCM”密码时，GCM 协议处理身份验证并将身份验证参数设置为 NULL。

  • 验证使用寿命设置。

  • 验证 Diffie Hellman 模量组。

  • 验证伪随机函数设置。

• 加密映射的访问列表未设置为：

  • 允许 GRE (local_tunnel_transport_ip) 255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255"（或等效命令）

    访问列表必须专门针对“GRE”协议，“IP”协议将不起作用。

如果日志消息没有显示 IKEv2 阶段的任何协商活动，则可能需要捕获数据包。

正确配置后，将开始 IPsec 隧道和第一阶段 IKEv2 协商：

• 从 CPE 端 GRE 隧道接口到专用实例端 GRE 隧道接口的 GRE 保持连接。

• 从 CPE 端 BGP 邻居到专用实例端 BGP 邻居的 BGP 邻居 TCP 会话。

• 从 CPE 侧隧道 IP 地址 ping 专用实例侧隧道 IP 地址。

  Ping 不能是隧道传输 IP 到隧道传输 IP，必须是隧道 IP 到隧道 IP。

如果 IKEv2 流量需要数据包跟踪，请设置 UDP 过滤器和端口 500（当 IPsec 端点中间没有 NAT 设备时）或端口 4500（当 IPsec 端点中间插入 NAT 设备时）。

验证端口为 500 或 4500 的 IKEv2 UDP 数据包是否与 DI IPsec IP 地址发送和接收。

在对 IPsec 第二阶段进行故障排除之前，请验证 IPsec 第一阶段（即 IKEv2 安全关联）是否处于活动状态。执行“show crypto ikev2 sa”或等效命令来验证 IKEv2 会话。在输出中，验证 IKEv2 会话是否已启动超过几秒钟并且没有反弹。会话正常运行时间在输出中显示为会话“活动时间”或等效时间。

一旦 IKEv2 会话验证已启动并处于活动状态，请调查 IPsec 会话。与 IKEv2 会话一样，执行“show crypto ipsec sa”或等效命令来验证 IPsec 会话。在建立 GRE 隧道之前，IKEv2 会话和 IPsec 会话都必须处于活动状态。如果 IPsec 会话未显示为活动状态，请检查 IPsec 日志中是否存在错误消息或协商错误。

IPsec 协商期间可能遇到的一些更常见问题是：

CPE端的设置与专用实例端的设置不匹配，请重新检查设置：

• 验证加密和身份验证参数是否与专用实例端的设置匹配。

• 验证完美前向保密设置以及专用实例端的匹配设置。

• 验证生命周期设置。

• 验证 IPsec 是否已在隧道模式下配置。

• 验证源和目标 IPsec 地址。

当 IPsec 和 IKEv2 会话被验证为启动且处于活动状态时，GRE 隧道保持活动数据包能够在专用实例和 CPE 隧道端点之间流动。如果隧道接口未显示状态，则一些常见问题是：

• 隧道接口传输 VRF 与环回接口的 VRF 不匹配（如果隧道接口上使用了 VRF 配置）。

  如果隧道接口上没有使用VRF配置，则可以忽略此检查。

• CPE 侧隧道接口上未启用 Keepalive

  如果 CPE 设备不支持保持连接，则必须通知思科，以便专用实例端的默认保持连接也被禁用。

  如果支持保持连接，请验证保持连接是否已启用。

• 隧道接口的掩码或 IP 地址不正确，与专用实例预期值不匹配。

• 源或目标隧道传输地址不正确，与专用实例预期值不匹配。

• 防火墙阻止 GRE 数据包发送到 IPsec 隧道或从 IPsec 隧道接收（GRE 隧道通过 IPsec 隧道传输）

ping 测试应验证本地隧道接口是否已启动以及与远程隧道接口的连接是否良好。从隧道 IP（不是传输 IP）到远程隧道 IP 执行 ping 检查。

ping 检查的结果是生成一个从源隧道传输 IP 到目标隧道传输 IP 的 GRE 数据包，而 GRE 数据包的有效负载（内部 IP）将是源和目标隧道 IP。

如果 ping 测试不成功，并且验证了上述项目，则可能需要进行数据包捕获，以确保 icmp ping 产生 GRE 数据包，然后将其封装到 IPsec 数据包中，然后从源 IPsec 地址发送到目标 IPsec 地址。GRE 隧道接口上的计数器和 IPsec 会话计数器也可以帮助显示发送和接收数据包是否在增加。

除了 ping 流量之外，捕获还应显示即使在空闲流量期间也保持活动的 GRE 数据包。最后，如果配置了 BGP，BGP 保持活动数据包也应作为封装在 IPSEC 数据包中的 GRE 数据包通过 VPN 发送。

在专用实例方面，启用了两个功能来动态调整大数据包大小的 MTU。GRE 隧道为流经 VPN 会话的 IP 数据包添加更多标头。IPsec 隧道在 GRE 报头顶部添加额外的报头，将进一步减少隧道允许的最大 MTU。

专用实例端启用了MTU发现功能中的GRE隧道调整MSS功能和GRE隧道路径。配置“ip tcp Adjust-mss 1350”或等效命令以及“隧道 path\u0002mtu-discovery" 或在客户端使用等效命令来帮助动态调整通过 VPN 隧道的流量的 MTU。