虚拟连接使用双层前端体系结构，其中路由和流量控制设置由一个设备提供，IPSec 控制飞机由另一台设备提供。

在完成虚拟 连接 连接后，将在客户的企业网络和 Cisco 专用实例的数据中心之间创建两个通过 IPSec 的 4000 至 19993 年 4 月 24 日 24933 年 12 月 24 日。。每个冗余数据中心位于各“地区”内。合作伙伴或客户通过 Control Hub 虚拟连接激活表单向 Cisco 交换对等连接所需的其他联网元素。

下图显示了客户端2集中器选项的虚拟连接部署模型的示例。

虚拟连接 - VPN 是 Hub 设计，客户的 Hub 站点连接到特定区域内的专用实例的 DC1 和 DC2 数据中心。

建议使用两个 Hub 站点以实现更好的冗余，但是一个拥有两个隧道的 Hub 站点也是受支持的部署模型。

合作伙伴应与客户密切合作，确保为虚拟连接 服务区域选择最佳路径。

下图显示了专用实例云连接对焦区域。

虚拟连接加载项的路由通过专用实例与客户本地设备 （CPE） 之间的外部 BGP （eBGP） 实现。Cisco 将针对一个地区的每个冗余 DC 将各自的网络播发到客户的 CPE，而 CPE 需要将缺省路由播发到 Cisco。

• Cisco 维护和分配

  • 隧道接口 IP 地址（传送的瞬态链接）Cisco 从指定的共享地址空间分配（不可公开路由）

  • 隧道传输解说地址（Cisco 一方）

  • 用于客户 BGP 路由配置的专用自治系统号码 （ASNS）

    • Cisco 从指定的专用使用范围分配：64512 到 65534

• eBGP 用于在专用实例和 CPE 之间交换路由

  • Cisco 将分配 /24 网络分给相应区域每个 DC 的 2 /25 一个。

  • 在虚拟连接中，Cisco 通过各自的点对点 VPN 隧道（瞬态链接）将每个 /25 网络播发回 CPE。

  • CPE 必须配置有相应的 eBGP 位位器。如果使用 1 个 CPE，将使用两个 eBGP 高分值，一个指向每个远程隧道。如果使用两个 CPE，那么每个 CPE 都有一个 eBGP neighbor neighborit to single remote tunnel to CPE。

  • 每个 BGP 隧道（隧道接口 IP）的 Cisco 端配置为 CPE 上的 BGP 相邻

  • 需要 CPE 才能在每个隧道上播发缺省路由

  • CPE 可重新分发（根据要求）在客户企业网络中学习路由。

• 在非故障链接失败的状况下，单个 CPE 将拥有两个活动/活动隧道。对于两个 CPE 节点，每个 CPE 都有一个活动隧道，两个 CPE 节点都应活动且传递流量。在非故障情况下，流量必须分流到正确的 /25 个目的地的两个隧道，如果其中一个隧道下行，其余隧道可同时传输这两个流量。在此类故障情境下，当 /25 网络出现故障时，将 /24 网络用作备份路由。Cisco 会通过内部 WAN 将客户流量发送到丢失连接的 DC。

IPsec隧道谈判包括两个阶段，IKEv2阶段和IPsec阶段。如果IKEv2阶段协商未完成，则不会启动第二个IPsec阶段。首先，发出“显示加密ikev2 sa”（在Cisco设备上）命令或第三方设备上的类似命令，以验证IKEv2会话是否处于活动状态。如果IKEv2会话未激活，潜在的原因可能是：

• 有趣的流量不会触发IPsec隧道。

• IPsec隧道访问列表配置错误。

• 客户端与Dedicated Instance IPsec隧道端点IP之间没有连接。

• IKEv2会话参数在专用实例侧和客户侧之间不匹配。

• 防火墙正在阻止IKEv2 UDP数据包。

首先，检查IPsec日志中是否存在任何显示IKEv2隧道谈判进展的消息。日志可能显示IKEv2谈判存在问题。缺少日志消息也可能表明IKEv2会话未激活。

IKEv2谈判中的一些常见错误包括：

• CPE侧的IKEv2设置与Cisco侧不匹配，请重新检查所提到的设置：

  • 检查IKE版本是否为版本2。

  • 验证加密和身份验证参数是否与专用实例侧的预期加密一致。

    当使用“GCM”密码时，GCM协议处理身份验证并将身份验证参数设置为NULL。

  • 验证生命周期设置。

  • 验证Diffie Hellman模量组。

  • 验证伪随机函数设置。

• 加密映射的访问列表不设为：

  • 允许GRE (local_tunnel_transport_ip) 255.255.255.255.255 (remote_tunnel_transport_ip) 255.255.255.255"（或同等命令）

    访问列表必须专门针对“GRE”协议，而“IP”协议将不起作用。

如果日志消息未显示IKEv2阶段的任何协商活动，则可能需要数据包捕捉。

如果配置正确，以下步骤将开始IPsec隧道和第一阶段IKEv2协商：

• 从CPE侧GRE隧道接口到GRE隧道接口的GRE keepalives。

• BGP邻居TCP会话从CPE侧BGP邻居，到BGP邻居。

• 从CPE侧隧道IP地址到专用实例侧隧道IP地址。

  Ping不能是隧道传输IP到隧道传输IP，它必须是隧道IP到隧道IP。

如果IKEv2流量需要数据包跟踪，请为UDP和端口500（当没有NAT设备处于IPsec端点中间时）或端口4500（当将NAT设备插入到IPsec端点中间时）设置过滤器。

验证带有端口500或4500的IKEv2 UDP数据包是否发送和接收到DI IPsec IP地址。

在故障排除IPsec第二阶段之前，验证IPsec第一阶段（即IKEv2安全关联）是否处于活动状态。执行“显示加密的ikev2 sa”或同等命令以验证IKEv2会话。在输出中，请验证IKEv2会话是否已打开了超过几秒钟，并且没有跳转。会话正常时间显示为会话“活动时间”或等效输出。

一旦IKEv2会话验证为启动并处于活动状态，请调查IPsec会话。与IKEv2会话一样，执行“显示加密的ipsec sa”或同等命令来验证IPsec会话。在建立GRE隧道之前，IKEv2会话和IPsec会话都必须处于活动状态。如果IPsec会话未显示为活动状态，请检查IPsec日志是否存在错误消息或谈判错误。

在IPsec谈判中可能遇到的一些更常见的问题包括：

CPE侧的设置与专用实例侧不匹配，请重新检查设置：

• 验证加密和身份验证参数是否与专用实例侧的设置一致。

• 验证完美的前向保密设置以及专用实例侧的匹配设置。

• 验证生命周期设置。

• 验证IPsec已配置为隧道模式。

• 验证源和目标IPsec地址。

当IPsec和IKEv2会话验证为启动和活动时，GRE隧道keepalive数据包可以在专用实例和CPE隧道端点之间流动。如果隧道接口未显示状态，一些常见问题包括：

• 隧道接口传输VRF与回路接口的VRF不匹配（如果隧道接口使用VRF配置）。

  如果隧道接口未使用VRF配置，则可忽略此检查。

• CPE侧隧道接口上未启用Keepalives

  如果CPE设备不支持keepalives，则必须通知Cisco，这样才能禁用专用实例侧的默认keepalives。

  如果支持keepalives，请验证是否已启用。

• 隧道接口的掩码或IP地址不正确，且与专用实例期望值不匹配。

• 源或目标隧道传输地址不正确，且与专用实例期望值不匹配。

• 防火墙正在阻止GRE数据包发送到IPsec隧道或从IPsec隧道接收的（GRE隧道通过IPsec隧道传输）

ping测试应验证本地隧道接口是否处于打开状态，并且连接对远程隧道接口是否良好。执行从隧道IP（而不是传输IP）到远程隧道IP的ping检查。

ping检查的结果是GRE数据包从源隧道传输IP生成，而GRE数据包的有效负载（内部IP）将是源隧道传输IP和目的地隧道传输。

如果ping测试不成功，并且前面的项目已验证，则可能需要数据包捕捉，以确保icmp ping生成一个GRE数据包，该数据包被封装到IPsec数据包中，然后从源IPsec地址发送到目标IPsec地址。GRE隧道接口上的计数器和IPsec会话计数器也可以帮助显示。如果发送和接收数据包正在增加。

除了ping流量外，捕获还应该显示keepalive GRE数据包，即使是在闲置流量期间。最后，如果配置BGP，BGP keepalive数据包也应作为GRE数据包封在IPSEC数据包中以及通过VPN发送。

在“专用实例”方面，启用两个功能，可针对大数据包大小动态调整MTU。GRE隧道为通过VPN会话流式传输的IP数据包添加更多标题。IPsec隧道在GRE标题上添加额外的标题，将进一步减少隧道允许的最大的MTU。

GRE隧道调整MSS功能，MTU发现功能中的GRE隧道路径在专用实例侧启用。配置“ip tcp adjust-mss 1350”或等效命令以及客户端的“tunnel path\u0002mtu-discovery”或等效命令，以帮助通过VPN隧道动态调整流量MTU。