虚拟连接使用双层前端体系结构，其中路由和流量控制设置由一个设备提供，IPSec 控制飞机由另一台设备提供。

在完成虚拟 连接 连接后，将在客户的企业网络和 Cisco 专用实例的数据中心之间创建两个通过 IPSec 的 4000 至 19993 年 4 月 24 日 24933 年 12 月 24 日。。每个冗余数据中心位于各“地区”内。合作伙伴或客户通过 Control Hub 虚拟连接激活表单向 Cisco 交换对等连接所需的其他联网元素。

图 1 显示了客户一侧的 2 集中器选项的虚拟连接部署模型示例。

虚拟连接 - VPN 是 Hub 设计，客户的 Hub 站点连接到特定区域内的专用实例的 DC1 和 DC2 数据中心。

建议使用两个 Hub 站点以实现更好的冗余，但是一个拥有两个隧道的 Hub 站点也是受支持的部署模型。

合作伙伴应与客户紧密合作，确保为“虚拟连接”服务区域选择最佳路径。

图 2 显示了专用实例云连接对等区域。

虚拟连接加载项的路由通过专用实例与客户本地设备 （CPE） 之间的外部 BGP （eBGP） 实现。Cisco 将针对一个地区的每个冗余 DC 将各自的网络播发到客户的 CPE，而 CPE 需要将缺省路由播发到 Cisco。

• Cisco 维护和分配

  • 隧道接口 IP 地址（传送的瞬态链接）Cisco 从指定的共享地址空间分配（不可公开路由）

  • 隧道传输解说地址（Cisco 一方）

  • 用于客户 BGP 路由配置的专用自治系统号码 （ASNS）

    • Cisco 从指定的专用使用范围分配：64512 到 65534

• eBGP 用于在专用实例和 CPE 之间交换路由

  • Cisco 将分配 /24 网络分给相应区域每个 DC 的 2 /25 一个。

  • 在虚拟连接中，Cisco 通过各自的点对点 VPN 隧道（瞬态链接）将每个 /25 网络播发回 CPE。

  • CPE 必须配置有相应的 eBGP 位位器。如果使用 1 个 CPE，将使用两个 eBGP 高分值，一个指向每个远程隧道。如果使用两个 CPE，那么每个 CPE 都有一个 eBGP neighbor neighborit to single remote tunnel to CPE。

  • 每个 BGP 隧道（隧道接口 IP）的 Cisco 端配置为 CPE 上的 BGP 相邻

  • 需要 CPE 才能在每个隧道上播发缺省路由

  • CPE 可重新分发（根据要求）在客户企业网络中学习路由。

• 在非故障链接失败的状况下，单个 CPE 将拥有两个活动/活动隧道。对于两个 CPE 节点，每个 CPE 都有一个活动隧道，两个 CPE 节点都应活动且传递流量。在非故障情况下，流量必须分流到正确的 /25 个目的地的两个隧道，如果其中一个隧道下行，其余隧道可同时传输这两个流量。在此类故障情境下，当 /25 网络出现故障时，将 /24 网络用作备份路由。Cisco 会通过内部 WAN 将客户流量发送到丢失连接的 DC。

IPsec隧道协商包括两个阶段：IKEv2阶段和IPsec阶段。如果IKEv2阶段协商未完成，则不会启动第二个IPsec阶段。首先，在第三方设备上发出命令“show crypto ikev2 sa”（在Cisco设备上）或类似命令，以验证IKEv2会话是否处于活动状态。如果IKEv2会话未处于活动状态，可能的原因可能是：

• 有趣的流量不会触发IPsec隧道。

• IPsec隧道访问列表配置错误。

• 客户和专用实例IPsec隧道端点IP之间没有连接。

• 专用实例端和客户端之间的IKEv2会话参数不匹配。

• 防火墙正在阻止IKEv2 UDP数据包。

首先，检查IPsec日志中是否有显示IKEv2隧道协商进度的消息。日志可能会指示IKEv2协商的问题所在。缺少记录消息也可能表示IKEv2会话未激活。

IKEv2协商的一些常见错误包括：

• CPE端的IKEv2设置与Cisco端不匹配，请重新检查上述设置：

  • 检查IKE版本是否为版本2。

  • 验证加密和验证参数是否与专用实例端的预期加密匹配。

    使用"GCM"密码时，GCM协议处理验证，并将验证参数设置为NULL。

  • 验证生命周期设置。

  • 验证Diffie Hellman模量组。

  • 验证伪随机函数设置。

• 加密地图的访问列表未设置为：

  • Allow GRE (local_tunnel_transport_ip) 255.255.255.255 remote_tunnel_transport_ip() 255.255.255.255"（或同等命令）

    访问列表必须专门针对"GRE"协议，且"IP"协议无效。

如果日志消息没有显示IKEv2阶段的任何协商活动，则可能需要数据包捕获。

正确配置后，以下内容将启动IPsec隧道和第一阶段IKEv2协商：

• GRE连接从CPE侧GRE隧道接口到专用实例侧GRE隧道接口。

• BGP邻居TCP会话从CPE侧BGP邻居至专用实例侧BGP邻居。

• 从CPE侧隧道IP地址到专用实例侧隧道IP地址的Ping。

  Ping不能是隧道传输IP到隧道传输IP，必须是隧道IP到隧道IP。

如果IKEv2流量需要数据包跟踪，请设置UDP和端口500的过滤器（当没有NAT设备位于IPsec终端的中间时）或端口4500（当NAT设备插入IPsec终端的中间时）。

验证是否向DI IPsec IP地址发送和接收端口为500或4500的IKEv2 UDP数据包。

在对IPsec第二阶段进行故障诊断之前，验证IPsec第一阶段（即IKEv2安全关联）是否处于活动状态。执行“show crypto ikev2 sa”或同等命令以验证IKEv2会话。在输出中，验证IKEv2会话已启动超过几秒，并且没有弹出。会话正常运行时间在输出中显示为会话“活动时间”或等效时间。

当IKEv2会话验证为已启动并处于活动状态后，调查IPsec会话。与IKEv2会话一样，执行“show crypto ipsec sa”或同等命令以验证IPsec会话。在建立GRE隧道之前，IKEv2会话和IPsec会话都必须处于活动状态。如果IPsec会话未显示为活动状态，请检查IPsec日志中是否有错误消息或协商错误。

在IPsec谈判期间可能遇到的一些较为常见的问题是：

CPE端的设置与专用实例端不匹配，请重新检查设置：

• 验证加密和验证参数是否与专用实例端的设置匹配。

• 验证完美前转保密设置以及是否与专用实例端的设置匹配。

• 验证生命周期设置。

• 验证IPsec已配置为隧道模式。

• 验证源和目标IPsec地址。

当IPsec和IKEv2会话被验证为启动和活动时，GRE隧道保持连接的数据包能够在专用实例和CPE隧道端点之间流动。如果隧道接口没有显示状态，一些常见问题包括：

• 隧道接口传输VRF与环回接口的VRF不匹配（如果隧道接口上使用了VRF配置）。

  如果隧道接口未使用VRF配置，则可忽略该检查。

• CPE侧隧道接口上未启用Keepalives

  如果CPE设备上不支持KEEPALIVES，则必须通知Cisco，以禁用专用实例端的默认keepalives。

  如果支持保持连接，验证是否已启用保持连接。

• 隧道接口的掩码或IP地址不正确，与专用实例的预期值不匹配。

• 源或目标隧道传输地址不正确，与专用实例的预期值不匹配。

• 防火墙阻止GRE数据包发送到IPsec隧道或从IPsec隧道接收（GRE隧道通过IPsec隧道传输）

ping测试应验证本地隧道接口是否正常，远程隧道接口的连接是否良好。从隧道IP（不是传输IP）到远程隧道IP执行ping检查。

ping检查将导致GRE数据包从源隧道传输IP到目标隧道传输IP生成，而GRE数据包的有效载荷（内部IP）将是源隧道和目标隧道IP。

如果ping测试不成功并且验证了前面的项，则可能需要数据包捕获，以确保icmp ping生成GRE数据包，然后将其封装到IPsec数据包中，然后从源IPsec地址发送到目标IPsec地址。GRE隧道接口上的计数器和IPsec会话计数器也可以帮助显示。如果发送和接收数据包正在递增。

除了ping流量，捕获还应该显示保持连接的GRE数据包，即使在空闲流量。最后，如果配置了BGP，BGP保持连接数据包还应该作为封装在IPSEC数据包中的GRE数据包以及通过VPN发送。

在专用实例端，启用了两个功能，可针对较大的数据包大小动态调整MTU。GRE隧道向流经VPN会话的IP数据包添加更多报头。IPsec隧道在GRE标头之上添加额外标头，将进一步减少隧道上允许的最大MTU。

GRE隧道调整MSS功能，在专用实例端启用MTU发现功能中的GRE隧道路径。在客户端配置“ip tcp adjust-mss 1350”或同等命令以及“tunnel path\u0002mtu-discovery”或同等命令，以帮助通过VPN隧道动态调整流量的MTU。