المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

التكوين

الرسم التخطيطي للشبكة

التكوينات

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

المقدمة

يوضح هذا المستند كيفية تأمين علاقة مجاورة لبروتوكول العبارة الحدودية الخارجية (eBGP) باستخدام واجهة النفق الظاهرية (VTI) ل IPsec مع الواجهات المادية (غير النفق) لحركة مرور مستوى البيانات. وتتضمن فوائد هذا التكوين ما يلي:

- الخصوصية الكاملة لجلسة عمل جوار BGP مع سرية البيانات ومقاومة إعادة التشغيل والأصالة والنزاهة.

- لا يتم تقييد حركة مرور مستوى البيانات بالنقل العلوي لوحدة الإرسال القصوى (MTU) لواجهة النفق. يمكن للعملاء إرسال حزم MTU قياسية (1500 بايت) دون أي تأثيرات على الأداء أو التجزئة.

- مصروفات عامة أقل على موجهات النقطة الطرفية نظرا لأن تشفير/فك تشفير فهرس سياسة الأمان (SPI) يقتصر على حركة مرور مستوى التحكم في BGP.

فائدة هذا التكوين هي أن مستوى البيانات غير مقيد بتقييد الواجهة النفقي. بالتصميم، لم يتم تأمين حركة مرور مستوى البيانات بواسطة IPsec.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- أساسيات تكوين eBGP والتحقق منه

- التلاعب في محاسبة سياسة BGP (PA) باستخدام خريطة المسار

- ميزات سياسة بروتوكول إدارة المفاتيح وارتباط أمان الإنترنت الأساسي (ISAKMP) و IPsec

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى برنامج Cisco IOS® الإصدار 15.3(1.3)T ولكن تعمل الإصدارات الأخرى المدعومة. نظرا لأن تكوين IPsec هو ميزة تشفير، تأكد من أن إصدار الرمز الخاص بك يحتوي على مجموعة الميزات هذه.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

تحذير: يستخدم مثال التكوين في هذا المستند خوارزميات تشفير متواضعة قد تكون مناسبة لبيئتك أو قد لا تكون مناسبة لها. راجع التقرير الرسمي للتشفير من الجيل التالي لمناقشة الأمان النسبي لمختلف مجموعات التشفير وأحجام المفاتيح.

التكوين

ملاحظة: أستخدم أداة بحث الأوامر (للعملاء المسجلين فقط) للحصول على مزيد من المعلومات حول الأوامر المستخدمة في هذا القسم.

الرسم التخطيطي للشبكة

التكوينات

أكمل الخطوات التالية:

1. قم بتكوين معلمات المرحلة 1 ل Internet Key Exchange (IKE) على R1 و R2 باستخدام المفتاح المشترك مسبقا على R1:
ملاحظة: لا تستخدم أبدا أرقام مجموعة DH 1 أو 2 أو 5 لأنها تعتبر أقل قيمة. إذا أمكن إستخدام مجموعة DH مع تشفير المنحنى البيضاوي (ECC) مثل المجموعات 19 أو 20 أو 24. يجب إعتبار معيار التشفير المتقدم (AES) وخوارزمية التجزئة الآمنة 256 (SHA256) أفضل من معيار تشفير البيانات (DES)/3DES و Message Digest 5 (MD5)/SHA1 على التوالي. لا تستخدم كلمة المرور "cisco" أبدا في بيئة إنتاج.

تكوين R1

R1(config)#crypto isakmp policy 1

R1(config-isakmp)#encr aes

R1(config-isakmp)#hash sha256

R1(config-isakmp)#authentication pre-share

R1(config-isakmp)#group 19

R1(config-isakmp)exit

R1(config)#crypto isakmp key CISCO address 12.0.0.2

تكوين R2

R2(config)#crypto isakmp policy 1

R2(config-isakmp)#encr aes

R2(config-isakmp)#hash sha256

R2(config-isakmp)#authentication pre-share

R2(config-isakmp)#group 19

R2(config-isakmp)exit

R2(config)#crypto isakmp key CISCO address 12.0.0.1

2. قم بتكوين تشفير كلمة المرور للمستوى 6 للمفتاح المشترك مسبقا في ذاكرة NVRAM على R1 و R2. يقلل هذا من أحتمالية قراءة المفتاح المشترك مسبقا المخزن في النص العادي إذا تم أختراق الموجه:
R1(config)#key config-key password-encrypt CISCOCISCO

R1(config)#password encryption aes

R2(config)#key config-key password-encrypt CISCOCISCO

R2(config)#password encryption aes

ملاحظة: بمجرد تمكين تشفير كلمة مرور المستوى 6، لن يعرض التكوين النشط إصدار النص العادي للمفتاح المشترك مسبقا:

!

R1#show run | include key

crypto isakmp key 6 \Nd`]dcCW\E`^WEObUKRGKIGadiAAB address 12.0.0.2

!

3. تكوين معلمات المرحلة 2 من IKE على R1 و R2:
تكوين R1

R1(config)#crypto ipsec transform-set TRANSFORM-SET esp-aes 256 esp-sha256 ah-sha256-hmac

R1(config)#crypto ipsec profile PROFILE

R1(ipsec-profile)#set transform-set TRANSFORM-SET

R1(ipsec-profile)#set pfs group19

تكوين R2

R2(config)#crypto ipsec transform-set TRANSFORM-SET esp-aes 256 esp-sha256 ah-sha256-hmac

R2(config)#crypto ipsec profile PROFILE

R2(ipsec-profile)#set transform-set TRANSFORM-SET

R2(ipsec-profile)#set pfs group19

ملاحظة: يعد تعيين السرية التامة لإعادة التوجيه (PFS) أمرا إختياريا ولكنه يحسن من قوة شبكة VPN نظرا لأنه يفرض إنشاء مفتاح متماثل جديد في إنشاء IKE المرحلة 2 SA.

4. قم بتكوين واجهات النفق في R1 و R2 وتأمينها باستخدام ملف تعريف IPsec:
تكوين R1

R1(config)#interface tunnel 12

R1(config-if)#ip address 1.1.1.1 255.255.255.0

R1(config-if)#tunnel source Ethernet0/0

R1(config-if)#tunnel mode ipsec ipv4

R1(config-if)#tunnel destination 12.0.0.2

R1(config-if)#tunnel protection ipsec profile PROFILE

تكوين R2

R2(config)#interface tunnel 12

R2(config-if)#ip address 1.1.1.2 255.255.255.0

R2(config-if)#tunnel source Ethernet0/0

R2(config-if)#tunnel mode ipsec ipv4

R2(config-if)#tunnel destination 12.0.0.1

R2(config-if)#tunnel protection ipsec profile PROFILE

5. تكوين BGP على R1 و R2 والإعلان عن شبكات الاسترجاع0 في BGP:
تكوين R1

R1(config)#router bgp 65510

R1(config-router)#neighbor 1.1.1.2 remote-as 65511

R1(config-router)#network 10.0.0.0 mask 255.255.255.0

تكوين R2

R2(config)#router bgp 65511

R2(config-router)#neighbor 1.1.1.1 remote-as 65510

R2(config-router)#network 20.0.0.0 mask 255.255.255.0

6. قم بتكوين خريطة مسار على R1 و R2 لتغيير عنوان IP للخطوة التالية يدويا حتى يشير إلى الواجهة المادية وليس إلى النفق. يجب تطبيق مخطط المسار هذا على الإتجاه الوارد.
تكوين R1

R1(config)ip prefix-list R2-NETS seq 5 permit 20.0.0.0/24

R1(config)#route-map CHANGE-NEXT-HOP permit 10

R1(config-route-map)#match ip address prefix-list R2-NETS

R1(config-route-map)#set ip next-hop 12.0.0.2

R1(config-route-map)#end

R1(config)#router bgp 65510

R1(config-router)#neighbor 1.1.1.2 route-map CHANGE-NEXT-HOP in

R1(config-router)#do clear ip bgp *

R1(config-router)#end

تكوين R2

R2(config)#ip prefix-list R1-NETS seq 5 permit 10.0.0.0/24

R2(config)#route-map CHANGE-NEXT-HOP permit 10

R2(config-route-map)#match ip address prefix-list R1-NETS

R2(config-route-map)#set ip next-hop 12.0.0.1

R2(config-route-map)#end

R2(config)#router bgp 65511

R2(config-router)#neighbor 1.1.1.1 route-map CHANGE-NEXT-HOP in

R2(config-router)#do clear ip bgp *

R2(config-router)#end

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

تدعم أداة مترجم الإخراج (للعملاءالمسجلين فقط) بعض أوامر show. استخدم "أداة مترجم الإخراج" لعرض تحليل لمُخرَج الأمر show.

تحقق من اكتمال كل من المرحلة الأولى من IKE والمرحلة الثانية من IKE.  لا يتغير بروتوكول الخط على واجهة النفق الظاهرية (VTI) إلى "up" حتى تكتمل المرحلة 2 من IKE:

R1#show crypto isakmp sa

IPv4 Crypto ISAKMP SA

dst src state conn-id status

12.0.0.1 12.0.0.2 QM_IDLE 1002 ACTIVE

12.0.0.2 12.0.0.1 QM_IDLE 1001 ACTIVE

R1#show crypto ipsec sa | inc encaps|decaps

#pkts encaps: 88, #pkts encrypt: 88, #pkts digest: 88

#pkts decaps: 90, #pkts decrypt: 90, #pkts verify: 90

لاحظ أنه قبل تطبيق خريطة المسار، يشير عنوان IP للخطوة التالية إلى عنوان IP المجاور BGP والذي هو واجهة النفق:

R1#show ip bgp

BGP table version is 2, local router ID is 10.0.0.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,

x best-external, a additional-path, c RIB-compressed,

Origin codes: i - IGP, e - EGP, ? - incomplete

RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path

*> 20.0.0.0/24 1.1.1.2 0 0 65511 i

عند إستخدام حركة المرور للنفق، يتم تقييد وحدة الحد الأقصى للنقل (MTU) ب النفق MTU:

R1#ping 20.0.0.2 size 1500 df-bit

Type escape sequence to abort.

Sending 5, 1500-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

*May 6 08:42:07.311: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:09.312: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:11.316: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:13.319: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:15.320: ICMP: dst (20.0.0.2): frag. needed and DF set.

Success rate is 0 percent (0/5)

R1#show interfaces tunnel 12 | inc transport|line

Tunnel12 is up, line protocol is up

Tunnel protocol/transport IPSEC/IP

Tunnel transport MTU 1406 bytes <---

R1#ping 20.0.0.2 size 1406 df-bit

Type escape sequence to abort.

Sending 5, 1406-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/5/6 ms

بعد تطبيق خريطة المسار، يتم تغيير عنوان IP إلى الواجهة المادية ل R2، وليس النفق:

R1#show ip bgp

BGP table version is 2, local router ID is 10.0.0.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,

x best-external, a additional-path, c RIB-compressed,

Origin codes: i - IGP, e - EGP, ? - incomplete

RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path

*> 20.0.0.0/24 12.0.0.2 0 0 65511 i

قم بتغيير مستوى البيانات لاستخدام الخطوة التالية الفعلية بالمقارنة مع النفق الذي يسمح بالحجم القياسي MTU:

R1#ping 20.0.0.2 size 1500 df-bit

Type escape sequence to abort.

Sending 5, 1500-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/5 ms

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.