المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

سيناريو العمليات العادية

تحدث إلى- كلم (إختصار)

جداول ومخرجات التوجيه لسيناريو التشغيل العادي

سيناريو فشل HUB1

التكوينات

تكوين R1-HUB

تكوين R2-HUB2

تكوين R3-TALK1

تكوين R4-Talk2

تكوين R5-AGGR1

تكوين R6-AGGR2

تكوين مضيف R7 (محاكاة المضيف في تلك الشبكة)

ملاحظات تكوين هامة

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

معلومات ذات صلة

المقدمة

يوضح هذا المستند كيفية تكوين تصميم تكرار كامل للمكاتب البعيدة التي تتصل بمركز بيانات عبر شبكة VPN المستندة إلى IPSec عبر وسيط شبكة غير آمن، مثل الإنترنت.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى مكونات التقنية التالية:

- بروتوكول العبارة الحدودية (BGP) كبروتوكول توجيه داخل مركز البيانات وبين الخوادم والمراكز في تغشية شبكة VPN.

- اكتشاف إعادة التوجيه ثنائي الإتجاه (BFD) كآلية تقوم باكتشاف الارتباطات لأسفل (الموجه للأسفل) التي تعمل داخل مركز البيانات فقط (وليس عبر الأنفاق المتداخلة).

- برنامج Cisco IOS® FlexVPN بين لوحات التوزيع والأقسام الفرعية، مع تمكين إمكانات التحدث عبر تحويل قصير المدى.

- تضمين التوجيه العام (GRE) النفقي بين محورين لتمكين الاتصال عبر المحادثة، حتى عندما تكون المحددات متصلة بمراكز مختلفة.

- تعقب الكائن المحسن والمسارات الثابتة المرتبطة بالكائنات المتعقبة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

عندما تقوم بتصميم حلول الوصول عن بعد لمركز البيانات، غالبا ما يكون التوافر العالي (HA) أحد المتطلبات الأساسية لتطبيقات المستخدم الحيوية للمهام.

يتيح الحل الوارد في هذا المستند إمكانية الاكتشاف السريع والاسترداد من سيناريوهات الأعطال التي يتم فيها تعطل أحد مراكز إنهاء شبكات VPN بسبب مشاكل في إعادة التحميل أو الترقية أو الطاقة. تستخدم جميع موجهات المكاتب البعيدة (الفرعية) بعد ذلك مركز التشغيل الآخر مباشرة عند اكتشاف مثل هذا الفشل.

فيما يلي ميزات هذا التصميم:

- إسترداد الشبكة بسرعة فائقة من سيناريو دعم شبكة VPN

- لا توجد عمليات مزامنة إعلان حالة معقدة (مثل اقترانات أمان IPSec (SAs)، واقتران أمان الإنترنت، وشبكات الأمان لبروتوكول إدارة المفاتيح (ISAKMP)، وتوجيه التشفير) بين مراكز شبكات VPN

- لا توجد مشاكل متعلقة بعدم إعادة التشغيل بسبب التأخير في مزامنة رقم تسلسل حمولة أمان التضمين (ESP) مع HA ذي الحالة IPSec

- يمكن أن تستخدم لوحات التوزيع الخاصة بالشبكة الخاصة الظاهرية (VPN) أجهزة أو برامج مختلفة تستند إلى Cisco IOS/IOS-XE

- خيارات تنفيذ موازنة الأحمال المرنة مع BGP كبروتوكول التوجيه الذي يتم تشغيله في تغشية الشبكة الخاصة الظاهرية (VPN)

- توجيه واضح ويمكن قراءته على جميع الأجهزة التي لا تحتوي على آليات مخفية تعمل في الخلفية

- إمكانية الاتصال المباشر عبر الهاتف

- جميع ميزات FlexVPN، لتضمين تكامل المصادقة والتفويض والمحاسبة (AAA) وجودة الخدمة لكل نفق (QoS)

التكوين

يقدم هذا القسم أمثلة سيناريوهات ويصف كيفية تكوين تصميم تكرار كامل للمكاتب البعيدة التي تتصل بمركز البيانات من خلال الشبكة الخاصة الظاهرية (VPN) القائمة على بروتوكول IPSec عبر وسط شبكة غير آمن.

ملاحظة: أستخدم أداة بحث الأوامر (للعملاء المسجلين فقط) للحصول على مزيد من المعلومات حول الأوامر المستخدمة في هذا القسم.

الرسم التخطيطي للشبكة

هذا هو مخطط الشبكة المستخدم في هذا المستند:

ملاحظة: تقوم جميع الموجهات التي يتم إستخدامها في هذا المخطط بتشغيل الإصدار 15.2(4)M1 من Cisco IOS، وتستخدم سحابة الإنترنت نظام عناوين 172.16.0.0/24.

سيناريو العمليات العادية

في سيناريو تشغيل عادي، عندما تكون جميع الموجهات قيد التشغيل والتشغيل، تقوم جميع الموجهات المحكية بتوجيه حركة المرور عبر الموزع الافتراضي (R1-HUB1). ويتحقق تفضيل التوجيه هذا عند تعيين التفضيل المحلي الافتراضي لبروتوكول BGP على 200 (راجع الأقسام التي تتبع للحصول على تفاصيل). ويمكن تعديل هذا الإجراء استنادا إلى متطلبات النشر، مثل موازنة حمل حركة مرور البيانات.

تحدث إلى- كلم (إختصار)

إذا قام R3-Talk1 ببدء اتصال ب R4-Talk2، يتم إنشاء نفق Dynamic Talk-Speaker باستخدام تكوين التحويل قصير المدى.

تلميح: للحصول على مزيد من التفاصيل، ارجع إلى دليل التكوين الذي يتم التحدث به عن تكوين FlexVPN.

إذا كان R3-Talk1 متصلا فقط ب R1-HUB1، وكان R4-TALK2 متصلا فقط ب R2-HUB2، يمكن تحقيق اتصال تحدث مباشرة مع نفق GRE من نقطة إلى نقطة الذي يمتد بين المحاور. في هذه الحالة، يظهر مسار حركة المرور الأولية بين R3-Talk1 و R4-Talk2 مشابها لهذا:

ونظرا لأن R1-Hub1 يستقبل الحزمة على واجهة الوصول الظاهري، والتي تحتوي على نفس معرف شبكة بروتوكول تحليل الخطوة (NHRP) التالي كما هو الحال في نفق GRE، يتم إرسال إشارة حركة المرور إلى R3-Talk1. يؤدي هذا إلى تشغيل إنشاء نفق ديناميكي يتم التحدث إليه:

جداول ومخرجات التوجيه لسيناريو التشغيل العادي

فيما يلي جدول توجيه R1-HUB1 في سيناريو تشغيلي منتظم:

R1-HUB1# show ip route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

a - application route

+ - replicated route, % - next hop override

Gateway of last resort is not set

10.0.0.0/8 is variably subnetted, 11 subnets, 3 masks

S        10.0.0.0/8 is directly connected, Null0

C        10.0.0.0/24 is directly connected, Tunnel0

L        10.0.0.1/32 is directly connected, Tunnel0

C        10.0.1.1/32 is directly connected, Loopback0

S        10.0.1.2/32 is directly connected, Virtual-Access1

S        10.0.1.3/32 is directly connected, Virtual-Access2

B        10.0.2.1/32 [200/0] via 10.0.0.2, 00:05:40

B        10.0.2.3/32 [200/0] via 10.0.0.2, 00:05:40

B        10.0.2.4/32 [200/0] via 10.0.0.2, 00:05:40

B        10.0.5.1/32 [200/0] via 192.168.0.5, 00:05:40

B        10.0.6.1/32 [200/0] via 192.168.0.6, 00:05:40

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C        172.16.0.0/24 is directly connected, Ethernet0/0

L        172.16.0.1/32 is directly connected, Ethernet0/0

S     192.168.0.0/16 is directly connected, Null0

192.168.0.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.0.0/24 is directly connected, Ethernet0/2

L        192.168.0.1/32 is directly connected, Ethernet0/2

B     192.168.1.0/24 [200/0] via 192.168.0.5, 00:05:40

B     192.168.3.0/24 [200/0] via 10.0.1.4, 00:05:24

B     192.168.4.0/24 [200/0] via 10.0.1.5, 00:05:33

فيما يلي جدول توجيه R3-TALK1 في سيناريو عملياتي منتظم بعد إنشاء النفق الذي يتحدث إليه مع R4-TALK2:

R3-SPOKE1#  show ip route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

a - application route

+ - replicated route, % - next hop override

Gateway of last resort is not set

10.0.0.0/8 is variably subnetted, 8 subnets, 2 masks

B        10.0.0.0/8 [200/0] via 10.0.1.1, 00:06:27

H        10.0.0.1/32 is directly connected, 00:06:38, Tunnel1

S   %    10.0.1.1/32 is directly connected, Tunnel0

C        10.0.1.3/32 is directly connected, Tunnel0

H        10.0.1.4/32 is directly connected, 00:01:30, Virtual-Access1

S        10.0.2.1/32 is directly connected, Tunnel1

C        10.0.2.3/32 is directly connected, Tunnel1

H        10.0.2.4/32 [250/1] via 10.0.2.3, 00:01:30, Virtual-Access1

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C        172.16.0.0/24 is directly connected, Ethernet0/0

L        172.16.0.3/32 is directly connected, Ethernet0/0

B     192.168.0.0/16 [200/0] via 10.0.1.1, 00:06:27

192.168.3.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.3.0/24 is directly connected, Ethernet0/1

L        192.168.3.3/32 is directly connected, Ethernet0/1

192.168.4.0/32 is subnetted, 1 subnets

H        192.168.4.4 [250/1] via 10.0.1.3, 00:01:30, Virtual-Access1

في R3-Talk1، يحتوي جدول BGP على إدخالين لشبكة 192.168.0.0/16 بتفضيلات محلية مختلفة (يفضل R1-Hub1):

R3-SPOKE1#show ip bgp 192.168.0.0/16

BGP routing table entry for 192.168.0.0/16, version 8

Paths: (2 available, best #2, table default)

Not advertised to any peer

Refresh Epoch 1

Local

10.0.2.1 from 10.0.2.1 (10.0.2.1)

Origin incomplete, metric 0, localpref 100, valid, internal

rx pathid: 0, tx pathid: 0

Refresh Epoch 1

Local

10.0.1.1 from 10.0.1.1 (10.0.1.1)

Origin incomplete, metric 0, localpref 200, valid, internal, best

rx pathid: 0, tx pathid: 0x0

فيما يلي جدول توجيه R5-AGGR1 في سيناريو تشغيلي منتظم:

R5-LAN1#show ip route

10.0.0.0/8 is variably subnetted, 10 subnets, 3 masks

B        10.0.0.0/8 [200/0] via 192.168.0.1, 00:07:22

B        10.0.0.0/24 [200/0] via 192.168.0.1, 00:07:22

B        10.0.1.1/32 [200/0] via 192.168.0.1, 00:07:22

B        10.0.1.3/32 [200/0] via 192.168.0.1, 00:07:17

B        10.0.1.4/32 [200/0] via 192.168.0.1, 00:07:16

B        10.0.2.1/32 [200/0] via 192.168.0.2, 15:44:13

B        10.0.2.3/32 [200/0] via 192.168.0.2, 15:44:13

B        10.0.2.4/32 [200/0] via 192.168.0.2, 15:44:13

C        10.0.5.1/32 is directly connected, Loopback0

B        10.0.6.1/32 [200/0] via 192.168.0.6, 00:07:22

172.16.0.0/24 is subnetted, 1 subnets

B        172.16.0.0 [200/0] via 192.168.0.1, 00:07:22

B     192.168.0.0/16 [200/0] via 192.168.0.1, 00:07:22

192.168.0.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.0.0/24 is directly connected, Ethernet0/0

L        192.168.0.5/32 is directly connected, Ethernet0/0

192.168.1.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.1.0/24 is directly connected, Ethernet0/1

L        192.168.1.5/32 is directly connected, Ethernet0/1

B     192.168.3.0/24 [200/0] via 10.0.1.3, 00:07:06

B     192.168.4.0/24 [200/0] via 10.0.1.4, 00:07:15

فيما يلي جدول توجيه R7-Host في سيناريو تشغيلي منتظم:

R7-HOST#show ip route

S*    0.0.0.0/0 [1/0] via 192.168.1.254

192.168.1.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.1.0/24 is directly connected, Ethernet0/0

L        192.168.1.7/32 is directly connected, Ethernet0/0

سيناريو فشل HUB1

فيما يلي سيناريو أسفل R1-HUB1 (بسبب إجراءات مثل انقطاع التيار الكهربائي أو الترقية):

في هذا السيناريو، يحدث هذا التسلسل للأحداث:

1. يكتشف BFD على R2-HUB2 وعلى موجهات تجميع شبكات LAN R5-AGGR1 و R6-AGGR2 حالة فشل R1-HUB1. ونتيجة لهذا، تنهار علاقات منطقة الحدود بين الولايات المتحدة وباكستان على الفور.

2. يتعطل اكتشاف كائن المسار ل R2-HUB2 الذي يكتشف وجود الاسترجاع R1-HUB1 (المسار 1 في مثال التكوين).

3. يقوم هذا الكائن الذي تم تتبع سقوطه بتشغيل مسار آخر للانتقال لأعلى (منطقي NOT). في هذا المثال، يذهب المسار 2 لأعلى كلما انخفض المسار 1.

4. يؤدي هذا إلى تشغيل إدخال توجيه IP ثابت لإضافته إلى جدول التوجيه بسبب قيمة أقل من المسافة الإدارية الافتراضية. هنا التكوين المناسب:

! Routes added when second HUB is down

ip route 10.0.0.0 255.0.0.0 Null0 tag 500 track 2

ip route 192.168.0.0 255.255.0.0 Null0 tag 500 track 2

! Default static routes are with Tag 200 and admin distance of 150

ip route 10.0.0.0 255.0.0.0 Null0 150 tag 200

ip route 192.168.0.0 255.255.0.0 Null0 150 tag 200

5. يعيد R2-HUB2 توزيع هذه المسارات الثابتة باستخدام تفضيل BGP محلي أكبر من القيمة التي تم تعيينها ل R1-HUB1. في هذا المثال، يتم إستخدام تفضيل محلي من 500 في سيناريو الفشل، بدلا من 200 التي يتم تعيينها بواسطة R1-HUB1:

route-map LOCALPREF permit 5

match tag 500

set local-preference 500

!

route-map LOCALPREF permit 10

match tag 200

set local-preference 200

!
في R3-talk1، يمكنك رؤية ذلك في مخرجات بروتوكول بوابة الحدود (BGP). لاحظ أن إدخال R1 لا يزال موجودا، ولكنه غير مستخدم:

R3-SPOKE1#show ip bgp 192.168.0.0/16

BGP routing table entry for 192.168.0.0/16, version 10

Paths: (2 available, best #1, table default)

Not advertised to any peer

Refresh Epoch 1

Local

10.0.2.1 from 10.0.2.1 (10.0.2.1)

Origin incomplete, metric 0, localpref 500, valid, internal, best

rx pathid: 0, tx pathid: 0x0

Refresh Epoch 1

Local

10.0.1.1 from 10.0.1.1 (10.0.1.1)

Origin incomplete, metric 0, localpref 200, valid, internal

rx pathid: 0, tx pathid: 0

6. عند هذه النقطة، يبدأ كلا المجلسين (R3-Talk1 و R4-Talk2) في إرسال حركة مرور البيانات إلى R2-HUB2. يجب أن تحدث جميع هذه الخطوات خلال ثانية واحدة. فيما يلي جدول التوجيه في Talk 3:

R3-SPOKE1#show ip route

10.0.0.0/8 is variably subnetted, 5 subnets, 2 masks

B        10.0.0.0/8 [200/0] via 10.0.2.1, 00:00:01

S        10.0.1.1/32 is directly connected, Tunnel0

C        10.0.1.3/32 is directly connected, Tunnel0

S        10.0.2.1/32 is directly connected, Tunnel1

C        10.0.2.3/32 is directly connected, Tunnel1

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C        172.16.0.0/24 is directly connected, Ethernet0/0

L        172.16.0.3/32 is directly connected, Ethernet0/0

B     192.168.0.0/16 [200/0] via 10.0.2.1, 00:00:01

192.168.3.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.3.0/24 is directly connected, Ethernet0/1

L        192.168.3.3/32 is directly connected, Ethernet0/1

7. فيما بعد BGP جلسة بين الفروع و R1-HUB1 إلى أسفل، و DPD كشف النظير الميت يزيل أنفاق IPSec التي يتم إنهاؤها على R1-HUB1. ومع ذلك، لا يؤثر هذا على إعادة توجيه حركة مرور البيانات، نظرا لاستخدام R2-HUB2 بالفعل كبوابة إنهاء النفق الرئيسية:

R3-SPOKE1#show ip bgp 192.168.0.0/16

BGP routing table entry for 192.168.0.0/16, version 10

Paths: (1 available, best #1, table default)

Not advertised to any peer

Refresh Epoch 1

Local

10.0.2.1 from 10.0.2.1 (10.0.2.1)

Origin incomplete, metric 0, localpref 500, valid, internal, best

rx pathid: 0, tx pathid: 0x0

التكوينات

يوفر هذا القسم نموذجا لتكوينات لوحات التوزيع والقنوات التي يتم إستخدامها في هذا المخطط.

تكوين R1-HUB

version 15.4

!

hostname R1-HUB1

!

aaa new-model

!

aaa authorization network default local

!

aaa session-id common

!

! setting track timers to the lowest possible (the lower this value is

! the faster router will react

track timer ip route msec 500

!

! Monitoring of HUB2's loopback present in routing table

! If it is present it will mean that HUB2 is alive

track 1 ip route 10.0.2.1 255.255.255.255 reachability

!

! Monitoring of loopback of R5-AGGR-1

track 3 ip route 10.0.5.1 255.255.255.255 reachability

!

! Monitoring of loopback of R6-AGGR-2

track 4 ip route 10.0.6.1 255.255.255.255 reachability

!

! Track 2 should be UP only when HUB2 is not available and both AGGRE routers are up

!

track 2 list boolean and

object 1 not

object 3

object 4

!

! IKEv2 Config Exchange configuration (IP addresses for spokes are assigned from pool)

crypto ikev2 authorization policy default

pool SPOKES

route set interface

route accept any tag 20

!

!

! IKEv2 profile for Spokes - Smart Defaults used

crypto ikev2 profile default

match identity remote any

authentication remote pre-share key cisco

authentication local pre-share key cisco

aaa authorization group psk list default default

virtual-template 1

!

interface Loopback0

ip address 10.0.1.1 255.255.255.255

!

! GRE Tunnel configured to second HUB. It is required for spoke-to-spoke connectivity

! to work in all possible circumstances

! no BFD echo configuration is required to avoid Traffic Indication sent by remote HUB

! (BFD echo is having the same source and destination IP address)

!

interface Tunnel0

ip address 10.0.0.1 255.255.255.0

ip nhrp network-id 1

ip nhrp redirect

bfd interval 50 min_rx 50 multiplier 3

no bfd echo

tunnel source Ethernet0/2

tunnel destination 192.168.0.2

!

interface Ethernet0/0

ip address 172.16.0.1 255.255.255.0

!

interface Ethernet0/2

ip address 192.168.0.1 255.255.255.0

bfd interval 50 min_rx 50 multiplier 5

!

interface Virtual-Template1 type tunnel

ip unnumbered Loopback0

ip nhrp network-id 1

ip nhrp redirect

tunnel protection ipsec profile default

!

! BGP Configuration

router bgp 1

bgp log-neighbor-changes

! dynamic peer-groups are used for AGGR routers and SPOKES

bgp listen range 192.168.0.0/24 peer-group DC

bgp listen range 10.0.1.0/24 peer-group SPOKES

! BGP timers configured

timers bgp 15 30

neighbor SPOKES peer-group

neighbor SPOKES remote-as 1

neighbor DC peer-group

neighbor DC remote-as 1

! Within DC BFD is used to determine neighbour status

neighbor DC fall-over bfd

neighbor 10.0.0.2 remote-as 1

! BFD is used to detect HUB2 status

neighbor 10.0.0.2 fall-over bfd

!

address-family ipv4

redistribute connected

! route-map which determines what should be the local-pref

redistribute static route-map LOCALPREF

neighbor SPOKES activate

! to spokes only Aggregate/Summary routes are sent

neighbor SPOKES route-map AGGR out

neighbor DC activate

neighbor DC route-reflector-client

neighbor 10.0.0.2 activate

neighbor 10.0.0.2 route-reflector-client

exit-address-family

!

ip local pool SPOKES 10.0.1.2 10.0.1.254

!

! When HUB2 goes down Static Routes with Tag 500 are added and admin distance of 1

ip route 10.0.0.0 255.0.0.0 Null0 tag 500 track 2

ip route 192.168.0.0 255.255.0.0 Null0 tag 500 track 2

! Default static routes are with Tag 200 and admin distance of 150

ip route 10.0.0.0 255.0.0.0 Null0 150 tag 200

ip route 192.168.0.0 255.255.0.0 Null0 150 tag 200

!

!

ip prefix-list AGGR seq 5 permit 192.168.0.0/16

ip prefix-list AGGR seq 10 permit 10.0.0.0/8

!

route-map AGGR permit 10

match ip address prefix-list AGGR

!

route-map LOCALPREF permit 5

match tag 500

set local-preference 500

!

route-map LOCALPREF permit 10

match tag 200

set local-preference 200

!

route-map LOCALPREF permit 15

match tag 20

تكوين R2-HUB2

hostname R2-HUB2

!

aaa new-model

!

aaa authorization network default local

!

track timer ip route msec 500

!

track 1 ip route 10.0.1.1 255.255.255.255 reachability

!

track 2 list boolean and

object 1 not

object 3

object 4

!

track 3 ip route 10.0.5.1 255.255.255.255 reachability

!

track 4 ip route 10.0.6.1 255.255.255.255 reachability

!

!

crypto ikev2 authorization policy default

pool SPOKES

route set interface

route accept any tag 20

!

!

crypto ikev2 profile default

match identity remote any

authentication remote pre-share key cisco

authentication local pre-share key cisco

aaa authorization group psk list default default

virtual-template 1

!

!

interface Loopback0

ip address 10.0.2.1 255.255.255.255

!

interface Tunnel0

ip address 10.0.0.2 255.255.255.0

ip nhrp network-id 1

ip nhrp redirect

bfd interval 50 min_rx 50 multiplier 3

no bfd echo

tunnel source Ethernet0/2

tunnel destination 192.168.0.1

!

interface Ethernet0/0

ip address 172.16.0.2 255.255.255.0

!

interface Ethernet0/2

ip address 192.168.0.2 255.255.255.0

bfd interval 50 min_rx 50 multiplier 5

!

interface Virtual-Template1 type tunnel

ip unnumbered Loopback0

ip nhrp network-id 1

ip nhrp redirect

tunnel protection ipsec profile default

!

router bgp 1

bgp log-neighbor-changes

bgp listen range 192.168.0.0/24 peer-group DC

bgp listen range 10.0.2.0/24 peer-group SPOKES

timers bgp 15 30

neighbor SPOKES peer-group

neighbor SPOKES remote-as 1

neighbor DC peer-group

neighbor DC remote-as 1

neighbor DC fall-over bfd

neighbor 10.0.0.1 remote-as 1

neighbor 10.0.0.1 fall-over bfd

!

address-family ipv4

redistribute connected

redistribute static route-map LOCALPREF

neighbor SPOKES activate

neighbor SPOKES route-map AGGR out

neighbor DC activate

neighbor DC route-reflector-client

neighbor 10.0.0.1 activate

neighbor 10.0.0.1 route-reflector-client

exit-address-family

!

ip local pool SPOKES 10.0.2.2 10.0.2.254

ip forward-protocol nd

!

!

ip route 192.168.0.0 255.255.0.0 Null0 tag 500 track 2

ip route 10.0.0.0 255.0.0.0 Null0 tag 500 track 2

ip route 10.0.0.0 255.0.0.0 Null0 150 tag 200

ip route 192.168.0.0 255.255.0.0 Null0 150 tag 200

!

!

ip prefix-list AGGR seq 5 permit 192.168.0.0/16

ip prefix-list AGGR seq 10 permit 10.0.0.0/8

!

route-map AGGR permit 10

match ip address prefix-list AGGR

!

route-map LOCALPREF permit 5

match tag 500

set local-preference 500

!

route-map LOCALPREF permit 10

match tag 200

set local-preference 100

!

route-map LOCALPREF permit 15

match tag 20

تكوين R3-TALK1

hostname R3-SPOKE1

!

aaa new-model

!

aaa authorization network default local

!

!

crypto ikev2 authorization policy default

route set interface

!

!

crypto ikev2 profile default

match identity remote any

authentication remote pre-share key cisco

authentication local pre-share key cisco

dpd 10 2 on-demand

aaa authorization group psk list default default

!

! Tunnel to the HUB1

!

interface Tunnel0

ip address negotiated

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel source Ethernet0/0

tunnel destination 172.16.0.1

tunnel protection ipsec profile default

!

! Tunnel to the HUB2

!

interface Tunnel1

ip address negotiated

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel source Ethernet0/0

tunnel destination 172.16.0.2

tunnel protection ipsec profile default

!

interface Ethernet0/0

description INTERNET-CLOUD

ip address 172.16.0.3 255.255.255.0

!

interface Ethernet0/1

description LAN

ip address 192.168.3.3 255.255.255.0

!

interface Virtual-Template2 type tunnel

ip unnumbered Ethernet0/1

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel protection ipsec profile default

!

router bgp 1

bgp log-neighbor-changes

timers bgp 15 30

neighbor 10.0.1.1 remote-as 1

neighbor 10.0.2.1 remote-as 1

!

address-family ipv4

network 192.168.3.0

neighbor 10.0.1.1 activate

neighbor 10.0.2.1 activate

exit-address-family

تكوين R4-Talk2

hostname R4-SPOKE2

!

aaa new-model

!

aaa authorization network default local

!

!

crypto ikev2 authorization policy default

route set interface

!

crypto ikev2 profile default

match identity remote any

authentication remote pre-share key cisco

authentication local pre-share key cisco

dpd 10 2 on-demand

aaa authorization group psk list default default

!

interface Tunnel0

ip address negotiated

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel source Ethernet0/0

tunnel destination 172.16.0.1

tunnel protection ipsec profile default

!

interface Tunnel1

ip address negotiated

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel source Ethernet0/0

tunnel destination 172.16.0.2

tunnel protection ipsec profile default

!

interface Ethernet0/0

ip address 172.16.0.4 255.255.255.0

!

interface Ethernet0/1

ip address 192.168.4.4 255.255.255.0

!

interface Virtual-Template2 type tunnel

ip unnumbered Ethernet0/1

ip nhrp network-id 1

ip nhrp shortcut virtual-template 2

tunnel protection ipsec profile default

!

router bgp 1

bgp log-neighbor-changes

timers bgp 15 30

neighbor 10.0.1.1 remote-as 1

neighbor 10.0.2.1 remote-as 1

!

address-family ipv4

network 192.168.4.0

neighbor 10.0.1.1 activate

neighbor 10.0.2.1 activate

exit-address-family

!

تكوين R5-AGGR1

hostname R5-LAN1

!

no aaa new-model

!

!

interface Loopback0

ip address 10.0.5.1 255.255.255.255

!

interface Ethernet0/0

ip address 192.168.0.5 255.255.255.0

bfd interval 50 min_rx 50 multiplier 5

!

! HSRP configuration on the LAN side

!

interface Ethernet0/1

ip address 192.168.1.5 255.255.255.0

standby 1 ip 192.168.1.254

!

router bgp 1

bgp log-neighbor-changes

neighbor 192.168.0.1 remote-as 1

neighbor 192.168.0.1 fall-over bfd

neighbor 192.168.0.2 remote-as 1

neighbor 192.168.0.2 fall-over bfd

!

address-family ipv4

redistribute connected

redistribute static

neighbor 192.168.0.1 activate

neighbor 192.168.0.2 activate

exit-address-family

تكوين R6-AGGR2

hostname R6-LAN2

!

interface Loopback0

ip address 10.0.6.1 255.255.255.255

!

interface Ethernet0/0

ip address 192.168.0.6 255.255.255.0

bfd interval 50 min_rx 50 multiplier 5

!

interface Ethernet0/1

ip address 192.168.1.6 255.255.255.0

standby 1 ip 192.168.1.254

standby 1 priority 200

!

router bgp 1

bgp log-neighbor-changes

neighbor 192.168.0.1 remote-as 1

neighbor 192.168.0.1 fall-over bfd

neighbor 192.168.0.2 remote-as 1

neighbor 192.168.0.2 fall-over bfd

!

address-family ipv4

redistribute connected

redistribute static

neighbor 192.168.0.1 activate

neighbor 192.168.0.2 activate

exit-address-family

!

تكوين مضيف R7 (محاكاة المضيف في تلك الشبكة)

hostname R7-HOST

!

no aaa new-model

!

interface Ethernet0/0

ip address 192.168.1.7 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 192.168.1.254

ملاحظات تكوين هامة

فيما يلي بعض الملاحظات المهمة حول التكوينات الموضحة في الأقسام السابقة:

- ويلزم وجود نفق GRE من نقطة إلى نقطة بين المركزين لتوفير الاتصال من خلال الاتصال من خلال الاتصال من خلال الاتصال المباشر للعمل في جميع السيناريوهات، وعلى وجه التحديد تضمين السيناريوهات التي لا تتصل فيها بعض الفروع إلا بأحد المركزين بينما تتصل أخرى بمركز آخر.

- يلزم تكوين no bfd echo في واجهة نفق GRE بين المركزين لتجنب إشارة حركة المرور التي يتم إرسالها من موزع آخر. يحتوي صدى BFD على نفس عنوان IP المصدر والوجهة، والذي يساوي عنوان IP الخاص بالموجه الذي يرسل صدى BFD. ونظرا لأنه يتم توجيه هذه الحزم مرة أخرى بواسطة الموجه الذي يستجيب، يتم إنشاء مؤشرات حركة مرور NHRP.

- في تكوين BGP، لا تكون تصفية خريطة المسار التي تعلن عن الشبكات نحو الخوادم مطلوبة، ولكنها تجعل التكوينات أكثر مثالية نظرا لأنه يتم الإعلان عن موجهات التجميع/الموجز فقط:

neighbor SPOKES route-map AGGR out

- على لوحات التوزيع، يلزم تكوين الإعدادات المحلية ل خريطة المسار من أجل إعداد تفضيل BGP المحلي المناسب، كما يقوم بتصفية المسارات الثابتة المعاد توزيعها إلى مسارات وضع تكوين الملخص و IKEv2 فقط.

- لا يتناول هذا التصميم التكرار في مواقع Remote Office (تكلم). إذا انقطع رابط شبكة WAN على مكبر الصوت، فإن شبكة VPN أيضا لا تعمل. قم بإضافة إرتباط ثان إلى الموجه الموجه الذي يتم التحدث به أو إضافة موجه ثان يتم التحدث به داخل نفس الموقع من أجل معالجة هذه المشكلة.

باختصار، يمكن التعامل مع تصميم التكرار الذي يتم تقديمه في هذا المستند كبديل حديث لميزة التحويل المعبر عن الحالة (SSO)/الميزة المعبر عن الحالة. يتسم هذا الطراز بمرونة فائقة ويمكن ضبطه بإحكام من أجل الوفاء بمتطلبات النشر الخاصة بك.

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.

معلومات ذات صلة

- ورقة بيانات Cisco IOS FlexVPN

- تم التحدث إلى تكوين FlexVPN

- الدعم التقني والمستندات - Cisco Systems