Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de la red

Red de transporte

Red superpuesta

Configuraciones

Protocolos de ruteo

Configuración del hub

Configuración de Spoke

Verificación

Sesión de Spoke a Hub

Sesión de radio a radio

Troubleshoot

Introducción

Este documento describe una configuración común que utiliza un Cisco IOS® FlexVPN spoke e implementación de hub en un entorno IPv6. Se expande sobre los conceptos tratados en FlexVPN: Configuración básica de LAN a LAN IPv6.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Cisco IOS FlexVPN

- Protocolos de ruteo

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Routers de servicios integrados de segunda generación (ISR G2) de Cisco

- Versión 15.3 del software del IOS de Cisco (o versión 15.4T para túneles dinámicos de radio a radio con IPv6)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Mientras que este ejemplo de configuración y el diagrama de red utilizan IPv6 como red de transporte, la encapsulación de routing genérico (GRE) se suele utilizar en implementaciones FlexVPN. El uso de GRE en lugar de IPsec permite a los administradores ejecutar IPv4 o IPv6 o ambos en los mismos túneles, independientemente de la red de transporte.

Diagrama de la red

Red de transporte

Este es un diagrama de la red de transporte utilizada en este ejemplo:

Red superpuesta

Este es un diagrama de la topología básica de red superpuesta utilizada en este ejemplo:

Cada radio se asigna desde un conjunto de direcciones de /112, pero recibe una dirección /128. Por lo tanto, la notación '/112 128' se utiliza en la configuración del conjunto IPv6 del hub.

Configuraciones

Esta configuración muestra una superposición de IPv4 e IPv6 que funciona sobre una estructura básica de IPv6.

Cuando se compara con ejemplos que utilizan IPv4 como estructura básica, observe que debe utilizar el comando tunnel mode para cambiar el nodo y acomodar el transporte IPv6.

La función de túnel de radio a radio sobre IPv6 se introducirá en la versión 15.4T del software del IOS de Cisco, que aún no está disponible.

Protocolos de ruteo

Cisco recomienda que utilice el protocolo de gateway fronterizo interno (iBGP) para el peering entre radios y concentradores para implementaciones de gran tamaño porque iBGP es el protocolo de routing más escalable.

El intervalo de escucha del protocolo de gateway fronterizo (BGP) no admite el intervalo IPv6, pero simplifica el uso con un transporte IPv4. Aunque es factible utilizar BGP en un entorno de este tipo, esta configuración ilustra un ejemplo básico, por lo que se eligió el protocolo de routing de gateway interior mejorado (EIGRP).

Configuración del hub

En comparación con ejemplos anteriores, esta configuración incluye el uso de nuevos protocolos de transporte.

Para configurar el hub, el administrador necesita:

- Habilite el ruteo de unidifusión.

- Aprovisione el routing de transporte.

- Aprovisione un nuevo conjunto de direcciones IPv6 para asignarlo dinámicamente. La piscina es 2001:DB8:0:FFFE::/112; Los 16 bits permiten el direccionamiento de 65 535 dispositivos.

- Habilite IPv6 para la configuración del protocolo de resolución de salto siguiente (NHRP) para permitir IPv6 en la superposición.

- Cuenta para el direccionamiento IPv6 en el llenado de claves, así como el perfil en la configuración de criptografía.

En este ejemplo, el hub anuncia un resumen EIGRP para todos los radios.

Cisco no recomienda el uso de una dirección de resumen en la interfaz de plantilla virtual en la implementación de FlexVPN; sin embargo, en una VPN multipunto dinámica (DMVPN), esto no solo es común, sino que también se considera una práctica recomendada. Consulte Migración de FlexVPN: Cambio difícil de DMVPN a FlexVPN en los mismos dispositivos: Actualización de la configuración del hub para obtener más detalles.

ipv6 unicast-routing

ipv6 cef

ip local pool FlexSpokes 10.1.1.176 10.1.1.254

ipv6 local pool FlexSpokesv6 2001:DB8:0:FFFE::/112 128

crypto ikev2 authorization policy default

ipv6 pool FlexSpokesv6

pool FlexSpokes

route set interface

crypto ikev2 keyring Flex_key

peer ALL

address ::/0

pre-shared-key local cisco

pre-shared-key remote cisco

!

crypto ikev2 profile Flex_IKEv2

match identity remote address ::/0

authentication remote pre-share

authentication local pre-share

keyring local Flex_key

aaa authorization group psk list default default

virtual-template 1

crypto ikev2 dpd 30 5 on-demand

interface Virtual-Template1 type tunnel

ip unnumbered Loopback100

ip mtu 1400

ip nhrp network-id 2

ip nhrp redirect

ip tcp adjust-mss 1360

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 unnumbered Loopback100

ipv6 enable

ipv6 eigrp 65001

ipv6 nhrp network-id 2

ipv6 nhrp redirect

tunnel mode gre ipv6

tunnel protection ipsec profile default

interface Ethernet1/0

description LAN subnet

ip address 192.168.0.1 255.255.255.0

ipv6 address 2001:DB8:1111:2000::1/64

ipv6 enable

ipv6 eigrp 65001

interface Loopback0

ip address 172.25.1.1 255.255.255.255

ipv6 address 2001:DB8::1/128

ipv6 enable

ip route 192.168.0.0 255.255.0.0 Null0

ipv6 route 2001:DB8:1111::/48 Null0

ip prefix-list EIGRP_SUMMARY_ONLY seq 5 permit 192.168.0.0/16

ipv6 prefix-list EIGRP_SUMMARY_v6 seq 5 permit 2001:DB8:1111::/48

router eigrp 65001

distribute-list prefix EIGRP_SUMMARY_ONLY out Virtual-Template1

network 10.1.1.0 0.0.0.255

network 192.168.0.0 0.0.255.255

redistribute static metric 1500 10 10 1 1500

ipv6 router eigrp 65001

distribute-list prefix-list EIGRP_SUMMARY_v6 out Virtual-Template1

redistribute static metric 1500 10 10 1 1500

Configuración de Spoke

Al igual que en la configuración del hub, el administrador necesita aprovisionar el direccionamiento IPv6, habilitar el ruteo IPv6 y agregar la configuración de NHRP y criptografía.

Es factible utilizar EIGRP y otros protocolos de ruteo para el peering de spoke a spoke. Sin embargo, en un escenario típico, los protocolos no son necesarios y pueden afectar a la escalabilidad y estabilidad.

En este ejemplo, la configuración de ruteo mantiene solamente la adyacencia EIGRP entre el spoke y el hub, y la única interfaz que no es pasiva es la interfaz Tunnel1:

ipv6 unicast-routing

ipv6 cef

crypto logging session

crypto ikev2 authorization policy default

route set interface

crypto ikev2 keyring Flex_key

peer ALL

address ::/0

pre-shared-key local cisco

pre-shared-key remote cisco

!

crypto ikev2 profile Flex_IKEv2

match identity remote address ::/0

authentication remote pre-share

authentication local pre-share

keyring local Flex_key

aaa authorization group psk list default default

virtual-template 1

crypto ikev2 dpd 30 5 on-demand

interface Tunnel1

description FlexVPN tunnel

ip address negotiated

ip mtu 1400

ip nhrp network-id 2

ip nhrp shortcut virtual-template 1

ip nhrp redirect

ip tcp adjust-mss 1360

delay 1000

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 address negotiated

ipv6 enable

ipv6 nhrp network-id 2

ipv6 nhrp shortcut virtual-template 1

ipv6 nhrp redirect

tunnel source Ethernet0/0

tunnel mode gre ipv6

tunnel destination 2001:DB8::1

tunnel protection ipsec profile default

interface Virtual-Template1 type tunnel

ip unnumbered Ethernet1/0

ip mtu 1400

ip nhrp network-id 2

ip nhrp shortcut virtual-template 1

ip nhrp redirect

ip tcp adjust-mss 1360

delay 1000

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 unnumbered Ethernet1/0

ipv6 enable

ipv6 nhrp network-id 2

ipv6 nhrp shortcut virtual-template 1

ipv6 nhrp redirect

tunnel mode gre ipv6

tunnel protection ipsec profile default

Siga estas recomendaciones cuando cree entradas de protocolo de ruteo en un spoke:

1. Permita que el protocolo de ruteo establezca una relación a través de la conexión (en este caso, la interfaz Tunnel1) al hub. Por lo general, no es deseable establecer adyacencia de ruteo entre radios porque esto aumenta significativamente la complejidad en la mayoría de los casos.

2. Anuncie solamente las subredes LAN locales y habilite el protocolo de ruteo en una dirección IP asignada por el hub. Tenga cuidado de no anunciar una subred grande porque podría afectar a la comunicación de radio a radio.

Este ejemplo refleja ambas recomendaciones para EIGRP en Spoke1:

router eigrp 65001

network 10.1.1.0 0.0.0.255

network 192.168.101.0 0.0.0.255

passive-interface default

no passive-interface Tunnel1

ipv6 router eigrp 65001

passive-interface default

no passive-interface Tunnel1

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Nota: La herramienta de interpretación de información de salida (disponible para clientes registrados únicamente) admite ciertos comandos show. Utilice la herramienta para ver una análisis de información de salida del comando show.

Sesión de Spoke a Hub

Una sesión configurada correctamente entre dispositivos radiales y concentradores tiene una sesión de Intercambio de claves de Internet versión 2 (IKEv2) activa y tiene un protocolo de routing que puede establecer adyacencia. En este ejemplo, el protocolo de ruteo es EIGRP, por lo que hay dos comandos EIGRP:

- show crypto ikev2 sa

- show ipv6 eigrp 65001 neighbor

- show ip eigrp 65001 neighbor

Spoke1#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

1          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8::1/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK, Auth

verify: PSK

Life/Active Time: 86400/1945 sec

Spoke1#sh ipv6 eigrp 65001 neighbor

EIGRP-IPv6 Neighbors for AS(65001)

H   Address                 Interface          Hold Uptime   SRTT   RTO  Q  Seq

(sec)         (ms)       Cnt Num

0   Link-local address:     Tu1                  14 00:32:29   72  1470  0  10

FE80::A8BB:CCFF:FE00:6600

Spoke1#show ip eigrp neighbors

EIGRP-IPv4 Neighbors for AS(65001)

H   Address                 Interface          Hold Uptime   SRTT   RTO  Q  Seq

(sec)         (ms)       Cnt Num

0   10.1.1.1                Tu1                  11 00:21:05   11  1398  0  26

En IPv4, EIGRP utiliza una dirección IP asignada al par; en el ejemplo anterior, es la dirección IP del hub de 10.1.1.1.

IPv6 utiliza una dirección local de link; en este ejemplo, el hub es FE80::A8BB:CCFF:FE00:6600. Utilice el comando ping para verificar que se pueda alcanzar el hub a través de su IP local de link:

Spoke1#ping FE80::A8BB:CCFF:FE00:6600

Output Interface: tunnel1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to FE80::A8BB:CCFF:FE00:6600, timeout is

2 seconds:

Packet sent with a source address of FE80::A8BB:CCFF:FE00:6400%Tunnel1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/5/5 ms

Sesión de radio a radio

Las sesiones de radio a radio se activan dinámicamente a demanda. Utilice un simple comando ping para activar una sesión:

Spoke1#ping  2001:DB8:1111:2200::100 source e1/0

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2001:DB8:1111:2200::100, timeout is 2 seconds:

Packet sent with a source address of 2001:DB8:1111:2100::1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/8/10 ms

Para confirmar la conectividad directa de spoke a spoke, el administrador necesita:

- Verifique que una sesión dinámica de radio a radio active una nueva interfaz de acceso virtual:

%LINEPROTO-5-UPDOWN: Line protocol on Interface Virtual-Access1, changed

state to up

%CRYPTO-5-IKEV2_SESSION_STATUS: Crypto tunnel v2 is UP.

Peer 2001:DB8:0:200::2:500       Id: 2001:DB8:0:200::2

- Verifique el estado de la sesión IKEv2:

Spoke1#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

1          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8::1/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK,

Auth verify: PSK

Life/Active Time: 86400/3275 sec

Tunnel-id    fvrf/ivrf              Status

2          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8:0:200::2/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK,

Auth verify: PSK

Life/Active Time: 86400/665 sec
Tenga en cuenta que hay disponibles dos sesiones: un spoke a hub y otro spoke a spoke.

- Verifique NHRP:

Spoke1#show ipv6 nhrp

2001:DB8:0:FFFE::/128 via 2001:DB8:0:FFFE::

Virtual-Access1 created 00:00:10, expire 01:59:49

Type: dynamic, Flags: router nhop rib nho

NBMA address: 2001:DB8:0:200::2

2001:DB8:1111:2200::/64 via 2001:DB8:0:FFFE::

Virtual-Access1 created 00:00:10, expire 01:59:49

Type: dynamic, Flags: router rib nho

NBMA address: 2001:DB8:0:200::2

El resultado muestra que 2001:DB8:1111:2200::/64 (la LAN para Spoke2) está disponible a través de 2001:DB8:0:FFFE::, que es la dirección IPv6 negociada en la interfaz Tunnel1 para Spoke2. La interfaz Tunnel1 está disponible a través de la dirección de acceso múltiple sin difusión (NBMA) de 2001:db8:0:200::2 , que es la dirección IPv6 asignada estáticamente a Spoke2.

- Verifique que el tráfico esté pasando a través de esa interfaz:

Spoke1#sh crypto ipsec sa peer 2001:DB8:0:200::2

interface: Virtual-Access1

Crypto map tag: Virtual-Access1-head-0, local addr 2001:DB8:0:100::2

protected vrf: (none)

local  ident (addr/mask/prot/port): (2001:DB8:0:100::2/128/47/0)

remote ident (addr/mask/prot/port): (2001:DB8:0:200::2/128/47/0)

current_peer 2001:DB8:0:200::2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 196, #pkts encrypt: 196, #pkts digest: 196

#pkts decaps: 195, #pkts decrypt: 195, #pkts verify: 195

(...)

- Verifique la ruta de ruteo y la configuración CEF:

Spoke1#show ipv6 route

(...)

D   2001:DB8:1111:2200::/64 [90/27161600]

via 2001:DB8:0:FFFE::, Virtual-Access1 [Shortcut]

via FE80::A8BB:CCFF:FE00:6600, Tunnel1

(...)

Spoke1#show ipv6 cef 2001:DB8:1111:2200::

2001:DB8:1111:2200::/64

nexthop 2001:DB8:0:FFFE:: Virtual-Access

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Nota: Consulte Información Importante sobre Comandos de Debug antes de usar un comando debug.

Estos comandos debug le ayudan a resolver problemas:

- FlexVPN/IKEv2 e IPsec:

- debug crypto ipsec

- debug crypto ikev2 [packet|internal]

- NHRP (spoke-to-spoke):

- debug nhrp pack

- debug nhrp extension

- debug nhrp cache

- debug nhrp route

Consulte Lista de Comandos Principal de Cisco IOS, Todas las Versiones para obtener más información sobre estos comandos.