sexta-feira, 8 de abril de 2011

VPN – L3VPN sobre L2TPv3 sem MPLS

1      L3VPN em L2TP sem MPLS

A funcionalidade MPLS VPNs over IP Tunnels permite que seja configurado o serviço de VPN L3 sobre o backbone IP usando a tecnologia de túnel L2TPv3 multiponto ao invés do Multiprotocol Label Switching (MPLS). Como os tuneis multiponto suportam multiplos endpoints, é necessário configurar apenas um único tunnel em cada roteador PE.

1.1       Divulgação do Túnel pelo BGP entre os PEs

O Border Gateway Protocol (BGP) é utilizado para divulger os endpoints dos túneis e a subaddress family indentifier (SAFI) Essa feature introduz o tunnel SAFI e o atributo BGP SAFI-Specific Attribute (SSA). O tunnel SAFI define o endpoint do tunnel e transporta o endereço IPv4 e o nexthop do endpoint. O SAFI é identificado pelo SAFI number 64. O BGP SSA transporta o BGP preference e BGP flags, além de tunnel cookie, tunnel cookie length, e o session ID. Esses atributos permitem que o BGP distribua as informações de encapsulamento do túnel entre os roteadores PEs. O tráfego de VPNv4 é roteado através desses túneis. O next hop anunciado nos updates do BGP-VPNv4 determina qual túnel deverá ser usado para rotear o trafego..

1.2       Configurando os PEs

Um único tunnel L2TPv3 multiponto é configurado em cada PE. A VPN é criada configurando a instancia VRF normalmente. O túnel que transporta o tráfego da VPN através do backbone reside no seu proprio espaço de Endereçamento. Uma VRF chamada Resolve in VRF (RiV) é criada para gerenciar os endereçamentos do túnel. O endereçamento configurado na VRF RiV é associada com o tunnel e uma rota estática é configurada na VRF RiV para rotear o tráfego pelo túnel.
How to Configure MPLS VPNs over IP Tunnels
Para configurar o serviço de VPN L3 sobre o tunnel L2TPv3 multiponto deve-se crier a instancia VRF, criar o tunnel multiponto L2TPv3, redirecionar o tráfego Ip da VPN para o tunnel e configurar a troca de informações de VPN pelo BGP VPNv4.


Cenário

1.3       Objetivo

Cinco roteadores (CE1, PE1, P, PE2 e CE2) são conectados formando um backbone com 3 roteadores e dois CEs conectados. Pede-se:
      O protocolo de roteamento de backbone PE1-P-PE2 deverá ser o OSPF na área 0 com todas as interfaces divulgadas e com mBGP no AS 1 entre os PEs para tráfego de VRFs;
      Tanto o CE1 quanto o CE2 deverão pertencer a VRF VPN_A e deverá existir conectividade entre esses CEs;
      Não deverá ser usado MPLS para o tráfego de dados da VRF. Deve-se usar um túnel L3VPN com L2TP;
      O túnel deverá ter autenticação com a chave “12”.

1.4       Topologia


Figure-01:         Topologia

1.5       IOS utilizados

      CE1, PE1, P, PE2 e CE2 – c7200-k91p-mz.122-25.S15.bin

1.6       Configuração dos Roteadores

1.6.1        Configurações do OSPF do Backbone

Em todos os roteadores configura-se o roteamento OSPF pelo comando “router ospf ” onde o “processo” é um numero do processo OSPF. O roteador também possui um router ID único que geralmente é a interface loopback ou então o maior endereço IP do roteador.
Para adicionar interfaces deve-se usar o comando “network
área ”. Um roteador pode ter interfaces em áreas distintas, define-se cada área pelo comando network e o tipo da área com o comando “area [type]”.

1.6.2        Configuração do MBGP

Para estabelecer uma VPN, seja lite ou não, é necessário configurar o MBGP para a troca de informações de prefixos de VPN. É necessário somente configurar o MBGP nos roteadores PEs da rede que possuem conexão com os CEs, ou seja, conectados diretamente aos sites.
O MBGP funciona como o BGP, configura-se em todos os roteadores pelo comando “router bgp onde o “AS” é o Autonomous System do backbone. Dentro da configuração de BGP adicionam-se os vizinhos estaticamente com o comando “neighbor remote-as .
Adiciona-se o IP da interface loopback como Router-ID pelo comando “bgp router-id .
Como os roteadores dentro do mesmo AS não divulgarão as rotas IBGP entre eles, faz-se o full-mesh de conexão MBGP ou configuram-se os roteadores centrais como Router-reflectors adicionando os demais roteadores como clientes pelo comando “neighbor router-reflector-client”.
O MBGP é configurado dentro do protocolo BGP, porém deve-se separar a família de roteamento com o comando “address-family vpnv4” e dentro da família ativar os vizinhos. Para o envio de prefixos das VPNs, deve-se habilitar o envio de community extendida com o comando “neighbor send-community extended”.
Todos os recursos como route-map, next-hop-self, router-reflector, etc. podem ser configurados dentro da família VPNv4 para manipular ou resolver problemas de roteamento.

1.6.3        Criando uma VPN VRF no BGP

Após todos os roteadores PEs da rede possuem conectividade MBGP, ou diretamente ou por router-reflector, cria-se a VPN com o comando “ip vrf ”, dentro desse comando ficam os parâmentros de marcação da VPN e das communities associadas aos prefixos daquela VPN. Configura-se o Route-Distinguisher da VPN, que deve ser único na rede, com comando “rd :”, e também se cria a community que será exportada para aqueles prefixos de rede com o comando “route-target :”, onde “import” significa importar as rotas e “export” exportar as rotas marcadas com aquela community.
Cria-se então uma address-family dentro do BGP com o comando “address-family ipv4 vrf ” com o mesmo nome da VPN criada no “ip vrf” fora do roteamento BGP. Dentro dessa address-family são configuradas as redes que serão redistribuídas para os outros sites. Para divulgar as redes é necessário que a rede exista na tabela de roteamento interna e, ou adicionar o comando “network mask ou redistribuindo rotas para o MBGP com o comando “redistribute , que pode ser vinculado a um route-map para definir exatamente as rotas que serão divulgadas de um protocolo para outros sites.
Enfim, para que uma interface conectada ao CE faça parte da VPN BGP, usa-se o comando “ip vrf forwarding ” dentro da interface.

1.6.4        Criando o túnel L2TP L3 para tráfego de VPN

Para criar um túnel multiponto GRE para envio de tráfego das VRFs criadas nos PEs, cria-se uma vrf exclusiva para o transporte dos dados, geralmente chamada de “RiV” que quer dizer Resolve-in-VRF ip vrf RiV”, dentro da VRF configura-se um RD.
Em seguida, cria-se uma interface túnel “interface tunnel ” na vrf de transporte (no caso, RiV) com um endereço IP na mesma rede do endereço IP das interfaces túnel de todos os outros PEs. Usa-se o o endereço IP da loopback como source do túnel (esse endereço tem que ser acessível pelos outros PEs) “tunnel source loopback 0. Configura-se o tipo do túnel que deverá ser L2TPv3 multiponto para VPN L3 “tunnel mode l3vpn l2tpv3 multipoint”.
Na vizinhança com os outros PEs ou com o Router Reflector aplica-se um route-map de entrada dizendo que tudo o que é aprendido por aquele peer deve ser enviado para a VRF de transporte, a RiV. Esse route-map tem como set o comando “set ip next-hop in-vrf RiV”.
Para que o roteamento do túnel seja feito entre os PEs, deve-se configurar uma conexão MBGP em uma address-family Tunnel entre o PEs envolvidos ou com um router-reflector.
Por último, configura-se uma rota estática default apontada para a interface tunnel dentro da vrf RiV.

1.7       Observações e Bugs

2      Configuração

2.1       CE1

!
interface FastEthernet0/0
 ip address 10.10.10.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 10.10.10.254
!

2.2       PE1

!
ip cef
!
ip vrf RiV
 rd 12:12
!
ip vrf VPN_A
 rd 1:1
 route-target export 1:1
 route-target import 1:1
!
!
interface Loopback0
 ip address 1.1.1.1 255.255.255.255
!
interface Tunnel12
 ip vrf forwarding RiV
 ip address 12.12.12.1 255.255.255.0
 tunnel source Loopback0
 tunnel mode l3vpn l2tpv3 multipoint           ! modo do tunnel tem que ser l3vpn
 tunnel key 12
!
interface FastEthernet0/0
 ip vrf forwarding VPN_A
 ip address 10.10.10.254 255.255.255.0
!
interface FastEthernet1/0
 ip address 100.100.100.1 255.255.255.252
!
router ospf 1
 router-id 1.1.1.1
 network 1.1.1.1 0.0.0.0 area 0
 network 100.100.100.1 0.0.0.0 area 0
!
router bgp 100
 bgp router-id 1.1.1.1
 neighbor 2.2.2.2 remote-as 200
 neighbor 2.2.2.2 ebgp-multihop 255
 neighbor 2.2.2.2 update-source Loopback0
 !
 address-family ipv4 tunnel
 neighbor 2.2.2.2 activate
!
 address-family vpnv4
 neighbor 2.2.2.2 activate
 neighbor 2.2.2.2 send-community extended
 neighbor 2.2.2.2 route-map RiV_RM in
 !
 address-family ipv4 vrf VPN_A
 redistribute connected
!
 address-family ipv4 vrf RiV
!
!
ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12
!
!
route-map RiV_RM permit 10              ! o route-map aponta as rotas para dentro da vrf
 set ip next-hop in-vrf RiV
!

2.3       P

!
interface Loopback0
 ip address 9.9.9.9 255.255.255.255
!
interface FastEthernet0/0
 ip address 100.100.100.2 255.255.255.252
!
interface FastEthernet1/0
 ip address 100.100.100.6 255.255.255.252
!
router ospf 1
 router-id 9.9.9.9
 network 100.100.100.2 0.0.0.0 area 0
 network 100.100.100.6 0.0.0.0 area 0
!

2.4       PE2

!
ip cef
!
ip vrf RiV
 rd 12:12
!
ip vrf VPN_A
 rd 1:1
 route-target export 1:1
 route-target import 1:1
!
!
interface Loopback0
 ip address 2.2.2.2 255.255.255.255
!
interface Tunnel12
 ip vrf forwarding RiV
 ip address 12.12.12.2 255.255.255.0
 tunnel source Loopback0
 tunnel mode l3vpn l2tpv3 multipoint
 tunnel key 12
!        
interface FastEthernet0/0
 ip vrf forwarding VPN_A
 ip address 20.20.20.254 255.255.255.0
!
interface FastEthernet1/0
 ip address 100.100.100.5 255.255.255.252
!
router ospf 1
 router-id 2.2.2.2
 network 2.2.2.2 0.0.0.0 area 0
 network 100.100.100.5 0.0.0.0 area 0
!
router bgp 200
 bgp router-id 2.2.2.2
 neighbor 1.1.1.1 remote-as 100
 neighbor 1.1.1.1 ebgp-multihop 255
 neighbor 1.1.1.1 update-source Loopback0
 !
address-family ipv4 tunnel
 neighbor 2.2.2.2 activate
 exit-address-family
 !
 address-family vpnv4
 neighbor 1.1.1.1 activate
 neighbor 1.1.1.1 send-community extended
 neighbor 1.1.1.1 route-map RiV_RM in
!
 address-family ipv4 vrf VPN_A
 redistribute connected
!
 address-family ipv4 vrf RiV
!
ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12
!        
!
route-map RiV_RM permit 10
 set ip next-hop in-vrf RiV
!

2.5       CE2

!
interface FastEthernet0/0
 ip address 20.20.20.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 20.20.20.254
!

6 comentários:

Anônimo disse...

*Finԁ the сancellеd check you
sent for уοur payment. Τhe proceѕs of online purchasing has been simplified.
In аddition to thе above benefitѕ, іt allows you tο haνe
a vοlley of ѕome іn-сar feаtures.


Feеl free to surf to mу page one day car insurance uk

Anônimo disse...

They hоωever really don't speed and most of the damages that occur to their cars are minor in nature. You can look online to seek help on availing this kind of offer. The Internet has enabled online companies to reduce their fixed operating costs and therefore, they are more likely than brick and mortar corporations to pass on the savings to their customers.

Also visit my web site; one day car insurance uk

Anônimo disse...

While you can easily аrrange your οwn inѕurance ρolіcy, it
may be worthwhile talking to a brоker.
Finally, calculate how muсh іt would cost to demoliѕh the
existing building, and to pгеpare the site for a nеw build.
Their intentіonѕ are clear ' they do not want to insure for sinkhole damage anymore, and if they must, well.

Also visit my homepage ... Home Insurance

Anônimo disse...

Аdvаnceԁ safety measuгes inсlude anti-thеft mechaniѕms аnd seсuгity alaгms, although, they're reserved to new models, that happen to be pricey for some teens. It is also possible to purchase your temporary car insurance online and print out your documents immediately once payment has been authorized. This reason for using one day car insurance quite simply offers protection when you are driving the car home and are unable to get full car insurance or just want to get the vehicle back to your home legally.

My page - http://www.gourmetgastronomer.com

Anônimo disse...

If a рerѕon has νaluable wοrks
of art, jewelry oг other exρensive possessions, a
rіder ωill lіkеly be needеd to insure thеѕe іtеms.
You shοuld cheсk with thе insurance cοmpany to find out а full list οf the items that hаvе limited coverage.

Moreover, you won't end up filing for small claims that can hurt your chances of a claims-free bonus.

Feel free to surf to my blog post - Home Insurance

Anônimo disse...

If you are likе manу pеople, уou have гeсeived
the county assеѕsor's evaluation notice and were horrified by the drop in the assessed value of your home and property. ' Υοu
should also rеvieω your cοntents insurance if you've bought any high-value items (e. As established owner, you must be want to review current home insurance policy to ensure that the coverage meets your needs.

my site ... http://www.mesatactical.com