VPN – Multiponto GRE sem MPLS Resolve in VRF

Essa funcionalidade prove um mecanismo de transporte de camada 3 baseado na tecnologia de tunelamento enhanced multipoint Generic Routing Encapsulation (mGRE). Esse mesmo tunnel dinamico de camada 3 pode ser usada em redes IP para o transporte de tráfego VPN através do backbone do ISP.

Para configurar os tuneis mGRE cria-se uma rede de tunnel multiponto sobre o backbne IP. Essa rede sobreposta interconecta os PEs para transporter o trárefo VPN através do backbone. Essa rede de túnel multiponto usa o BGP para distribuir as informações de roteamento VPNv4 entre os PEs mantendo a relação de parceria entre o ISP e os sites dos clientes. Essa funcionalidade permite que vários ISPs ofereçam o serviço VPN entre PEs ISPs diferentes (inter-AS).

Além de prover a capacidade de transporte de VPN, os túneis MGRE cria uma topologia full-mesh  diminuindo o volume de Configuração e administração comparado a links ponto a ponto, permitindo ainda que a rede cresça rapidamente.

Os túneis L3 dinâmicos permite uma scalabilidade melhor quando se cria VPNs partial-mesh ou full-mesh. Criar um novo site remoto da VPN é simples porque somente um roteador precisa ser configurado. O novo endereçamento é aprendido dinamicamente e propagado para os outros roteadores da rede. Os túneis L3 mGRE precisam ser configurados somente nos PEs.

Objetivo

Cinco roteadores (CE1, PE1, P, PE2 e CE2) são conectados formando um backbone com 3 roteadores e dois CEs conectados. Pede-se:

• O protocolo de roteamento de backbone PE1-P-PE2 deverá ser o OSPF na área 0 com todas as interfaces divulgadas e com mBGP no AS 1 entre os PEs para tráfego de VRFs;
• Tanto o CE1 quanto o CE2 deverão pertencer a VRF VPN_A e deverá existir conectividade entre esses CEs;
• Não deverá ser usado MPLS para o tráfego de dados da VRF. Deve-se usar um túnel mGRE L3VPN.

Topologia

IOS utilizados

• CE1, PE1, P, PE2 e CE2 – c7200-k91p-mz.122-25.S15.bin

Configuração dos Roteadores

Configurações do OSPF do Backbone

Em todos os roteadores configura-se o roteamento OSPF pelo comando “router ospf ” onde o “processo” é um numero do processo OSPF. O roteador também possui um router ID único que geralmente é a interface loopback ou então o maior endereço IP do roteador.

Para adicionar interfaces deve-se usar o comando “network area”. Um roteador pode ter interfaces em áreas distintas, define-se cada área pelo comando network e o tipo da área com o comando “area [type]”.

1.4.2        Configuração do MBGP

Para estabelecer uma VPN, seja lite ou não, é necessário configurar o MBGP para a troca de informações de prefixos de VPN. É necessário somente configurar o MBGP nos roteadores PEs da rede que possuem conexão com os CEs, ou seja, conectados diretamente aos sites.

O MBGP funciona como o BGP, configura-se em todos os roteadores pelo comando “router bgp ” onde o “AS” é o Autonomous System do backbone. Dentro da configuração de BGP adicionam-se os vizinhos estaticamente com o comando “neighbor remote-as ”.

Adiciona-se o IP da interface loopback como Router-ID pelo comando “bgp router-id ”.

Como os roteadores dentro do mesmo AS não divulgarão as rotas IBGP entre eles, faz-se o full-mesh de conexão MBGP ou configuram-se os roteadores centrais como Router-reflectors adicionando os demais roteadores como clientes pelo comando “neighbor router-reflector-client”.

O MBGP é configurado dentro do protocolo BGP, porém deve-se separar a família de roteamento com o comando “address-family vpnv4” e dentro da família ativar os vizinhos. Para o envio de prefixos das VPNs, deve-se habilitar o envio de community extendida com o comando “neighbor send-community extended”.

Todos os recursos como route-map, next-hop-self, router-reflector, etc. podem ser configurados dentro da família VPNv4 para manipular ou resolver problemas de roteamento.

Criando uma VPN VRF no BGP

Após todos os roteadores PEs da rede possuem conectividade MBGP, ou diretamente ou por router-reflector, cria-se a VPN com o comando “ip vrf ”, dentro desse comando ficam os parâmentros de marcação da VPN e das communities associadas aos prefixos daquela VPN. Configura-se o Route-Distinguisher da VPN, que deve ser único na rede, com comando “rd :”, e também se cria a community que será exportada para aqueles prefixos de rede com o comando “route-target :”, onde “import” significa importar as rotas e “export” exportar as rotas marcadas com aquela community.

Cria-se então uma address-family dentro do BGP com o comando “address-family ipv4 vrf ” com o mesmo nome da VPN criada no “ip vrf” fora do roteamento BGP. Dentro dessa address-family são configuradas as redes que serão redistribuídas para os outros sites. Para divulgar as redes é necessário que a rede exista na tabela de roteamento interna e, ou adicionar o comando “network mask ” ou redistribuindo rotas para o MBGP com o comando “redistribute ”, que pode ser vinculado a um route-map para definir exatamente as rotas que serão divulgadas de um protocolo para outros sites.

Enfim, para que uma interface conectada ao CE faça parte da VPN BGP, usa-se o comando “ip vrf forwarding ” dentro da interface.

Criando o túnel mGRE L3 para tráfego de VPN

Para criar um túnel multiponto GRE para envio de tráfego das VRFs criadas nos PEs, cria-se uma vrf exclusiva para o transporte dos dados, geralmente chamada de “RiV” que quer dizer Resolve-in-VRF “ip vrf RiV”, dentro da VRF configura-se um RD.

Em seguida, cria-se uma interface túnel “interface tunnel” na vrf de transporte (no caso, RiV) com um endereço IP na mesma rede do endereço IP das interfaces túnel de todos os outros PEs. Usa-se o o endereço IP da loopback como source do túnel (esse endereço tem que ser acessível pelos outros PEs) “tunnel source loopback 0”. Configura-se o tipo do túnel que deverá ser GRE multiponto para VPN L3 “tunnel mode gre multipoint l3vpn”.

Na vizinhança com os outros PEs ou com o Router Reflector aplica-se um route-map de entrada dizendo que tudo o que é aprendido por aquele peer deve ser enviado para a VRF de transporte, a RiV. Esse route-map tem como set o comando “set ip next-hop in-vrf RiV”.

Por último, configura-se uma rota estática default apontada para a interface tunnel dentro da vrf RiV.

Observações e Bugs

http://www.cisco.com/en/US/docs/ios/12_0s/feature/guide/greL3vpn.html

Comandos Importantes de Verificação

PE1#sh ip cef vrf VPN_A 

Prefix              Next Hop             Interface

0.0.0.0/0           drop                 Null0 (default route handler entry)

0.0.0.0/32          receive

10.10.10.0/24       attached             FastEthernet0/0

10.10.10.0/32       receive

10.10.10.1/32       10.10.10.1           FastEthernet0/0

10.10.10.254/32     receive

10.10.10.255/32     receive

20.20.20.0/24       2.2.2.2              Tunnel12

224.0.0.0/4         drop

224.0.0.0/24        receive

255.255.255.255/32  receive

Routing Table: VPN_A

Gateway of last resort is not set

     20.0.0.0/24 is subnetted, 1 subnets

B       20.20.20.0 [20/0] via 2.2.2.2 (RiV), 00:32:40

     10.0.0.0/24 is subnetted, 1 subnets

C       10.10.10.0 is directly connected, FastEthernet0/0

Configuração

CE1

!

interface FastEthernet0/0

 ip address 10.10.10.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 10.10.10.254

!

PE1

!

ip cef

!

ip vrf RiV

 rd 12:12

!

ip vrf VPN_A

 rd 1:1

 route-target export 1:1

 route-target import 1:1

!

!

interface Loopback0

 ip address 1.1.1.1 255.255.255.255

!

interface Tunnel12

 ip vrf forwarding RiV

 ip address 12.12.12.1 255.255.255.0

 tunnel source Loopback0

 tunnel mode gre multipoint l3vpn              ! modo do tunnel tem que ser l3vpn

 tunnel key 12

!

interface FastEthernet0/0

 ip vrf forwarding VPN_A

 ip address 10.10.10.254 255.255.255.0

!

interface FastEthernet1/0

 ip address 100.100.100.1 255.255.255.252

!

router ospf 1

 router-id 1.1.1.1

 network 1.1.1.1 0.0.0.0 area 0

 network 100.100.100.1 0.0.0.0 area 0

!

router bgp 100

 bgp router-id 1.1.1.1

 neighbor 2.2.2.2 remote-as 200

 neighbor 2.2.2.2 ebgp-multihop 255

 neighbor 2.2.2.2 update-source Loopback0

 !

 address-family vpnv4

 neighbor 2.2.2.2 activate

 neighbor 2.2.2.2 send-community extended

 neighbor 2.2.2.2 route-map L3VPN-mGRE in

 !

 address-family ipv4 vrf VPN_A

 redistribute connected

!

 address-family ipv4 vrf RiV

!

!

ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12

!

!

route-map L3VPN-mGRE permit 10 ! o route-map aponta as rotas para dentro da vrf

 set ip next-hop in-vrf RiV      

!

P

!

interface Loopback0

 ip address 9.9.9.9 255.255.255.255

!

interface FastEthernet0/0

 ip address 100.100.100.2 255.255.255.252

!

interface FastEthernet1/0

 ip address 100.100.100.6 255.255.255.252

!

router ospf 1

 router-id 9.9.9.9

 network 100.100.100.2 0.0.0.0 area 0

 network 100.100.100.6 0.0.0.0 area 0

!

PE2

!

ip cef

!

ip vrf RiV

 rd 12:12

!

ip vrf VPN_A

 rd 1:1

 route-target export 1:1

 route-target import 1:1

!

!

interface Loopback0

 ip address 2.2.2.2 255.255.255.255

!

interface Tunnel12

 ip vrf forwarding RiV

 ip address 12.12.12.2 255.255.255.0

 tunnel source Loopback0

 tunnel mode gre multipoint l3vpn

 tunnel key 12

!        

interface FastEthernet0/0

 ip vrf forwarding VPN_A

 ip address 20.20.20.254 255.255.255.0

!

interface FastEthernet1/0

 ip address 100.100.100.5 255.255.255.252

!

router ospf 1

 router-id 2.2.2.2

 network 2.2.2.2 0.0.0.0 area 0

 network 100.100.100.5 0.0.0.0 area 0

!

router bgp 200

 bgp router-id 2.2.2.2

 neighbor 1.1.1.1 remote-as 100

 neighbor 1.1.1.1 ebgp-multihop 255

 neighbor 1.1.1.1 update-source Loopback0

 !

 address-family vpnv4

 neighbor 1.1.1.1 activate

 neighbor 1.1.1.1 send-community extended

 neighbor 1.1.1.1 route-map L3VPN-mGRE in

!

 address-family ipv4 vrf VPN_A

 redistribute connected

!

 address-family ipv4 vrf RiV

!

ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12

!        

!

route-map L3VPN-mGRE permit 10

 set ip next-hop in-vrf RiV

!

CE2

!

interface FastEthernet0/0

 ip address 20.20.20.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 20.20.20.254

!