1 L3VPN em L2TP sem MPLS
A funcionalidade MPLS VPNs over IP Tunnels permite que seja configurado o serviço de VPN L3 sobre o backbone IP usando a tecnologia de túnel L2TPv3 multiponto ao invés do Multiprotocol Label Switching (MPLS). Como os tuneis multiponto suportam multiplos endpoints, é necessário configurar apenas um único tunnel em cada roteador PE.
1.1 Divulgação do Túnel pelo BGP entre os PEs
O Border Gateway Protocol (BGP) é utilizado para divulger os endpoints dos túneis e a subaddress family indentifier (SAFI) Essa feature introduz o tunnel SAFI e o atributo BGP SAFI-Specific Attribute (SSA). O tunnel SAFI define o endpoint do tunnel e transporta o endereço IPv4 e o nexthop do endpoint. O SAFI é identificado pelo SAFI number 64. O BGP SSA transporta o BGP preference e BGP flags, além de tunnel cookie, tunnel cookie length, e o session ID. Esses atributos permitem que o BGP distribua as informações de encapsulamento do túnel entre os roteadores PEs. O tráfego de VPNv4 é roteado através desses túneis. O next hop anunciado nos updates do BGP-VPNv4 determina qual túnel deverá ser usado para rotear o trafego..
1.2 Configurando os PEs
Um único tunnel L2TPv3 multiponto é configurado em cada PE. A VPN é criada configurando a instancia VRF normalmente. O túnel que transporta o tráfego da VPN através do backbone reside no seu proprio espaço de Endereçamento. Uma VRF chamada Resolve in VRF (RiV) é criada para gerenciar os endereçamentos do túnel. O endereçamento configurado na VRF RiV é associada com o tunnel e uma rota estática é configurada na VRF RiV para rotear o tráfego pelo túnel.
How to Configure MPLS VPNs over IP Tunnels
Para configurar o serviço de VPN L3 sobre o tunnel L2TPv3 multiponto deve-se crier a instancia VRF, criar o tunnel multiponto L2TPv3, redirecionar o tráfego Ip da VPN para o tunnel e configurar a troca de informações de VPN pelo BGP VPNv4.
Cenário
1.3 Objetivo
Cinco roteadores (CE1, PE1, P, PE2 e CE2) são conectados formando um backbone com 3 roteadores e dois CEs conectados. Pede-se:
• O protocolo de roteamento de backbone PE1-P-PE2 deverá ser o OSPF na área 0 com todas as interfaces divulgadas e com mBGP no AS 1 entre os PEs para tráfego de VRFs;
• Tanto o CE1 quanto o CE2 deverão pertencer a VRF VPN_A e deverá existir conectividade entre esses CEs;
• Não deverá ser usado MPLS para o tráfego de dados da VRF. Deve-se usar um túnel L3VPN com L2TP;
• O túnel deverá ter autenticação com a chave “12”.
1.4 Topologia
Figure-01: Topologia
1.5 IOS utilizados
• CE1, PE1, P, PE2 e CE2 – c7200-k91p-mz.122-25.S15.bin
1.6 Configuração dos Roteadores
1.6.1 Configurações do OSPF do Backbone
Em todos os roteadores configura-se o roteamento OSPF pelo comando “router ospf
Para adicionar interfaces deve-se usar o comando “network área ”. Um roteador pode ter interfaces em áreas distintas, define-se cada área pelo comando network e o tipo da área com o comando “area [type] ”.
1.6.2 Configuração do MBGP
Para estabelecer uma VPN, seja lite ou não, é necessário configurar o MBGP para a troca de informações de prefixos de VPN. É necessário somente configurar o MBGP nos roteadores PEs da rede que possuem conexão com os CEs, ou seja, conectados diretamente aos sites.
O MBGP funciona como o BGP, configura-se em todos os roteadores pelo comando “router bgp ” onde o “AS” é o Autonomous System do backbone. Dentro da configuração de BGP adicionam-se os vizinhos estaticamente com o comando “neighbor remote-as ” .
Adiciona-se o IP da interface loopback como Router-ID pelo comando “bgp router-id ” .
Como os roteadores dentro do mesmo AS não divulgarão as rotas IBGP entre eles, faz-se o full-mesh de conexão MBGP ou configuram-se os roteadores centrais como Router-reflectors adicionando os demais roteadores como clientes pelo comando “neighbor router-reflector-client” .
O MBGP é configurado dentro do protocolo BGP, porém deve-se separar a família de roteamento com o comando “address-family vpnv4” e dentro da família ativar os vizinhos. Para o envio de prefixos das VPNs, deve-se habilitar o envio de community extendida com o comando “neighbor send-community extended” .
Todos os recursos como route-map, next-hop-self, router-reflector, etc. podem ser configurados dentro da família VPNv4 para manipular ou resolver problemas de roteamento.
1.6.3 Criando uma VPN VRF no BGP
Após todos os roteadores PEs da rede possuem conectividade MBGP, ou diretamente ou por router-reflector, cria-se a VPN com o comando “ip vrf : ”, e também se cria a community que será exportada para aqueles prefixos de rede com o comando “route-target : ”, onde “import” significa importar as rotas e “export” exportar as rotas marcadas com aquela community.
Cria-se então uma address-family dentro do BGP com o comando “address-family ipv4 vrf mask ” ou redistribuindo rotas para o MBGP com o comando “redistribute ” , que pode ser vinculado a um route-map para definir exatamente as rotas que serão divulgadas de um protocolo para outros sites.
Enfim, para que uma interface conectada ao CE faça parte da VPN BGP, usa-se o comando “ip vrf forwarding
1.6.4 Criando o túnel L2TP L3 para tráfego de VPN
Para criar um túnel multiponto GRE para envio de tráfego das VRFs criadas nos PEs, cria-se uma vrf exclusiva para o transporte dos dados, geralmente chamada de “RiV” que quer dizer Resolve-in-VRF “ip vrf RiV”, dentro da VRF configura-se um RD.
Em seguida, cria-se uma interface túnel “interface tunnel
Na vizinhança com os outros PEs ou com o Router Reflector aplica-se um route-map de entrada dizendo que tudo o que é aprendido por aquele peer deve ser enviado para a VRF de transporte, a RiV. Esse route-map tem como set o comando “set ip next-hop in-vrf RiV”.
Para que o roteamento do túnel seja feito entre os PEs, deve-se configurar uma conexão MBGP em uma address-family Tunnel entre o PEs envolvidos ou com um router-reflector.
Por último, configura-se uma rota estática default apontada para a interface tunnel dentro da vrf RiV.
1.7 Observações e Bugs
2 Configuração
2.1 CE1
!
interface FastEthernet0/0
ip address 10.10.10.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 10.10.10.254
!
2.2 PE1
!
ip cef
!
ip vrf RiV
rd 12:12
!
ip vrf VPN_A
rd 1:1
route-target export 1:1
route-target import 1:1
!
!
interface Loopback0
ip address 1.1.1.1 255.255.255.255
!
interface Tunnel12
ip vrf forwarding RiV
ip address 12.12.12.1 255.255.255.0
tunnel source Loopback0
tunnel mode l3vpn l2tpv3 multipoint ! modo do tunnel tem que ser l3vpn
tunnel key 12
!
interface FastEthernet0/0
ip vrf forwarding VPN_A
ip address 10.10.10.254 255.255.255.0
!
interface FastEthernet1/0
ip address 100.100.100.1 255.255.255.252
!
router ospf 1
router-id 1.1.1.1
network 1.1.1.1 0.0.0.0 area 0
network 100.100.100.1 0.0.0.0 area 0
!
router bgp 100
bgp router-id 1.1.1.1
neighbor 2.2.2.2 remote-as 200
neighbor 2.2.2.2 ebgp-multihop 255
neighbor 2.2.2.2 update-source Loopback0
!
address-family ipv4 tunnel
neighbor 2.2.2.2 activate
!
address-family vpnv4
neighbor 2.2.2.2 activate
neighbor 2.2.2.2 send-community extended
neighbor 2.2.2.2 route-map RiV_RM in
!
address-family ipv4 vrf VPN_A
redistribute connected
!
address-family ipv4 vrf RiV
!
!
ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12
!
!
route-map RiV_RM permit 10 ! o route-map aponta as rotas para dentro da vrf
set ip next-hop in-vrf RiV
!
2.3 P
!
interface Loopback0
ip address 9.9.9.9 255.255.255.255
!
interface FastEthernet0/0
ip address 100.100.100.2 255.255.255.252
!
interface FastEthernet1/0
ip address 100.100.100.6 255.255.255.252
!
router ospf 1
router-id 9.9.9.9
network 100.100.100.2 0.0.0.0 area 0
network 100.100.100.6 0.0.0.0 area 0
!
2.4 PE2
!
ip cef
!
ip vrf RiV
rd 12:12
!
ip vrf VPN_A
rd 1:1
route-target export 1:1
route-target import 1:1
!
!
interface Loopback0
ip address 2.2.2.2 255.255.255.255
!
interface Tunnel12
ip vrf forwarding RiV
ip address 12.12.12.2 255.255.255.0
tunnel source Loopback0
tunnel mode l3vpn l2tpv3 multipoint
tunnel key 12
!
interface FastEthernet0/0
ip vrf forwarding VPN_A
ip address 20.20.20.254 255.255.255.0
!
interface FastEthernet1/0
ip address 100.100.100.5 255.255.255.252
!
router ospf 1
router-id 2.2.2.2
network 2.2.2.2 0.0.0.0 area 0
network 100.100.100.5 0.0.0.0 area 0
!
router bgp 200
bgp router-id 2.2.2.2
neighbor 1.1.1.1 remote-as 100
neighbor 1.1.1.1 ebgp-multihop 255
neighbor 1.1.1.1 update-source Loopback0
!
address-family ipv4 tunnel
neighbor 2.2.2.2 activate
exit-address-family
!
address-family vpnv4
neighbor 1.1.1.1 activate
neighbor 1.1.1.1 send-community extended
neighbor 1.1.1.1 route-map RiV_RM in
!
address-family ipv4 vrf VPN_A
redistribute connected
!
address-family ipv4 vrf RiV
!
ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12
!
!
route-map RiV_RM permit 10
set ip next-hop in-vrf RiV
!
2.5 CE2
!
interface FastEthernet0/0
ip address 20.20.20.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 20.20.20.254
!
