VPN – L3VPN sobre L2TPv3 sem MPLS

1      L3VPN em L2TP sem MPLS

A funcionalidade MPLS VPNs over IP Tunnels permite que seja configurado o serviço de VPN L3 sobre o backbone IP usando a tecnologia de túnel L2TPv3 multiponto ao invés do Multiprotocol Label Switching (MPLS). Como os tuneis multiponto suportam multiplos endpoints, é necessário configurar apenas um único tunnel em cada roteador PE.

1.1       Divulgação do Túnel pelo BGP entre os PEs

O Border Gateway Protocol (BGP) é utilizado para divulger os endpoints dos túneis e a subaddress family indentifier (SAFI) Essa feature introduz o tunnel SAFI e o atributo BGP SAFI-Specific Attribute (SSA). O tunnel SAFI define o endpoint do tunnel e transporta o endereço IPv4 e o nexthop do endpoint. O SAFI é identificado pelo SAFI number 64. O BGP SSA transporta o BGP preference e BGP flags, além de tunnel cookie, tunnel cookie length, e o session ID. Esses atributos permitem que o BGP distribua as informações de encapsulamento do túnel entre os roteadores PEs. O tráfego de VPNv4 é roteado através desses túneis. O next hop anunciado nos updates do BGP-VPNv4 determina qual túnel deverá ser usado para rotear o trafego..

1.2       Configurando os PEs

Um único tunnel L2TPv3 multiponto é configurado em cada PE. A VPN é criada configurando a instancia VRF normalmente. O túnel que transporta o tráfego da VPN através do backbone reside no seu proprio espaço de Endereçamento. Uma VRF chamada Resolve in VRF (RiV) é criada para gerenciar os endereçamentos do túnel. O endereçamento configurado na VRF RiV é associada com o tunnel e uma rota estática é configurada na VRF RiV para rotear o tráfego pelo túnel.

How to Configure MPLS VPNs over IP Tunnels

Para configurar o serviço de VPN L3 sobre o tunnel L2TPv3 multiponto deve-se crier a instancia VRF, criar o tunnel multiponto L2TPv3, redirecionar o tráfego Ip da VPN para o tunnel e configurar a troca de informações de VPN pelo BGP VPNv4.

Cenário

1.3       Objetivo

Cinco roteadores (CE1, PE1, P, PE2 e CE2) são conectados formando um backbone com 3 roteadores e dois CEs conectados. Pede-se:

•      O protocolo de roteamento de backbone PE1-P-PE2 deverá ser o OSPF na área 0 com todas as interfaces divulgadas e com mBGP no AS 1 entre os PEs para tráfego de VRFs;

•      Tanto o CE1 quanto o CE2 deverão pertencer a VRF VPN_A e deverá existir conectividade entre esses CEs;

•      Não deverá ser usado MPLS para o tráfego de dados da VRF. Deve-se usar um túnel L3VPN com L2TP;

•      O túnel deverá ter autenticação com a chave “12”.

1.4       Topologia

Figure-01:         Topologia

1.5       IOS utilizados

•      CE1, PE1, P, PE2 e CE2 – c7200-k91p-mz.122-25.S15.bin

1.6       Configuração dos Roteadores

1.6.1        Configurações do OSPF do Backbone

Em todos os roteadores configura-se o roteamento OSPF pelo comando “router ospf ” onde o “processo” é um numero do processo OSPF. O roteador também possui um router ID único que geralmente é a interface loopback ou então o maior endereço IP do roteador.

Para adicionar interfaces deve-se usar o comando “network

área ”. Um roteador pode ter interfaces em áreas distintas, define-se cada área pelo comando network e o tipo da área com o comando “area [type]”.

1.6.2        Configuração do MBGP

Para estabelecer uma VPN, seja lite ou não, é necessário configurar o MBGP para a troca de informações de prefixos de VPN. É necessário somente configurar o MBGP nos roteadores PEs da rede que possuem conexão com os CEs, ou seja, conectados diretamente aos sites.

O MBGP funciona como o BGP, configura-se em todos os roteadores pelo comando “router bgp ” onde o “AS” é o Autonomous System do backbone. Dentro da configuração de BGP adicionam-se os vizinhos estaticamente com o comando “neighbor remote-as ”.

Adiciona-se o IP da interface loopback como Router-ID pelo comando “bgp router-id ”.

Como os roteadores dentro do mesmo AS não divulgarão as rotas IBGP entre eles, faz-se o full-mesh de conexão MBGP ou configuram-se os roteadores centrais como Router-reflectors adicionando os demais roteadores como clientes pelo comando “neighbor router-reflector-client”.

O MBGP é configurado dentro do protocolo BGP, porém deve-se separar a família de roteamento com o comando “address-family vpnv4” e dentro da família ativar os vizinhos. Para o envio de prefixos das VPNs, deve-se habilitar o envio de community extendida com o comando “neighbor send-community extended”.

Todos os recursos como route-map, next-hop-self, router-reflector, etc. podem ser configurados dentro da família VPNv4 para manipular ou resolver problemas de roteamento.

1.6.3        Criando uma VPN VRF no BGP

Após todos os roteadores PEs da rede possuem conectividade MBGP, ou diretamente ou por router-reflector, cria-se a VPN com o comando “ip vrf ”, dentro desse comando ficam os parâmentros de marcação da VPN e das communities associadas aos prefixos daquela VPN. Configura-se o Route-Distinguisher da VPN, que deve ser único na rede, com comando “rd :”, e também se cria a community que será exportada para aqueles prefixos de rede com o comando “route-target :”, onde “import” significa importar as rotas e “export” exportar as rotas marcadas com aquela community.

Cria-se então uma address-family dentro do BGP com o comando “address-family ipv4 vrf ” com o mesmo nome da VPN criada no “ip vrf” fora do roteamento BGP. Dentro dessa address-family são configuradas as redes que serão redistribuídas para os outros sites. Para divulgar as redes é necessário que a rede exista na tabela de roteamento interna e, ou adicionar o comando “network mask ” ou redistribuindo rotas para o MBGP com o comando “redistribute ”, que pode ser vinculado a um route-map para definir exatamente as rotas que serão divulgadas de um protocolo para outros sites.

Enfim, para que uma interface conectada ao CE faça parte da VPN BGP, usa-se o comando “ip vrf forwarding ” dentro da interface.

1.6.4        Criando o túnel L2TP L3 para tráfego de VPN

Para criar um túnel multiponto GRE para envio de tráfego das VRFs criadas nos PEs, cria-se uma vrf exclusiva para o transporte dos dados, geralmente chamada de “RiV” que quer dizer Resolve-in-VRF “ip vrf RiV”, dentro da VRF configura-se um RD.

Em seguida, cria-se uma interface túnel “interface tunnel ” na vrf de transporte (no caso, RiV) com um endereço IP na mesma rede do endereço IP das interfaces túnel de todos os outros PEs. Usa-se o o endereço IP da loopback como source do túnel (esse endereço tem que ser acessível pelos outros PEs) “tunnel source loopback 0”. Configura-se o tipo do túnel que deverá ser L2TPv3 multiponto para VPN L3 “tunnel mode l3vpn l2tpv3 multipoint”.

Na vizinhança com os outros PEs ou com o Router Reflector aplica-se um route-map de entrada dizendo que tudo o que é aprendido por aquele peer deve ser enviado para a VRF de transporte, a RiV. Esse route-map tem como set o comando “set ip next-hop in-vrf RiV”.

Para que o roteamento do túnel seja feito entre os PEs, deve-se configurar uma conexão MBGP em uma address-family Tunnel entre o PEs envolvidos ou com um router-reflector.

Por último, configura-se uma rota estática default apontada para a interface tunnel dentro da vrf RiV.

1.7       Observações e Bugs

http://www.cisco.com/en/US/docs/ios/12_0s/feature/guide/cs_l3vpn.html

2      Configuração

2.1       CE1

!

interface FastEthernet0/0

 ip address 10.10.10.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 10.10.10.254

!

2.2       PE1

!

ip cef

!

ip vrf RiV

 rd 12:12

!

ip vrf VPN_A

 rd 1:1

 route-target export 1:1

 route-target import 1:1

!

!

interface Loopback0

 ip address 1.1.1.1 255.255.255.255

!

interface Tunnel12

 ip vrf forwarding RiV

 ip address 12.12.12.1 255.255.255.0

 tunnel source Loopback0

 tunnel mode l3vpn l2tpv3 multipoint           ! modo do tunnel tem que ser l3vpn

 tunnel key 12

!

interface FastEthernet0/0

 ip vrf forwarding VPN_A

 ip address 10.10.10.254 255.255.255.0

!

interface FastEthernet1/0

 ip address 100.100.100.1 255.255.255.252

!

router ospf 1

 router-id 1.1.1.1

 network 1.1.1.1 0.0.0.0 area 0

 network 100.100.100.1 0.0.0.0 area 0

!

router bgp 100

 bgp router-id 1.1.1.1

 neighbor 2.2.2.2 remote-as 200

 neighbor 2.2.2.2 ebgp-multihop 255

 neighbor 2.2.2.2 update-source Loopback0

 !

 address-family ipv4 tunnel

 neighbor 2.2.2.2 activate

!

 address-family vpnv4

 neighbor 2.2.2.2 activate

 neighbor 2.2.2.2 send-community extended

 neighbor 2.2.2.2 route-map RiV_RM in

 !

 address-family ipv4 vrf VPN_A

 redistribute connected

!

 address-family ipv4 vrf RiV

!

!

ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12

!

!

route-map RiV_RM permit 10              ! o route-map aponta as rotas para dentro da vrf

 set ip next-hop in-vrf RiV

!

2.3       P

!

interface Loopback0

 ip address 9.9.9.9 255.255.255.255

!

interface FastEthernet0/0

 ip address 100.100.100.2 255.255.255.252

!

interface FastEthernet1/0

 ip address 100.100.100.6 255.255.255.252

!

router ospf 1

 router-id 9.9.9.9

 network 100.100.100.2 0.0.0.0 area 0

 network 100.100.100.6 0.0.0.0 area 0

!

2.4       PE2

!

ip cef

!

ip vrf RiV

 rd 12:12

!

ip vrf VPN_A

 rd 1:1

 route-target export 1:1

 route-target import 1:1

!

!

interface Loopback0

 ip address 2.2.2.2 255.255.255.255

!

interface Tunnel12

 ip vrf forwarding RiV

 ip address 12.12.12.2 255.255.255.0

 tunnel source Loopback0

 tunnel mode l3vpn l2tpv3 multipoint

 tunnel key 12

!        

interface FastEthernet0/0

 ip vrf forwarding VPN_A

 ip address 20.20.20.254 255.255.255.0

!

interface FastEthernet1/0

 ip address 100.100.100.5 255.255.255.252

!

router ospf 1

 router-id 2.2.2.2

 network 2.2.2.2 0.0.0.0 area 0

 network 100.100.100.5 0.0.0.0 area 0

!

router bgp 200

 bgp router-id 2.2.2.2

 neighbor 1.1.1.1 remote-as 100

 neighbor 1.1.1.1 ebgp-multihop 255

 neighbor 1.1.1.1 update-source Loopback0

 !

address-family ipv4 tunnel

 neighbor 2.2.2.2 activate

 exit-address-family

 !

 address-family vpnv4

 neighbor 1.1.1.1 activate

 neighbor 1.1.1.1 send-community extended

 neighbor 1.1.1.1 route-map RiV_RM in

!

 address-family ipv4 vrf VPN_A

 redistribute connected

!

 address-family ipv4 vrf RiV

!

ip route vrf RiV 0.0.0.0 0.0.0.0 Tunnel12

!        

!

route-map RiV_RM permit 10

 set ip next-hop in-vrf RiV

!

2.5       CE2

!

interface FastEthernet0/0

 ip address 20.20.20.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 20.20.20.254

!