1 MPLS VPN – Virtual Private Network
1.1 Conceitos de VPN MPLS
• Customer Edge router (CE) – É o dispositivo localizado físicamente no cliente. Ele conecta a rede do provedor usando tecnologia nível 2 como Frame Relay, ATM, or Ethernet.
· Nas VPNs layer 3, o CE forma uma relação de protocolo para trocar conhecimentos de rota. O router CE pode ser o único dispositivo em uma localidade de um determinando cliente, ou pode participar de um domínio de roteamento de uma localidade.
· Para VPN Layer 2, o CE transmite frames para o provedor que são destinados a um cliente remoto. O CE pode ter uma única rota estática que aponta para o provedor, ou pode se comunicar por protocolo de roteamento com outro CE.
• Provider Edge router (PE) – É o dispositivo localizado no provedor e se comunica diretamente com o CE. Ele mantém relacionamento com outros routers dentro do provedor.
· Para L3VPN o PE se comunica com o CE para receber atualizações de rotas. Essas informações são passadas para o PE router conectado ao outro CE do cliente. Quando o PE router recebe pacotes destinados ao site remoto ele encaminha o pacote usando MPLS LSP através do provedor.
· Para L2VPN ele simplesmente recebe o frame L2 do CE local que encaminha para o PE remoto usando MPLS LSP.
• Provider router – Localizado no core do provedor. O P não tem nenhum conhecimento da VPN do cliente, simplesmente encaminha pacotes MPLS de um PE para o outro;
• VPN routing and forwarding table – Em L3VPN, todos os PEs mantem uma VPN routing and forwarding table (VRF) separada para cada cliente conectado no PE. Cada tabela VRF contém conhecimentos de roteamento específico para a rede do cliente. Quando o CE anuncia rotas de uma localidade, o PE as coloca na tabela VRF. O router então anuncia para o PE remoto que o anuncia para o CE remoto.
1.2 Layer 3 VPNs
Com Layer 3 VPN, o cliente anuncia conhecimento de roteamento IP para a rede do provedor. O ISP anuncia essas informações de roteamento através da rede para as outras localidades do cliente. Esse conceito simples requer coordenação entre o provedor e o cliente. A rede do provedor deve ser configurada para suportar anúncios dessas rotas.
• VPN Network Layer Reachability Information (NLRI) – Um dos principios do core para operação de VPN é manter a separação com a rede do cliente. As regras normais do BGP fazem dessa uma tarefa dificil quando várias versões da mesma rota passam através do algorítimo de seleção e somente um único caminho é escolhido. Layer 3 VPN usa um formato especial para representar as rotas dos clientes. Esse formato permite que cada router do provedor veja as rotas de cada cliente de forma diferente mesmo quando eles anunciam o mesmo prefixo. Para anunciar a NLRI requer o estabelecimento de sessões MBGP entre os PEs.
• Distinção de Rotas – É um campo de 8-octet que consiste em 3 partes Type, the Administrator, and Assigned Number fields.
• Type of RD indica qual o tamanho do campo do Administrator e do Assigned Number, sendo 0 o Assigned Number maior e 1 o Administrator maior.
• Quando o Administrator tem 2-octet é colocado o AS, quando é de 4-octets é usado o router ID do PE que originou.
• Basic Operational Concepts – Quando se usa L3VPN, você precisa estar por dentro de tanto da operação dos anúncios de rota e do encaminhamento de pacotes.
· The Control Plane (anúncios de rotas) – Rotas de clientes em uma L3VPN são anunciadas entre os PEs da rede do provedor. Para garantir que essas rotas serão entregues para o cliente final, o provedor tem duas escolhas:
· The Data Forwarding Plane (encaminhamento de pacotes) – Uma vez que rotas apropriadas são anunciadas e recebidas pelo CE, o cliente pode começar a encaminhar dados atraves da red do cliente.
• Usando BGP para anúncio de rotas PE-CE - Permite o uso de RIP, OSPF, e BGP como protocolo de roteamento para a conexão CE-PE connection.
• Internet Access for VPN Customers – O cliente mesmo tendo uma VPN ele pode solicitar acesso a Internet. Existem 3 jeitos de fazer: Acesso de for a da tabela VRF, Acesso distribuido para cada site VPN e acesso centralizado de um único site
· Acesso independente – A tabela de roteamento do PE nunca é consultada para encaminhamento de pacotes. O CE tem que encaminhar trafego direto pra internet.
· Acesso Distribuido – Configuração de 2 circuitos independetes na interface do CE. Um com VPN e outro sem.
· Acesso Centralizado – Um CE possui acesso compartilhado e todos os outros encaminham tráfego pra ele destinado a internet.
2 Cenário
2.1 Objetivo
Treis roteadores (CE1, PE e CE2) são conectados fisicamente conforme a topologia abaixo via interfaces Fast Ethernet. Pede-se as configurações abaixo:
• Deverá ser configurada uma VPN VRF conectando o CE1 ao CE2 via o PE1 com RD e RT a escolher;
• O protocolo de roteamento entre o CE1 e o PE deverá ser OSPF na área 0;
• O protocolo de roteamento entre o CE1 e o PE deverá ser EIGRP no AS 1;
• Deverá existir conectividade entre os CE1 e o CE2 com redistribuição de rotas;
2.2 Topologia
2.3 IOS utilizados
• CE1, PE e CE2 – c7200-k91p-mz.122-25.S15.bin
2.4 Configuração dos Roteadores
2.4.1 Criando uma VPN VRF
Cria-se a VPN com o comando “ip vrf : ”, e também cria-se a community que será exportada para aqueles prefixos de rede com o comando “route-target : ”, onde “import” significa importar as rotas e “export” exportar as rotas.
Para que uma interface faça parte da tabela de roteamento da VPN, usa-se o comando “ip vrf forwarding
2.4.2 Configurações do OSPF
Em todos os roteadores configura-se o roteamento OSPF pelo comando “router ospf
Para adicionar interfaces deve-se usar o comando “network área ”. Um roteador pode ter interfaces em áreas distintas, define-se cada área pelo comando network.
Para o roteador fazer vizinhança OSPF é necessário que a rede da interface esteja no comando “network” e a interface não esteja configurada como “passive-interface”.
Para configurar o OSPF no PE dentro da VRF usa-se o comando “router ospf vrf ”, dentro do protocolo as configurações são as mesmas, inclusive de redistribuição.
2.4.3 Configurando o EIGRP
Em todos os roteadores configura-se o roteamento EIGRP pelo comando “router eigrp
Uma interface faz vizinhança quando a rede pertencente aquela interface for configurada no comando “network ”. Caso seja necessário divulgar a rede da interface, mas não habilita-la para fazer vizinhança EIGRP, usa-se o “passive-interface ” dentro das configurações de roteamento EIGRP.
Por padrão o EIGRP sumariza automaticamente as rotas para o seu vizinho. Pode-se cancelar essa sumarização automática com o comando “no auto-summary”. Desabilitar essa auto sumarização é comum para evitar loops em redes não planejadas, porém a tabela fica maior.
No EIGRP a rota default é gerada para um vizinho configurando um endereço sumarizado 0/0 na interface com o vizinho com o comando “ip summary-address eigrp 0.0.0.0 0.0.0.0”.
Para configurar o EIGRP no PE dentro da VRF, dentro do processo EIGRP cria-se um address-family com o comando “address-family ipv4 vrf
2.5 Observações e Bugs
Documentação:
http://www.cisco.com/en/US/tech/tk436/tk832/technologies_configuration_example09186a0080231a3e.shtml
2.6 Comandos Importantes de Verificação
CE1#sh ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route
Gateway of last resort is not set
1.0.0.0/32 is subnetted, 1 subnets
C 1.1.1.1 is directly connected, Loopback0
2.0.0.0/32 is subnetted, 1 subnets
O E2 2.2.2.2 [110/20] via 10.10.10.2, 00:12:36, FastEthernet0/0
20.0.0.0/24 is subnetted, 1 subnets
O E2 20.20.20.0 [110/20] via 10.10.10.2, 00:12:36, FastEthernet0/0
10.0.0.0/24 is subnetted, 1 subnets
PE#sh ip route vrf CE
Routing Table: CE
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route
Gateway of last resort is not set
1.0.0.0/32 is subnetted, 1 subnets
O 1.1.1.1 [110/2] via 10.10.10.1, 00:13:14, FastEthernet0/0
2.0.0.0/32 is subnetted, 1 subnets
D 2.2.2.2 [90/156160] via 20.20.20.1, 00:13:56, FastEthernet1/0
20.0.0.0/24 is subnetted, 1 subnets
C 20.20.20.0 is directly connected, FastEthernet1/0
10.0.0.0/24 is subnetted, 1 subnets
C 10.10.10.0 is directly connected, FastEthernet0/0
3 Configuração
3.1 CE1
!
interface Loopback0
ip address 1.1.1.1 255.255.255.255
!
interface FastEthernet0/0
ip address 10.10.10.1 255.255.255.0
!
router ospf 1
router-id 1.1.1.1
network 1.1.1.1 0.0.0.0 area 0
network 10.10.10.1 0.0.0.0 area 0
!
3.2 PE
rd 1:1
route-target export 1:1
route-target import 1:1
!
!
interface FastEthernet0/0
ip vrf forwarding CE
ip address 10.10.10.2 255.255.255.0
!
interface FastEthernet1/0
ip vrf forwarding CE
ip address 20.20.20.2 255.255.255.0
!
router eigrp 1
!
address-family ipv4 vrf CE
redistribute ospf 1 vrf CE metric 1 1 1 1 1
network 20.20.20.2 0.0.0.0
no auto-summary
autonomous-system 1
!
router ospf 1 vrf CE
redistribute eigrp 1 subnets
network 10.10.10.2 0.0.0.0 area 0
!
3.3 CE2
!
interface Loopback0
ip address 2.2.2.2 255.255.255.255
!
interface FastEthernet0/0
ip address 20.20.20.1 255.255.255.0
!
router eigrp 1
network 2.2.2.2 0.0.0.0
network 20.20.20.1 0.0.0.0
no auto-summary
eigrp router-id 2.2.2.2
!
Nenhum comentário:
Postar um comentário