In diesem Dokument wird die Beispielkonfiguration für den Internetzugriff über ein MPLS-basiertes Multiprotocol Label Switching-basiertes VPN mithilfe einer globalen Routing-Tabelle veranschaulicht.
In bestimmten Netzwerkszenarien ist es erforderlich, über ein MPLS-basiertes VPN auf das Internet zuzugreifen und die VPN-Verbindungen zwischen den Standorten des Unternehmens aufrechtzuerhalten. Diese Beispielkonfiguration konzentriert sich auf die Bereitstellung des Internetzugriffs über die VPN-Routing- und -Weiterleitungsfunktion (VRF), die die Standardroute zum Internet-Gateway-Router (IGW) enthält.
Um den Inhalt dieses Dokuments vollständig verstehen zu können, ist ein grundlegendes Verständnis der MPLS-Weiterleitung und des MPLS-VPN erforderlich.
Die Informationen in diesem Dokument basieren auf den unten stehenden Software- und Hardwareversionen.
Cisco IOS® Softwareversion 12.1(3)T Version 12.0(5)T umfasst die MPLS VPN-Funktion
Jeder Cisco Router der Serie 3600 oder höher, z. B. der Cisco Router 3660 oder 7206
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn sich Ihr Netzwerk in der Produktionsumgebung befindet, müssen Sie sich bei jedem Befehl zunächst dessen potenzielle Auswirkungen vor Augen führen.
In dieser Beispielkonfiguration wurden folgende Richtlinien implementiert:
Ein Router mit Internetverbindung ist an das MPLS-Netzwerk angeschlossen. Möglicherweise werden Border Gateway Protocol-Routen (BGP) in die globale Routing-Tabelle eingespeist.
Hinweis: PE-Router verstehen BGP. Router wie der Gigabit Switch Router (GSR), der als Provider-Core-Router fungiert, führen BGP überhaupt nicht aus.
Für eine VRF-Instanz ist keine vollständige Routing-Tabelle aus dem Internet (globale BGP-Tabelle) erforderlich. Daher wird eine statische Standardroute in eine VRF-Instanz gesetzt, die auf die globale Next-Hop-Adresse des IGW verweist.
Ein VPN-Kunde verwendet einen registrierten, eindeutigen Adressbereich, der in der globalen Internet-Routing-Tabelle routingfähig ist. Die in diesem Dokument beschriebene Zugriffsmethode wird nicht empfohlen, wenn Kunden nur private Adressen in ihrem Netzwerk haben.
Diese Akronyme werden in diesem Dokument verwendet:
CE = Customer Edge Router
PE: Provider Edge-Router
P = Provider Core Router
Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions.
Eine Abbildung dieser Konfiguration finden Sie im Netzwerkdiagramm. In diesem Beispiel befinden sich CE 1 und CE 2 im selben VPN. Sie werden unter der VRF-Instanz customer1 konfiguriert, da für eine VRF-Instanz keine vollständige Routing-Tabelle aus dem Internet erforderlich ist (gemäß den Richtlinien im Abschnitt Hintergrundtheorie dieses Dokuments).
Eine statische Standardroute wird in der VRF-Instanz customer1 auf CE 1 konfiguriert, die auf das IGW verweist. Wenn eine statische Standardroute in die VRF-Instanz customer1 platziert wird, werden Pakete, die keiner der Routen in Customer1 VRF entsprechen, an das IGW gesendet.
Hinweis: Da das Internet-Gateway Next Hop 192.168.67.1 nicht Teil der VRF-Instanz customer1 ist, wird unter customer1 VRF eine Standardroute konfiguriert, die auf die Internet-Gateway-Schnittstelle s8/0 IP 192.168.67.1 verweist. Die Route zu 192.168.67.1 liegt nicht innerhalb der VRF-Instanz customer1. Sie müssen daher ein globales Schlüsselwort innerhalb der statischen Standardroute haben, die unter customer1 VRF konfiguriert wurde. Das globale Schlüsselwort gibt an, dass die Next-Hop-Adresse der statischen Route innerhalb der globalen Routing-Tabelle und nicht innerhalb der VRF-Instanz customer1 aufgelöst wird.
Im Folgenden sehen Sie ein Beispiel für die statische Route.
ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global
Eine statische Route mit einem globalen Schlüsselwort in der VRF-Instanz customer1 stellt sicher, dass alle Pakete, die für das Internet bestimmt sind, an das Internet-Gateway und anschließend an das Internet weitergeleitet werden.
Hinweis: Die Standardroute in PE 1 ist so konfiguriert, dass sie auf die IP-Adresse der seriellen Schnittstelle des Internet-Gateways (192.168.67.1) und nicht auf die Loopback-Adresse (10.1.1.6) verweist. Auf diese Weise wird vermieden, dass Routen bei einem Verbindungsausfall zwischen dem Internet-Gateway und dem Internet (R7) Blackholing ausgeführt werden. Wenn die Standardroute auf die Loopback-Adresse des Internet-Gateways zeigt und die Verbindung zwischen dem Internet-Gateway-R7 unterbrochen wird, werden alle Pakete weiterhin zum Internet-Gateway weitergeleitet. Dies geschieht, weil die Loopback-Adresse aktiv bleibt (im Gegensatz zu 192.168.67.1, der bei Ausfall der Schnittstelle s8/0 aus der globalen Routing-Tabelle entfernt wird) und die Standardroute in der Routing-Tabelle weiterhin existiert.
Der nächste Schritt besteht darin, sicherzustellen, dass Pakete, die vom Internet zurück zum CE 1-Zielnetzwerk 11.11.11.0/24 kommen, vom Internet-Gateway zu PE 1 und zu CE 1 über den MPLS-Core geroutet werden. Dies wird erreicht, indem eine statische Route für das CE 1-Netzwerk konfiguriert wird, die auf die serielle 8/0-Schnittstelle in der globalen Routing-Tabelle auf PE 1 verweist. Verteilen Sie sie in das OSPF (Open Shortest Path First), sodass das Internet-Gateway diese Route in seiner globalen Routing-Tabelle hat. Auf diese Weise kann das Internet-Gateway alle Pakete aus dem Internet an PE 1 und das endgültige Ziel nach CE 1 weiterleiten.
Das folgende Beispiel zeigt den Befehl ip route, der in der Konfiguration von PE 1 verwendet wird.
ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1
Hinweis: Die oben in der globalen Routing-Tabelle konfigurierte statische Route ist zusätzlich zur statischen Route konfiguriert, die innerhalb der VRF-Instanz customer1 konfiguriert wurde und für VPN Network Layer Reachability Information (NLRI) verwendet wird. Auf PE 1 wird es wie unten gezeigt konfiguriert.
ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1
Hinweis: Um weitere Informationen zu den in diesem Dokument verwendeten Befehlen zu erhalten, verwenden Sie das Command Lookup Tool (nur registrierte Kunden).
In diesem Dokument wird die im Diagramm unten dargestellte Netzwerkeinrichtung verwendet.
In diesem Dokument werden die unten angegebenen Konfigurationen verwendet.
CE 1 |
---|
version 12.2 ! hostname CE-1 ! ip subnet-zero ! interface Loopback0 ip address 10.1.1.1 255.255.255.255 ! interface Loopback2 ip address 11.11.11.1 255.255.255.0 ! interface Serial8/0 ip address 192.168.10.1 255.255.255.252 !--- The interface is connected to PE 1. ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.10.2 !--- This is the default route to route all packets to PE 1. ! |
PE 1 |
---|
version 12.2 ! hostname PE-1 ! ip subnet-zero ! ip vrf customer1 !--- This configured VRF customer1. rd 100:1 !--- This configured the route distiguisher for VRF. route-target export 1:1 route-target import 1:1 !--- This configured the export and import policies into VRF. ! ip cef !--- This enabled Cisco Express Forwarding (CEF) switching. ! interface Loopback0 ip address 10.1.1.2 255.255.255.255 ! interface Ethernet0/0 !--- It is connected to P router. ip address 10.10.23.2 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Serial8/0 ! Connected to CE-1 ip vrf forwarding customer1 !--- Route forwarding based on customer1 VRF is enabled. ip address 192.168.10.2 255.255.255.252 ! router ospf 1 log-adjacency-changes redistribute static subnets network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes neighbor 10.1.1.4 remote-as 100 !--- Neighbor relationship with PE 2 is established. neighbor 10.1.1.4 update-source Loopback0 neighbor 10.1.1.4 next-hop-self no auto-summary ! address-family ipv4 vrf customer1 !--- The address-family configuration mode specifies IPv4 unicast !---address prefixes for customer1 VRF. no auto-summary no synchronization network 11.11.11.0 mask 255.255.255.0 !--- CE 1 network 11.11.11.0/24 to PE 2 is announced. network 192.168.10.0 mask 255.255.255.252 exit-address-family ! address-family vpnv4 !--- This is the address-family VPNV4 configuration mode for !--- configuring BGP sessions. neighbor 10.1.1.4 activate neighbor 10.1.1.4 send-community extended no auto-summary exit-address-family ! ip classless ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1 !--- The static route in the global routing table is pointing to !--- the interface connected to CE 1. ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global !--- The static default route under customer1 VRF, routing packets !--- outside of VPN to the Internet gateway. ! routes ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1 !--- The static route for network 11.11.11.0/24 (CE-1 Network) under !---customer1 VRF ensures the reachability of CE 1 network from the !--- other VPN sites. |
P |
---|
version 12.2 ! hostname P ! ip subnet-zero ! ip cef !--- CEF switching is enabled. ! interface Loopback0 ip address 10.1.1.3 255.255.255.255 ! interface Ethernet0/0 !--- This is connected to PE 1. ip address 10.10.23.3 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Ethernet1/0 !--- This is connected to PE 2. ip address 10.10.34.3 255.255.255.0 tag-switching ip ! interface Ethernet2/0 !--- This is connected to the Internet gateway. ip address 10.10.36.3 255.255.255.0 tag-switching ip ! router ospf 1 log-adjacency-changes network 0.0.0.0 255.255.255.255 area 0 |
IGW |
---|
version 12.2 ! hostname IGW ! ip subnet-zero ! ip cef !--- This enabled CEF switching. ! interface Loopback0 ip address 10.1.1.6 255.255.255.255 ! interface Ethernet2/0 !--- This is connected to P router. ip address 10.10.36.6 255.255.255.0 tag-switching ip ! interface Serial8/0 !--- This is connected to Internet R7. ip address 192.168.67.1 255.255.255.252 ! router ospf 1 log-adjacency-changes network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes network 11.11.11.0 mask 255.255.255.0 network 22.22.22.0 mask 255.255.255.0 neighbor 192.168.67.2 remote-as 200 no auto-summary |
PE 2 |
---|
version 12.2 ! hostname PE-2 ! ip subnet-zero ! ip vrf customer1 !--- Customer1 VRF is configured. rd 100:1 !--- Route Distinguisher for VRF is configured. route-target export 1:1 route-target import 1:1 !--- This configured the import and export policies for customer1 !--- VRF. ! ip cef !--- This enabled CEF switching. ! interface Loopback0 ip address 10.1.1.4 255.255.255.255 interface Ethernet1/0 !--- Connected to P router. ip address 10.10.34.4 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Serial9/0 !--- Connected to CE 2 router. ip vrf forwarding customer1 !--- This enables VRF forwarding on the interface. ip address 192.168.20.1 255.255.255.252 ! router ospf 1 log-adjacency-changes redistribute static subnets network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes neighbor 10.1.1.2 remote-as 100 neighbor 10.1.1.2 update-source Loopback0 neighbor 10.1.1.2 next-hop-self no auto-summary ! address-family ipv4 vrf customer1 !--- This is the address-family IPv4 configuration of customer1 VRF. no auto-summary no synchronization network 22.22.22.0 mask 255.255.255.0 !--- This announces the CE 2 network to PE 1. exit-address-family ! address-family vpnv4 !--- This is the address-family VPNV4 configuration for BGP Sessions !--- with PE 1. neighbor 10.1.1.2 activate neighbor 10.1.1.2 send-community extended no auto-summary exit-address-family ! ip classless ip route 22.22.22.0 255.255.255.0 Serial9/0 192.168.20.2 !--- This is the static route for network 22.22.22.0/24 in the global !--- routing table pointing to the interface connected to CE 2. ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global !--- This is the static default route for customer VRF !--- for destinations outside the VPN. ip route vrf customer1 22.22.22.0 255.255.255.0 192.168.20.2 !--- This is the static route within customer1 VRF for CE 2 !--- network for VPN connectivity. |
CE 2 |
---|
version 12.2 ! hostname CE-2 ! ip subnet-zero ! interface Loopback0 ip address 22.22.22.22 255.255.255.0 ! interface Serial9/0 !--- This is connected to PE 2. ip address 192.168.20.2 255.255.255.252 ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.20.1 !--- This is the default route pointing to PE 2. |
Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.
Zum Überprüfen der VPN-Verbindung zwischen CE 1 und CE 2 muss CE 1 in der Lage sein, das CE 2-Netzwerk 22.22.22.0/24 und umgekehrt zu erreichen. Überprüfen Sie dazu die Route zum Netzwerk 22.22.22.0/24 im VRF customer1 unter PE 1.
Einige Befehle des Typs show werden vom Tool Output Interpreter unterstützt (nur für registrierte Kunden), mit dem sich Analysen der Ausgabe von Befehlen des Typs show abrufen lassen.
Der Befehl show ip route vrf customer1 bestätigt die Route zum Netzwerk 22.22.22.0/24 aus 10.1.1.4 (PE 2's Loopback address), die in der unten stehenden Ausgabe dargestellt ist.
PE-1# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets C 192.168.10.0 is directly connected, Serial8/0 22.0.0.0/24 is subnetted, 1 subnets B 22.22.22.0 [200/0] via 10.1.1.4, 01:00:50 11.0.0.0/24 is subnetted, 1 subnets S 11.11.11.0 [1/0] via 192.168.10.1 S* 0.0.0.0/0 [1/0] via 192.168.67.1
Ähnlich ist bei PE 2 die Route zum Netzwerk 11.11.11.0/24 in der VRF-Instanz customer1 im folgenden Beispiel dargestellt.
PE-2# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets B 192.168.10.0 [200/0] via 10.1.1.2, 01:00:09 22.0.0.0/24 is subnetted, 1 subnets S 22.22.22.0 [1/0] via 192.168.20.2 192.168.20.0/30 is subnetted, 1 subnets C 192.168.20.0 is directly connected, Serial9/0 11.0.0.0/24 is subnetted, 1 subnets B 11.11.11.0 [200/0] via 10.1.1.2, 01:00:09 S* 0.0.0.0/0 [1/0] via 192.168.67.1
Überprüfen Sie jetzt die Verbindung zwischen CE 1 und CE 2, indem Sie einen Host 22.22.22.22 auf CE 2 mit der Quell-IP-Adresse 11.11.11.1 von CE 1 pingen.
CE-1# ping Protocol [ip]: Target IP address: 22.22.22.22 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 11.11.11.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 22.22.22.22, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms
Führen Sie die folgenden Schritte aus, um die Verbindung zum Internet von CE1 zu überprüfen.
Alle Pakete, die von CE 1 an das Internet oder VPN gerichtet sind, werden über eine in CE 1 konfigurierte Standardroute weitergeleitet, die auf PE 1 verweist (siehe unten).
CE-1# show ip route 0.0.0.0 Routing entry for 0.0.0.0/0, supernet Known via "static", distance 1, metric 0, candidate default path Routing Descriptor Blocks: * 192.168.10.2 Route metric is 0, traffic share count is 1
An die Schnittstelle s8/0 eingehende Pakete werden mithilfe der VRF-Routing-Tabelle customer1 geroutet. PE 1 hat eine Standardroute in der VRF-Instanz customer1, die auf die IGW-IP-Adresse 192.168.67.1 verweist, wie unten in der Ausgabe für den Kunden für show ip route vrf1 auf PE 1 gezeigt.
PE-1# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets C 192.168.10.0 is directly connected, Serial8/0 22.0.0.0/24 is subnetted, 1 subnets B 22.22.22.0 [200/0] via 10.1.1.4, 01:21:11 11.0.0.0/24 is subnetted, 1 subnets S 11.11.11.0 [1/0] via 192.168.10.1 S* 0.0.0.0/0 [1/0] via 192.168.67.1
Da die Standardroute auf PE 1 mit einem globalen Schlüsselwort konfiguriert ist, sucht sie in ihrer globalen Routing-Tabelle nach Next Hop 192.168.67.1 und leitet sie an das IGW weiter (siehe unten).
PE-1# show ip route 192.168.67.1 Routing entry for 192.168.67.0/30 Known via "ospf 1", distance 110, metric 84, type intra area Last update from 10.10.23.3 on Ethernet0/0, 00:21:54 ago Routing Descriptor Blocks: * 10.10.23.3, from 10.1.1.6, 00:21:54 ago, via Ethernet0/0 Route metric is 84, traffic share count is 1
Die Pakete, die das IGW erreichen, werden basierend auf den von R7 erhaltenen BGP-Routen zum Internet weitergeleitet. In diesem Fall können Sie die von R7 bezogene BGP-Route betrachten, um die Verbindung zum Internet zu demonstrieren. Im Folgenden sehen Sie die BGP-Route (Netzwerk 99.99.99.0/24), die von R7 in der IGW-Routing-Tabelle gelernt wurde.
IGW# show ip route 99.99.99.0 Routing entry for 99.99.99.0/24 Known via "bgp 100", distance 20, metric 0 Tag 200, type external Last update from 192.168.67.2 01:37:25 ago Routing Descriptor Blocks: * 192.168.67.2, from 192.168.67.2, 01:37:25 ago Route metric is 0, traffic share count is 1 AS Hops 1
Die Pakete, die vom CE-1-System ausgingen, werden an das Internet weitergeleitet.
Für Pakete aus dem Internet, die an das CE 1-Netzwerk 11.11.11.0/24 zurückgesendet werden, sollte IGW eine Route haben, die auf PE 1 in seiner globalen Routing-Tabelle verweist. Eine statische Route in der globalen Routing-Tabelle von PE 1, die auf die s8/0-Schnittstelle von PE 1 verweist, die mit CE 1 verbunden ist, und sie in OSPF neu verteilt wird, wird konfiguriert. Dadurch wird sichergestellt, dass das IGW über eine Route in seiner globalen Routing-Tabelle verfügt, die auf PE 1 verweist. Die statische Route auf PE 1 und die vom OSPF übernommene Route auf dem IGW werden nachfolgend gezeigt.
IGW# show ip route 11.11.11.0 Routing entry for 11.11.11.0/24 Known via "ospf 1", distance 110, metric 20, type extern 2, forward metric 20 Last update from 10.10.36.3 on Ethernet2/0, 00:34:34 ago Routing Descriptor Blocks: * 10.10.36.3, from 10.1.1.2, 00:34:34 ago, via Ethernet2/0 Route metric is 20, traffic share count is 1 PE-1# show ip route 11.11.11.0 Routing entry for 11.11.11.0/24 Known via "static", distance 1, metric 0 Redistributing via ospf 1 Advertised by ospf 1 subnets Routing Descriptor Blocks: * 192.168.10.1, via Serial8/0 Route metric is 0, traffic share count is 1
Überprüfen Sie jetzt die Internetverbindung von CE 1, indem Sie die IP-Adresse 99.99.99.1 für R7 mit der Quelladresse CE 1 von 11.11.11.1 pingen.
CE-1# ping Protocol [ip]: Target IP address: 99.99.99.1 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 11.11.11.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 99.99.99.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 20/24/32 ms CE-1#
Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.
Überarbeitung | Veröffentlichungsdatum | Kommentare |
---|---|---|
1.0 |
10-Aug-2005 |
Erstveröffentlichung |