Configuración de una red privada virtual (VPN) MPLS básica

Introducción

Este documento describe cómo configurar una red básica de núcleo VPN de Multiprotocol Label Switching (MPLS) básica. 

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Conocimiento del ruteo IP básico
• Conocimiento de la interfaz de línea de comandos (CLI) de Cisco IOS®

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

P y routers PE

• Cualquier router de Cisco de las series Aggregation Services Router (ASR) e Integrated Services Router (ISR) u otros routers de gama superior admite la funcionalidad P y PE.

Routers C y CE

• Puede utilizar cualquier router que pueda intercambiar información de routing con su router PE.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

Estas letras representan los diferentes tipos de routers y switches utilizados:

• P  — Router del proveedor

• PE  — Router de borde del proveedor

• CE  — Router Customer perimetral

• C  —router Customer 

Nota: Los routers PE son el último salto en la red del proveedor. Estos dispositivos se conectan directamente a los routers CE, que son dispositivos propiedad del cliente que interactúan con la red del proveedor de servicios pero no participan en las operaciones MPLS.

Antecedentes

MPLS es una tecnología de red de alto rendimiento que dirige los datos de un nodo a otro mediante etiquetas de ruta corta en lugar de direcciones de red largas. Este enfoque acelera y moldea los flujos de tráfico a través de las redes de las empresas y los proveedores de servicios. MPLS asigna etiquetas a los paquetes, que utilizan los routers de conmutación de etiquetas (LSR), o routers IP, para tomar decisiones de reenvío. Los routers de borde de etiqueta (LER), o routers PE, en el borde de la red añaden y eliminan estas etiquetas.

MPLS utiliza Clases de Equivalencia de Reenvío (FEC) para agrupar paquetes que se reenvían de la misma manera, y el Protocolo de distribución de etiquetas (LDP) para distribuir asignaciones de etiquetas entre routers. Esto garantiza una vista coherente de los enlaces de etiquetas en toda la red.

Las ventajas de MPLS incluyen un rendimiento mejorado, escalabilidad, capacidades de ingeniería de tráfico y compatibilidad con la calidad del servicio (QoS). Es independiente del protocolo, por lo que es una solución versátil para diversos entornos de red. MPLS se utiliza ampliamente para crear redes privadas virtuales (VPN) escalables y seguras, gestionar y optimizar los flujos de tráfico y admitir la convergencia de diferentes tipos de tráfico (por ejemplo, datos, voz y vídeo) en una única infraestructura de red.

Este documento proporciona una configuración de ejemplo de una red VPN MPLS donde se utiliza el Protocolo de gateway fronterizo (BGP) entre los routers PE (Provider Edge) y CE (Customer Edge). Cuando se utiliza con MPLS, la función VPN permite que varios sitios se interconecten de forma transparente a través de una red de proveedor de servicios. Una red de proveedor de servicios puede admitir varias VPN IP diferentes, cada una de las cuales se muestra a los usuarios como una red privada, independiente del resto de redes. Dentro de una VPN, cada sitio puede enviar paquetes IP a cualquier otro sitio dentro de la misma VPN

Cada VPN está asociada a una o más instancias de reenvío y routing virtuales (VRF). Un VRF consiste de una tabla de IP Routing, una tabla Cisco Express Forwarding (CEF) derivada y un conjunto de interfaces que usen estas tablas de reenvío. El router mantiene una base de información de routing (RIB) y una tabla CEF independientes para cada VRF. Esto garantiza que la información no se envíe fuera de la VPN, lo que permite que la misma subred se utilice en varias VPN sin causar problemas de dirección IP duplicada. El router que utiliza Multiprotocol BGP (MP-BGP) distribuye la información de ruteo VPN con las comunidades ampliadas MP-BGP.

Configuración

Esta sección proporciona los ejemplos de configuración y cómo se implementan.

Diagrama de la red

Este documento utiliza esta configuración de red, este diagrama muestra una configuración típica que ilustra las convenciones descritas anteriormente.:

Topología MPLS

Procedimientos de Configuración MPLS

Configuración de MPLS en la red principal

1. Verifique que ip cef esté habilitado en los routers donde se requiere MPLS (CEF está habilitado de forma predeterminada en las últimas versiones de software).

2. Configure un protocolo de gateway interior (IGP) en el núcleo del proveedor de servicios. Los protocolos OSPF (Open Shortest Path First) o IS-IS (Intermediate System-to-Intermediate System) son las opciones recomendadas y anuncie el loopback0 desde cada router IP y PE.

3. Una vez que los routers de núcleo del proveedor de servicio sean totalmente alcanzables en la Capa 3 (L3) entre sus loopbacks, configure el comando mpls ip en cada interfaz L3 entre los routers P y PE o utilice el comando mpls ldp autoconfig para habilitar LDP en cada interfaz que esté ejecutando el proceso OSPF o IS-IS.

Nota: La interfaz del router PE que se conecta directamente al router CE no requiere la configuración del comando mpls ip.

Después de agregar la configuración mpls ip a las interfaces, complete los siguientes pasos en los routers PE:

4. Cree un VRF para cada VPN conectado con el vrf definition <VRF name> comando. Pasos adicionales:

Especifique el discriminador de rutas utilizado para esa VPN. El comando rd <VPN route distinguisher> se utiliza para extender la dirección IP de modo que pueda identificar a qué VPN pertenece.

 vrf definition Client_A rd 100:110   

Configure las propiedades de importación y exportación para las comunidades ampliadas MP-BGP. Éstos se utilizan para filtrar el proceso de importación y exportación con el comando route-target {import|export|both} <target VPN extended community>, como se muestra en el siguiente resultado:

vrf definition Client_A rd 100:110 route-target export 100:1000 route-target import 100:1000 ! address-family ipv4 exit-address-family 

5. En el router PE, agregue las interfaces que conectan el CE al VRF correspondiente. Configure los detalles de reenvío para las interfaces respectivas con el comando vrf forwarding y configure la dirección IP.

PE-1#show run interface GigabitEthernet0/1 Building configuration... Current configuration : 138 bytes ! interface GigabitEthernet0/1 vrf forwarding Client_A ip address 10.0.4.2 255.255.255.0 duplex auto speed auto media-type rj45 end

Configuración de MP-BGP

Hay varias formas de configurar BGP; por ejemplo, puede configurar routers PE como vecinos BGP o utilizar un reflector de ruta (RR) o métodos de confederación. En el siguiente ejemplo, se utiliza un reflector de ruta, que es más escalable que el uso de vecinos de malla completa entre routers PE:

1. Ingrese el comando address-family ipv4 vrf <VRF name> para cada VPN presente en este router PE. A continuación, lleve a cabo uno o varios de los siguientes pasos, según sea necesario:

• Si utiliza BGP para intercambiar información de ruteo con el CE, configure y active los vecinos BGP con los routers CE.

• Si utiliza un protocolo de ruteo dinámico diferente para intercambiar información de ruteo con el CE, redistribuya los protocolos de ruteo.

Nota: Según el protocolo de routing PE-CE que utilice, puede configurar cualquier protocolo de routing dinámico (EIGRP, OSPF o BGP) entre los dispositivos PE y CE. Si BGP es el protocolo utilizado para intercambiar información de ruteo entre PE y CE, no es necesario configurar la redistribución entre protocolos.

2. En la jerarquía bgp del router, ingrese el modo address-family vpnv4 y complete los siguientes pasos:

• Para activar los vecinos, debe establecerse una sesión de vecino VPNv4 entre cada router PE y el reflector de ruta.

• Especifique que debe usarse la comunidad extendida. Esto es obligatorio.

Configuraciones

Este documento utiliza estas configuraciones para configurar el ejemplo de red VPN MPLS:

• PE-1 (PE)

• PE-2 (PE)

• P-2 (P)

• RR (RR)

• P-1 (P)

hostname PE-1
!
ip cef
!

!--- VPN Client_A commands.

vrf definition Client_A
 rd 100:110
 route-target export 100:1000
 route-target import 100:1000  
 !
 address-family ipv4
 exit-address-family

!--- Enables the VPN routing and forwarding (VRF) routing table.  
!--- Route distinguisher creates routing and forwarding tables for a VRF. 
!--- Route targets creates lists of import and export extended communities for the specified VRF. 
    

!--- VPN Client_B commands.  

vrf definition Client_B
 rd 100:120
 route-target export 100:2000
 route-target import 100:2000
 !
 address-family ipv4
 exit-address-family  
! 
interface Loopback0
 ip address 10.10.10.4 255.255.255.255
 ip router isis  
!
interface GigabitEthernet0/1
 vrf forwarding Client_A
 ip address 10.0.4.2 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
interface GigabitEthernet0/2
 vrf forwarding Client_B
 ip address 10.0.4.2 255.255.255.0
 duplex auto
 speed auto
 media-type rj45  

!--- Associates a VRF instance with an interface or subinterface. 
!--- GigabitEthernet0/1 and 0/2 use the same IP address, 10.0.4.2. 
!--- This is allowed because they belong to two different customer VRFs. 

!
interface GigabitEthernet0/0
 description link to P-1
 ip address 10.1.1.14 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip

!--- Enables MPLS on the L3 interface connecting to the P router

!  
router isis
 net 49.0001.0000.0000.0004.00
 is-type level-2-only
 metric-style wide
 passive-interface Loopback0

!--- Enables IS-IS as the IGP in the provider core network 

!
router bgp 65000
 bgp log-neighbor-changes  
 neighbor 10.10.10.2 remote-as 65000  
 neighbor 10.10.10.2 update-source Loopback0

!--- Adds an entry to the BGP or MP-BGP neighbor table. 
!--- And enables BGP sessions to use a specific operational interface for TCP connections.  

!
 address-family vpnv4
  neighbor 10.10.10.2 activate
  neighbor 10.10.10.2 send-community both
 exit-address-family
  
!--- To enter address family configuration mode that use standard VPN version 4 address prefixes.
!--- Creates the VPNv4 neighbor session to the Route Reflector. 
!--- And to send the community attribute to the BGP neighbor. 
 
!
 address-family ipv4 vrf Client_A
  neighbor 10.0.4.1 remote-as 65002
  neighbor 10.0.4.1 activate
 exit-address-family
 !
 address-family ipv4 vrf Client_B
  neighbor 10.0.4.1 remote-as 65001
  neighbor 10.0.4.1 activate
 exit-address-family

!--- These are the eBGP sessions to each CE router belonging to different customers.
!--- The eBGP sessions are configured within the VRF address family

!  
end 

hostname PE-2
!
ip cef
!
vrf definition Client_A
 rd 100:110
 route-target export 100:1000
 route-target import 100:1000
 !
 address-family ipv4
 exit-address-family
!     
vrf definition Client_B
 rd 100:120
 route-target export 100:2000
 route-target import 100:2000
 !
 address-family ipv4
 exit-address-family
!
ip cef
!
interface Loopback0
 ip address 10.10.10.6 255.255.255.255  
 ip router isis 
!
interface GigabitEthernet0/0
 description link to P-2
 ip address 10.1.1.22 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/1
 vrf forwarding Client_B
 ip address 10.0.6.2 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
interface GigabitEthernet0/2
 vrf forwarding Client_A
 ip address 10.1.6.2 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
interface GigabitEthernet0/3
 vrf forwarding Client_A
 ip address 10.0.6.2 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
router isis
 net 49.0001.0000.0000.0006.00
 is-type level-2-only
 metric-style wide
 passive-interface Loopback0
!         
router bgp 65000
 bgp log-neighbor-changes
 neighbor 10.10.10.2 remote-as 65000
 neighbor 10.10.10.2 update-source Loopback0
 !
 address-family vpnv4
  neighbor 10.10.10.2 activate
  neighbor 10.10.10.2 send-community both
 exit-address-family
 !
 address-family ipv4 vrf Client_A
  neighbor 10.0.6.1 remote-as 65004
  neighbor 10.0.6.1 activate
  neighbor 10.1.6.1 remote-as 65004
  neighbor 10.1.6.1 activate
 exit-address-family
 !
 address-family ipv4 vrf Client_B
  neighbor 10.0.6.1 remote-as 65003
  neighbor 10.0.6.1 activate
 exit-address-family
!         
!         
end 

hostname P-2
!
ip cef
!
interface Loopback0
 ip address 10.10.10.3 255.255.255.255
 ip router isis
!
interface GigabitEthernet0/0
 description link to PE-2
 ip address 10.1.1.21 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/1
 description link to P-1
 ip address 10.1.1.6 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/2
 description link to RR
 ip address 10.1.1.9 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
router isis
 net 49.0001.0000.0000.0003.00
 is-type level-2-only
 metric-style wide
 passive-interface Loopback0
!
end 

hostname RR
!
ip cef
!
interface Loopback0
 ip address 10.10.10.2 255.255.255.255
 ip router isis
!
interface GigabitEthernet0/0
 description link to P-1
 ip address 10.1.1.2 255.255.255.252ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/1
 description link to P-2
 ip address 10.1.1.10 255.255.255.252ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/3
 no ip address
 shutdown
 duplex auto
 speed auto
 media-type rj45
!
router isis
 net 49.0001.0000.0000.0002.00
 is-type level-2-only
 metric-style wide
 passive-interface Loopback0
!
router bgp 65000
 bgp log-neighbor-changes
 neighbor 10.10.10.4 remote-as 65000
 neighbor 10.10.10.4 update-source Loopback0
 neighbor 10.10.10.6 remote-as 65000
 neighbor 10.10.10.6 update-source Loopback0
 !
 address-family vpnv4
  neighbor 10.10.10.4 activate
  neighbor 10.10.10.4 send-community both
  neighbor 10.10.10.4 route-reflector-client
  neighbor 10.10.10.6 activate
  neighbor 10.10.10.6 send-community both
  neighbor 10.10.10.6 route-reflector-client
 exit-address-family
!
!
end
 

hostname P-1
!
ip cef
!
interface Loopback0
 ip address 10.10.10.1 255.255.255.255
 ip router isis 
!
interface GigabitEthernet0/0
 description link to PE-1
 ip address 10.1.1.13 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/1
 description link to RR 
 ip address 10.1.1.5 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
interface GigabitEthernet0/2
 description link to P-2
 ip address 10.1.1.1 255.255.255.252
 ip router isis 
 duplex auto
 speed auto
 media-type rj45
 mpls ip
!
router isis
 net 49.0001.0000.0000.0001.00
 is-type level-2-only
 metric-style wide
 passive-interface Loopback0
!
end 

hostname CE-A1
!
ip cef
!
interface GigabitEthernet0/0
 ip address 10.0.4.1 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
router bgp 65002
 bgp log-neighbor-changes
 redistribute connected
 neighbor 10.0.4.2 remote-as 65000
!
end 

hostname CE-A3
!
ip cef
!
interface GigabitEthernet0/0
 ip address 10.0.6.1 255.255.255.0
 duplex auto
 speed auto
 media-type rj45
!
router bgp 65004
 bgp log-neighbor-changes
 redistribute connected
 neighbor 10.0.6.2 remote-as 65000
!         
end 

Verificación

Esta sección proporciona información que puede utilizar para confirmar que la configuración funciona correctamente:

Comandos de verificación PE a CE

• show ip vrf — Verifica que exista el VRF correcto.
• show ip vrf interfaces — Verifica las interfaces activadas.
• show ip route vrf <VRF name> : verifica la información de ruteo en los routers PE.
• traceroute vrf <VRF name> <IP address> : verifica la información de ruteo en los routers PE.
• show ip cef vrf <VRF name> <IP address> detail — Verifica la información de ruteo en los routers PE.

Comandos de Verificación MPLS LDP

• show mpls interfaces
• show mpls forwarding-table
• show mpls ldp bindings
• show mpls ldp neighbor  

Comandos de verificación PE a PE/RR

• show bgp vpnv4 unicast all summary 
• show bgp vpnv4 unicast all neighbor <neighbor IP address> advertised-routes - Verifica los prefijos VPNv4 enviados
• show bgp vpnv4 unicast all neighbor <neighbor IP address> routes - Verifica los prefijos VPNv4 recibidos

Este es un ejemplo de salida del comando show ip vrf.

PE-1#show ip vrf
  Name                             Default RD            Interfaces
  Client_A                         100:110               Gi0/1
  Client_B                         100:120               Gi0/2

A continuación se muestra un ejemplo de salida del comando show ip vrf interfaces.

PE-2#show ip vrf interfaces 
Interface              IP-Address      VRF                              Protocol
Gi0/2                  10.1.6.2        Client_A                         up      
Gi0/3                  10.0.6.2        Client_A                         up      
Gi0/1                  10.0.6.2        Client_B                         up    

En el siguiente ejemplo, los comandos show ip route vrf muestran el mismo prefijo 10.0.6.0/24 en ambas salidas. Esto se debe a que el PE remoto tiene la misma red para dos clientes de Cisco, CE_B2 y CE_A3, lo que se permite en una solución MPLS VPN típica.

PE-1#show ip route vrf Client_A

Routing Table: Client_A
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
       a - application route
       + - replicated route, % - next hop override, p - overrides from PfR

Gateway of last resort is not set

      10.0.0.0/8 is variably subnetted, 4 subnets, 2 masks
C        10.0.4.0/24 is directly connected, GigabitEthernet0/1
L        10.0.4.2/32 is directly connected, GigabitEthernet0/1
B        10.0.6.0/24 [200/0] via 10.10.10.6, 11:11:11
B        10.1.6.0/24 [200/0] via 10.10.10.6, 11:24:16
PE-1#

PE-1#show ip route vrf Client_B

Routing Table: Client_B
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
       a - application route
       + - replicated route, % - next hop override, p - overrides from PfR

Gateway of last resort is not set

      10.0.0.0/8 is variably subnetted, 3 subnets, 2 masks
C        10.0.4.0/24 is directly connected, GigabitEthernet0/2
L        10.0.4.2/32 is directly connected, GigabitEthernet0/2
B        10.0.6.0/24 [200/0] via 10.10.10.6, 11:26:05 

Cuando se ejecuta un traceroute entre dos sitios, en este ejemplo dos sitios de Client_A (CE-A1 a CE-A3), es posible ver la pila de etiquetas utilizada por la red MPLS (si está configurada para hacerlo por mpls ip propagate-ttl ).

CE-A1#show ip route 10.0.6.1
Routing entry for 10.0.6.0/24
  Known via "bgp 65002", distance 20, metric 0
  Tag 65000, type external
  Last update from 10.0.4.2 11:16:14 ago
  Routing Descriptor Blocks:
  * 10.0.4.2, from 10.0.4.2, 11:16:14 ago
      Route metric is 0, traffic share count is 1
      AS Hops 2
      Route tag 65000
      MPLS label: none
CE-A1#

CE-A1#ping 10.0.6.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.6.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 7/8/9 ms
CE-A1#

CE-A1#traceroute 10.0.6.1 probe 1 numeric
Type escape sequence to abort.
Tracing the route to 10.0.6.1
VRF info: (vrf in name/id, vrf out name/id)
  1 10.0.4.2 2 msec
  2 10.1.1.13 [MPLS: Labels 20/26 Exp 0] 8 msec
  3 10.1.1.6 [MPLS: Labels 21/26 Exp 0] 17 msec
  4 10.0.6.2 [AS 65004] 11 msec
  5 10.0.6.1 [AS 65004] 8 msec 

Nota: Exp 0 es un campo experimental utilizado para Calidad de servicio (QoS).

El siguiente resultado muestra la adyacencia IS-IS y LDP establecida entre el RR y algunos de los routers IP en la red de núcleo del proveedor de servicios:

RR#show isis neighbors 

Tag null:
System Id       Type Interface     IP Address      State Holdtime Circuit Id
P-1        L2   Gi0/0         10.1.1.1        UP    25       RR.01        
P-2         L2   Gi0/1         10.1.1.9        UP    23       RR.02        
RR#

RR#show mpls ldp neighbor 
    Peer LDP Ident: 10.10.10.1:0; Local LDP Ident 10.10.10.2:0
        TCP connection: 10.10.10.1.646 - 10.10.10.2.46298
        State: Oper; Msgs sent/rcvd: 924/921; Downstream
        Up time: 13:16:03
        LDP discovery sources:
          GigabitEthernet0/0, Src IP addr: 10.1.1.1
        Addresses bound to peer LDP Ident:
          10.1.1.13       10.1.1.5        10.1.1.1        10.10.10.1      
    Peer LDP Ident: 10.10.10.3:0; Local LDP Ident 10.10.10.2:0
        TCP connection: 10.10.10.3.14116 - 10.10.10.2.646
        State: Oper; Msgs sent/rcvd: 920/916; Downstream
        Up time: 13:13:09
        LDP discovery sources:
          GigabitEthernet0/1, Src IP addr: 10.1.1.9
        Addresses bound to peer LDP Ident:
          10.1.1.6        10.1.1.9        10.10.10.3      10.1.1.21        

Información Relacionada

• Referencia de Comandos MPLS
• Soporte Técnico y Documentación - Cisco Systems
• Verificación del Reenvío de VPN de Capa 3 MPLS