이 문서의 목적은 전역 라우팅 테이블을 사용하여 MPLS(Multiprotocol Label Switching) 기반 VPN에서 인터넷에 액세스하는 데 사용되는 샘플 컨피그레이션을 시연하는 것입니다.
특정 네트워크 시나리오에서는 기업 사이트 간의 VPN 연결을 계속 유지하는 것 외에도 MPLS 기반 VPN에서 인터넷에 액세스해야 합니다. 이 샘플 컨피그레이션은 IGW(인터넷 게이트웨이 라우터)에 대한 기본 경로를 포함하는 VPN 라우팅 및 포워딩(VRF)에서 인터넷 액세스를 제공하는 데 중점을 둡니다.
이 문서의 내용을 완전히 이해하려면 MPLS 포워딩 및 MPLS VPN에 대한 기본적인 이해가 필요합니다.
이 문서의 정보는 아래 소프트웨어 및 하드웨어 버전을 기반으로 합니다.
Cisco IOS® Software 릴리스 12.1(3)T. 릴리스 12.0(5)T에는 MPLS VPN 기능이 포함되어 있습니다.
Cisco 3660 또는 7206과 같은 3600 시리즈 이상의 모든 Cisco 라우터
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 라이브 네트워크에서 작업하는 경우, 사용하기 전에 모든 명령의 잠재적인 영향을 이해해야 합니다.
이 컨피그레이션에서는 다음 정책이 적용되었습니다.
인터넷에 연결된 라우터가 MPLS 네트워크에 연결됩니다. 전역 라우팅 테이블에 BGP(Border Gateway Protocol) 경로를 삽입할 수도 있고 삽입할 수도 없습니다.
참고: PE 라우터는 BGP를 이해합니다. GSR(Gigabit Switch Router)과 같은 라우터는 BGP를 전혀 실행하지 않습니다.
VRF가 인터넷에서 전체 라우팅 테이블(글로벌 BGP 테이블)을 가질 필요는 없으므로 고정 기본 경로가 IGW의 전역 next hop 주소를 가리키는 VRF에 배치됩니다.
VPN 고객은 글로벌 인터넷 라우팅 테이블에서 라우팅 가능한 등록된 고유 주소 범위를 사용합니다. 이 문서에서 설명한 액세스 방법은 고객이 네트워크에 전용 주소만 있는 경우에는 권장되지 않습니다.
다음 약어는 이 문서에서 사용됩니다.
CE - Customer Edge 라우터
PE - 공급자 에지 라우터
P - 공급자 코어 라우터
문서 표기 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.
이 컨피그레이션의 그림은 네트워크 다이어그램을 참조하십시오. 이 예에서는 CE 1과 CE 2가 동일한 VPN에 있습니다. VRF가 인터넷에서 전체 라우팅 테이블을 가질 필요는 없으므로(이 문서의 배경 이론 섹션의 정책에 따라) customer1 VRF에서 구성됩니다.
고정 기본 경로는 IGW를 가리키는 CE 1의 customer1 VRF에 구성됩니다. customer1 VRF 내에 고정 기본 경로를 배치하면 customer1 VRF에 포함된 경로와 일치하지 않는 패킷이 IGW로 전송됩니다.
참고: 인터넷 게이트웨이 next hop 192.168.67.1은 customer1 VRF의 일부가 아니므로 customer1 VRF에서 인터넷 게이트웨이 인터페이스 s8/0 IP 192.168.67.1을 가리키는 기본 경로가 구성됩니다. 192.168.67.1에 대한 경로는 customer1 VRF 내에 있지 않으므로 customer1 VRF에 구성된 고정 기본 경로 내에 global 키워드가 있어야 합니다. global 키워드는 고정 경로의 next hop 주소가 customer1 VRF 내에서 아니라 전역 라우팅 테이블 내에서 확인되도록 지정합니다.
다음은 고정 경로의 예입니다.
ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global
customer1 VRF에 global 키워드가 포함된 고정 경로를 사용하면 인터넷으로 향하는 모든 패킷이 인터넷 게이트웨이로 라우팅되고 그 다음에는 인터넷으로 라우팅됩니다.
참고: PE 1의 기본 경로는 루프백 주소(10.1.1.6)이 아닌 인터넷 게이트웨이의 직렬 인터페이스 IP 주소(192.168.67.1)을 가리키도록 구성됩니다. 이렇게 하면 인터넷 게이트웨이와 인터넷(R7) 간의 연결이 실패할 경우 경로를 블랙홀링할 수 있습니다. 기본 경로가 인터넷 게이트웨이의 루프백 주소와 인터넷 게이트웨이-R7 간의 연결이 끊어지면 모든 패킷이 인터넷 게이트웨이로 계속 라우팅됩니다. 이는 루프백 주소가 작동(인터페이스 s8/0이 다운될 때 전역 라우팅 테이블에서 철회되는 192.168.67.1과 달리) 상태이고 기본 경로가 라우팅 테이블에 계속 존재하기 때문에 발생합니다.
다음 단계는 인터넷에서 목적지 CE 1 네트워크 11.11.11.0/24으로 돌아오는 패킷이 인터넷 게이트웨이에서 PE 1로, MPLS 코어를 통해 CE 1로 라우팅되도록 하는 것입니다. 이는 PE 1의 전역 라우팅 테이블에서 Serial 8/0 인터페이스를 가리키는 CE 1 네트워크에 대한 고정 경로를 구성하여 수행합니다. 인터넷 게이트웨이가 전역 라우팅 테이블에 해당 경로를 가지도록 OSPF(Open Shortest Path First)로 재배포합니다. 이렇게 하면 인터넷 게이트웨이가 인터넷에서 PE 1로 들어오는 모든 패킷을 라우팅하고 CE 1을 초과하는 최종 목적지로 라우팅할 수 있습니다.
다음 예는 PE 1의 컨피그레이션에 사용되는 ip route 명령입니다.
ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1
참고: 전역 라우팅 테이블에 구성된 위의 고정 경로는 VPN NLRI(Network Layer Availability Information)에 사용되는 customer1 VRF 내에 구성된 고정 경로 외에 추가로 사용됩니다. PE 1에서는 아래와 같이 구성됩니다.
ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1
참고: 이 문서에 사용된 명령에 대한 추가 정보를 찾으려면 명령 조회 도구(등록된 고객만 해당)를 사용합니다.
이 문서에서는 아래 다이어그램에 표시된 네트워크 설정을 사용합니다.
이 문서에서는 아래 표시된 구성을 사용합니다.
CE 1 |
---|
version 12.2 ! hostname CE-1 ! ip subnet-zero ! interface Loopback0 ip address 10.1.1.1 255.255.255.255 ! interface Loopback2 ip address 11.11.11.1 255.255.255.0 ! interface Serial8/0 ip address 192.168.10.1 255.255.255.252 !--- The interface is connected to PE 1. ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.10.2 !--- This is the default route to route all packets to PE 1. ! |
PE 1 |
---|
version 12.2 ! hostname PE-1 ! ip subnet-zero ! ip vrf customer1 !--- This configured VRF customer1. rd 100:1 !--- This configured the route distiguisher for VRF. route-target export 1:1 route-target import 1:1 !--- This configured the export and import policies into VRF. ! ip cef !--- This enabled Cisco Express Forwarding (CEF) switching. ! interface Loopback0 ip address 10.1.1.2 255.255.255.255 ! interface Ethernet0/0 !--- It is connected to P router. ip address 10.10.23.2 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Serial8/0 ! Connected to CE-1 ip vrf forwarding customer1 !--- Route forwarding based on customer1 VRF is enabled. ip address 192.168.10.2 255.255.255.252 ! router ospf 1 log-adjacency-changes redistribute static subnets network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes neighbor 10.1.1.4 remote-as 100 !--- Neighbor relationship with PE 2 is established. neighbor 10.1.1.4 update-source Loopback0 neighbor 10.1.1.4 next-hop-self no auto-summary ! address-family ipv4 vrf customer1 !--- The address-family configuration mode specifies IPv4 unicast !---address prefixes for customer1 VRF. no auto-summary no synchronization network 11.11.11.0 mask 255.255.255.0 !--- CE 1 network 11.11.11.0/24 to PE 2 is announced. network 192.168.10.0 mask 255.255.255.252 exit-address-family ! address-family vpnv4 !--- This is the address-family VPNV4 configuration mode for !--- configuring BGP sessions. neighbor 10.1.1.4 activate neighbor 10.1.1.4 send-community extended no auto-summary exit-address-family ! ip classless ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1 !--- The static route in the global routing table is pointing to !--- the interface connected to CE 1. ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global !--- The static default route under customer1 VRF, routing packets !--- outside of VPN to the Internet gateway. ! routes ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1 !--- The static route for network 11.11.11.0/24 (CE-1 Network) under !---customer1 VRF ensures the reachability of CE 1 network from the !--- other VPN sites. |
P |
---|
version 12.2 ! hostname P ! ip subnet-zero ! ip cef !--- CEF switching is enabled. ! interface Loopback0 ip address 10.1.1.3 255.255.255.255 ! interface Ethernet0/0 !--- This is connected to PE 1. ip address 10.10.23.3 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Ethernet1/0 !--- This is connected to PE 2. ip address 10.10.34.3 255.255.255.0 tag-switching ip ! interface Ethernet2/0 !--- This is connected to the Internet gateway. ip address 10.10.36.3 255.255.255.0 tag-switching ip ! router ospf 1 log-adjacency-changes network 0.0.0.0 255.255.255.255 area 0 |
IGW |
---|
version 12.2 ! hostname IGW ! ip subnet-zero ! ip cef !--- This enabled CEF switching. ! interface Loopback0 ip address 10.1.1.6 255.255.255.255 ! interface Ethernet2/0 !--- This is connected to P router. ip address 10.10.36.6 255.255.255.0 tag-switching ip ! interface Serial8/0 !--- This is connected to Internet R7. ip address 192.168.67.1 255.255.255.252 ! router ospf 1 log-adjacency-changes network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes network 11.11.11.0 mask 255.255.255.0 network 22.22.22.0 mask 255.255.255.0 neighbor 192.168.67.2 remote-as 200 no auto-summary |
PE 2 |
---|
version 12.2 ! hostname PE-2 ! ip subnet-zero ! ip vrf customer1 !--- Customer1 VRF is configured. rd 100:1 !--- Route Distinguisher for VRF is configured. route-target export 1:1 route-target import 1:1 !--- This configured the import and export policies for customer1 !--- VRF. ! ip cef !--- This enabled CEF switching. ! interface Loopback0 ip address 10.1.1.4 255.255.255.255 interface Ethernet1/0 !--- Connected to P router. ip address 10.10.34.4 255.255.255.0 tag-switching ip !--- MPLS switching is enabled. ! interface Serial9/0 !--- Connected to CE 2 router. ip vrf forwarding customer1 !--- This enables VRF forwarding on the interface. ip address 192.168.20.1 255.255.255.252 ! router ospf 1 log-adjacency-changes redistribute static subnets network 0.0.0.0 255.255.255.255 area 0 ! router bgp 100 no synchronization bgp log-neighbor-changes neighbor 10.1.1.2 remote-as 100 neighbor 10.1.1.2 update-source Loopback0 neighbor 10.1.1.2 next-hop-self no auto-summary ! address-family ipv4 vrf customer1 !--- This is the address-family IPv4 configuration of customer1 VRF. no auto-summary no synchronization network 22.22.22.0 mask 255.255.255.0 !--- This announces the CE 2 network to PE 1. exit-address-family ! address-family vpnv4 !--- This is the address-family VPNV4 configuration for BGP Sessions !--- with PE 1. neighbor 10.1.1.2 activate neighbor 10.1.1.2 send-community extended no auto-summary exit-address-family ! ip classless ip route 22.22.22.0 255.255.255.0 Serial9/0 192.168.20.2 !--- This is the static route for network 22.22.22.0/24 in the global !--- routing table pointing to the interface connected to CE 2. ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global !--- This is the static default route for customer VRF !--- for destinations outside the VPN. ip route vrf customer1 22.22.22.0 255.255.255.0 192.168.20.2 !--- This is the static route within customer1 VRF for CE 2 !--- network for VPN connectivity. |
CE 2 |
---|
version 12.2 ! hostname CE-2 ! ip subnet-zero ! interface Loopback0 ip address 22.22.22.22 255.255.255.0 ! interface Serial9/0 !--- This is connected to PE 2. ip address 192.168.20.2 255.255.255.252 ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.20.1 !--- This is the default route pointing to PE 2. |
이 섹션에서는 컨피그레이션이 제대로 작동하는지 확인하는 데 사용할 수 있는 정보를 제공합니다.
CE 1과 CE 2 간의 VPN 연결을 확인하려면 CE 1이 CE 2의 네트워크 22.22.22.0/24에 연결되고 다른 방법으로 연결할 수 있어야 합니다. 이를 확인하려면 PE 1의 customer1 VRF에서 네트워크 22.22.22.0/24으로 가는 경로를 확인합니다.
일부 show 명령은 출력 인터프리터 툴 에서 지원되는데(등록된 고객만), 이 툴을 사용하면 show 명령 출력의 분석 결과를 볼 수 있습니다.
show ip route vrf customer1 명령은 아래 출력에 강조 표시된 10.1.1.4(PE 2의 루프백 주소)에서 학습한 네트워크 22.22.22.0/24로의 경로를 확인합니다.
PE-1# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets C 192.168.10.0 is directly connected, Serial8/0 22.0.0.0/24 is subnetted, 1 subnets B 22.22.22.0 [200/0] via 10.1.1.4, 01:00:50 11.0.0.0/24 is subnetted, 1 subnets S 11.11.11.0 [1/0] via 192.168.10.1 S* 0.0.0.0/0 [1/0] via 192.168.67.1
마찬가지로, PE 2에서 customer1 VRF의 네트워크 11.11.11.0/24에 대한 경로는 아래 예에 나와 있습니다.
PE-2# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets B 192.168.10.0 [200/0] via 10.1.1.2, 01:00:09 22.0.0.0/24 is subnetted, 1 subnets S 22.22.22.0 [1/0] via 192.168.20.2 192.168.20.0/30 is subnetted, 1 subnets C 192.168.20.0 is directly connected, Serial9/0 11.0.0.0/24 is subnetted, 1 subnets B 11.11.11.0 [200/0] via 10.1.1.2, 01:00:09 S* 0.0.0.0/0 [1/0] via 192.168.67.1
이제 CE 1의 소스 IP 주소 11.11.11.1을 사용하여 CE 2에서 호스트 22.22.22.22을 ping하여 CE 1과 CE 2 간의 연결을 확인합니다.
CE-1# ping Protocol [ip]: Target IP address: 22.22.22.22 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 11.11.11.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 22.22.22.22, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms
아래 단계에 따라 CE1에서 인터넷 연결을 확인합니다.
CE 1에서 인터넷 또는 VPN으로 향하는 모든 패킷은 아래와 같이 PE 1을 가리키는 CE 1에 구성된 기본 경로를 사용하여 라우팅됩니다.
CE-1# show ip route 0.0.0.0 Routing entry for 0.0.0.0/0, supernet Known via "static", distance 1, metric 0, candidate default path Routing Descriptor Blocks: * 192.168.10.2 Route metric is 0, traffic share count is 1
PE 1 인터페이스 s8/0으로 들어오는 패킷은 customer1 VRF 라우팅 테이블을 사용하여 라우팅됩니다. PE 1에는 IGW IP 주소 192.168.67.1을 가리키는 customer1 VRF의 기본 경로가 있습니다. PE 1의 show ip route vrf customer1에 대한 출력에 아래에 나와 있습니다.
PE-1# show ip route vrf customer1 Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is 192.168.67.1 to network 0.0.0.0 192.168.10.0/30 is subnetted, 1 subnets C 192.168.10.0 is directly connected, Serial8/0 22.0.0.0/24 is subnetted, 1 subnets B 22.22.22.0 [200/0] via 10.1.1.4, 01:21:11 11.0.0.0/24 is subnetted, 1 subnets S 11.11.11.0 [1/0] via 192.168.10.1 S* 0.0.0.0/0 [1/0] via 192.168.67.1
PE 1의 기본 경로는 global 키워드로 구성되어 있으므로, 아래 그림과 같이 전역 라우팅 테이블에서 next hop 192.168.67.1을 찾고 IGW로 경로를 설정합니다.
PE-1# show ip route 192.168.67.1 Routing entry for 192.168.67.0/30 Known via "ospf 1", distance 110, metric 84, type intra area Last update from 10.10.23.3 on Ethernet0/0, 00:21:54 ago Routing Descriptor Blocks: * 10.10.23.3, from 10.1.1.6, 00:21:54 ago, via Ethernet0/0 Route metric is 84, traffic share count is 1
IGW에 도달하는 패킷은 R7에서 학습한 BGP 경로를 기반으로 인터넷으로 라우팅됩니다. 이 경우 R7에서 학습한 BGP 경로를 확인하여 인터넷과의 연결을 시연할 수 있습니다. 다음은 IGW 라우팅 테이블의 R7에서 학습한 BGP 경로(네트워크 99.99.99.0/24)입니다.
IGW# show ip route 99.99.99.0 Routing entry for 99.99.99.0/24 Known via "bgp 100", distance 20, metric 0 Tag 200, type external Last update from 192.168.67.2 01:37:25 ago Routing Descriptor Blocks: * 192.168.67.2, from 192.168.67.2, 01:37:25 ago Route metric is 0, traffic share count is 1 AS Hops 1
CE-1에서 시작된 패킷은 인터넷으로 라우팅됩니다.
인터넷에서 CE 1 네트워크 11.11.11.0/24으로 향하는 패킷의 경우 IGW의 전역 라우팅 테이블에서 PE 1을 가리키는 경로가 있어야 합니다. PE 1의 s8/0 인터페이스를 가리키는 PE 1의 전역 라우팅 테이블의 고정 경로가 CE 1에 연결하여 OSPF에 재배포됩니다. 이렇게 하면 IGW의 전역 라우팅 테이블에 PE 1을 가리키는 경로가 있습니다. PE 1의 고정 경로와 IGW의 OSPF 학습 경로가 아래에 표시됩니다.
IGW# show ip route 11.11.11.0 Routing entry for 11.11.11.0/24 Known via "ospf 1", distance 110, metric 20, type extern 2, forward metric 20 Last update from 10.10.36.3 on Ethernet2/0, 00:34:34 ago Routing Descriptor Blocks: * 10.10.36.3, from 10.1.1.2, 00:34:34 ago, via Ethernet2/0 Route metric is 20, traffic share count is 1 PE-1# show ip route 11.11.11.0 Routing entry for 11.11.11.0/24 Known via "static", distance 1, metric 0 Redistributing via ospf 1 Advertised by ospf 1 subnets Routing Descriptor Blocks: * 192.168.10.1, via Serial8/0 Route metric is 0, traffic share count is 1
이제 CE 1 소스 주소가 11.11.11.1인 R7 IP 주소 99.99.99.1을 ping하여 CE 1에서 인터넷 연결을 확인합니다.
CE-1# ping Protocol [ip]: Target IP address: 99.99.99.1 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 11.11.11.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 99.99.99.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 20/24/32 ms CE-1#
현재 이 컨피그레이션에 사용할 수 있는 특정 문제 해결 정보가 없습니다.
개정 | 게시 날짜 | 의견 |
---|---|---|
1.0 |
10-Aug-2005 |
최초 릴리스 |