Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Configuration

Diagramme du réseau

Configurations du routeur

Configuration du concentrateur VPN 3080

Configuration du concentrateur VPN 3060a

Configuration du concentrateur VPN 3030b

Vérification

Dépannage

Erreur simulée

Qu'est-ce qui peut mal tourner ?

Informations connexes

Introduction

Ce document décrit comment configurer un basculement VPN redondant si un site distant perd son concentrateur VPN 3000 ou sa connectivité Internet. Dans cet exemple, supposons que le réseau d'entreprise situé derrière le VPN 3030B utilise le protocole de routage OSPF (Open Shortest Path First) comme protocole de routage par défaut.

Remarque : lorsque vous redistribuez les protocoles de routage, vous pouvez former une boucle de routage qui peut causer des problèmes sur le réseau. Le protocole OSPF est utilisé dans cet exemple, mais il n’est pas le seul protocole de routage à pouvoir être utilisé.

L'objectif de cet exemple est de faire en sorte que le réseau 192.168.1.0 utilise le tunnel rouge (dans des conditions normales de fonctionnement), représenté dans la section Network Diagram, pour atteindre 192.168.3.x. Si le tunnel, le concentrateur VPN ou le FAI est abandonné, le réseau 192.168.3.0 est appris via un protocole de routage dynamique via le tunnel vert. En outre, la connectivité n'est pas perdue par le site 192.168.3.0. Une fois le problème résolu, le trafic revient automatiquement au tunnel rouge.

Remarque : RIP dispose d'un compteur d'obsolescence de trois minutes avant de permettre l'acceptation d'une nouvelle route sur une route non valide. Supposons également que les tunnels sont créés et que le trafic peut circuler entre les homologues.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Routeurs Cisco 3620 et 3640

- Concentrateur VPN Cisco 3080 - Version : Cisco Systems, Inc./VPN 3000 Concentrator Version 4.7

- Concentrateur VPN Cisco 3060 - Version : Cisco Systems, Inc./VPN série 3000 Concentrator Version 4.7

- Concentrateur Cisco VPN 3030 - Version : Cisco Systems, Inc./VPN série 3000 Concentrator Version 4.7

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

For more information on document conventions, refer to the Cisco Technical Tips Conventions.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : Pour en savoir plus sur les commandes utilisées dans le présent document, utilisez l’outil de recherche de commandes (clients inscrits seulement).

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Les tirets bleus indiquent que le protocole OSPF est activé de VPN 3030b à RTR-3640 et RTR-3620.

Les tirets verts indiquent que RIPv2 est activé à partir de VPN privé 3060a vers RTR-3620, RTR-3640 et VPN privé 3030b.

RIPv2 est également activé sur les tunnels VPN rouges et verts, car la découverte de réseau est activée. Il n’est pas nécessaire d’activer le protocole RIP sur l’interface privée VPN 3080. Il n’existe pas non plus de protocole RIP sur le réseau 192.168.4.x, car toutes les routes sont apprises par le protocole OSPF sur cette liaison.

Remarque : les PC des réseaux 192.168.2.x et 192.168.3.x doivent avoir leurs passerelles par défaut pointant vers les routeurs et non vers les concentrateurs VPN. Autoriser les routeurs à décider où acheminer les paquets.

Configurations du routeur

Ce document utilise les configurations de routeur suivantes :

- Routeur 3620

- Routeur 3640

Routeur 3620

rtr-3620#write  terminal

Building configuration...

Current configuration : 873 bytes

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname rtr-3620

!

ip subnet-zero

!

interface Ethernet1/0

ip address 192.168.3.2 255.255.255.0

half-duplex

!

interface Ethernet1/1

ip address 192.168.4.2 255.255.255.0

half-duplex

!

router ospf 1

log-adjacency-changes

!--- To pass the routes learned through RIP into the OSPF process, !--- use the redistribute command. !--- To prevent a routing loop, block the 192.168.1.0 network !--- from entering the OSPF process. It should only be learned !--- through the RIP process. No two different routing processes !--- exchange information unless you implicitly use the !--- redistribute command. !--- The 192.168.1.x network is learned through OSPF from the !--- 192.168.2.x side. However, since the admin distance is changed, !--- it is not installed into the table !--- because RIP has an administrative distance of 120, !--- and all of the OSPF distances are 130.

redistribute rip subnets route-map block192.168.1.0

!--- To enable the OSPF process for the interfaces that are included !--- in the 192.168.x.x networks:

network 192.168.0.0 0.0.255.255 area 0

!--- Since RIP's default admin distance is 120 and OSPF's is 110, !--- make RIP a preferable metric for communications !--- over the "backup" network. !--- Change any learned OSPF routes from neighbor 192.168.4.1 !--- to an admin distance of 130.

distance 130 192.168.4.1 0.0.0.0

!

!--- To enable RIP on the Ethernet 1/0 interface and set it to !--- use version 2:

router rip

version 2

network 192.168.3.0

!

ip classless

!

!

access-list 1 deny   192.168.1.0 0.0.0.255

access-list 1 permit any

route-map block192.168.1.0 permit 10

match ip address 1

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

Routeur 3640

rtr-3640#write terminal

Building configuration...

Current configuration : 1129 bytes

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname rtr-3640

!

ip subnet-zero

!

interface Ethernet0/0

ip address 192.168.2.2 255.255.255.0

half-duplex

!

interface Ethernet0/1

ip address 192.168.4.1 255.255.255.0

half-duplex

!

router ospf 1

log-adjacency-changes

!--- Use this command to push RIP learned routes into OSPF. !--- You need this when the VPN 3060a or the connection drops and !--- the 192.168.3.0 route needs to be injected into the OSPF backbone.

redistribute rip subnets

!--- Place all 192.168.x.x networks into area 0.

network 192.168.0.0 0.0.255.255 area 0

!--- Since RIP's default admin distance is 120 and OSPF's is 110, !--- make RIP a preferable metric for communications !--- over the "backup" network. !--- Change any learned OSPF routes from neighbor 192.168.4.2 !--- to an admin distance of 130.

distance 130 192.168.4.2 0.0.0.0

!

!--- To enable RIP on the Ethernet 0/0 interface and set it to !--- use version 2:

router rip

version 2

network 192.168.2.0

!

ip classless

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

Configuration du concentrateur VPN 3080

VPN LAN à LAN 3080 à VPN 3030b

Sélectionnez Configuration > Tunneling and Security > IPSec > IPSec LAN-to-LAN. Puisque la découverte automatique du réseau est utilisée, il n'est pas nécessaire de remplir les listes de réseau local et distant.

Remarque : les concentrateurs VPN qui exécutent le logiciel version 3.1 et antérieure ont une case à cocher pour la détection automatique. La version 3.5 du logiciel (utilisée sur le VPN 3080) utilise un menu déroulant, tel que celui illustré ici.

VPN LAN à LAN 3080 à VPN 3060a

Sélectionnez Configuration > Tunneling and Security > IPSec > IPSec LAN-to-LAN. Puisque la découverte automatique du réseau est utilisée, il n'est pas nécessaire de remplir les listes de réseau local et distant.

Remarque : les concentrateurs VPN qui exécutent le logiciel version 3.1 et antérieure ont une case à cocher pour la détection automatique. La version 3.5 du logiciel (utilisée sur le VPN 3080) utilise un menu déroulant, tel que celui illustré ici.

Configuration du concentrateur VPN 3060a

VPN LAN à LAN 3060a à VPN 3080

Sélectionnez Configuration > Tunneling and Security > IPSec > IPSec LAN-to-LAN.

Remarque : Il existe une case à cocher sur le VPN 3060 pour la découverte automatique de réseau au lieu du menu déroulant comme dans les versions 3.5 et ultérieures du logiciel.

Activez le protocole RIP pour transmettre les routes apprises par le tunnel au routeur VPN 3620

Sélectionnez Configuration > Interfaces > Private > RIP. Remplacez le menu déroulant par RIPv2 Only et cliquez sur Apply. Sélectionnez ensuite Configuration > System > Tunneling Protocols > IPSec > LAN-to-LAN.

Remarque : La valeur par défaut est le protocole RIP sortant et il est désactivé pour l'interface privée.

Configuration du concentrateur VPN 3030b

VPN LAN à LAN 3030b à VPN 3080

Sélectionnez Configuration > Tunneling and Security > IPSec > LAN-to-LAN.

Activez le protocole RIP pour transmettre les routes apprises par le tunnel au routeur VPN 3640

Suivez les étapes indiquées précédemment dans ce document pour le concentrateur VPN 3060a.

Permettre au protocole OSPF de transmettre les routes apprises par le réseau fédérateur au concentrateur VPN 3030b

Sélectionnez Configuration > System > IP Routing > OSPF et saisissez l'ID de routeur.

rtr-3640#show ip ospf neighbor

Neighbor ID     Pri   State           Dead Time   Address         Interface

192.168.4.2       1   FULL/DR         00:00:39    192.168.4.2     Ethernet0/1

!--- For troubleshooting purposes, it helps to make the router ID the !--- IP address of the private interface.

192.168.2.1       1   FULL/BDR        00:00:36    192.168.2.1     Ethernet0/0

L'ID de zone doit correspondre à l'ID du câble. Puisque la zone de cet exemple est 0, elle est représentée par 0.0.0.0. Cochez également la case Enable OSPF et cliquez sur Apply.

Assurez-vous que vos compteurs OSPF correspondent à ceux du routeur. Pour vérifier les compteurs des routeurs, utilisez la commande show ip ospf interface <interface name>.

rtr-3640#show ip ospf interface ethernet 0/0

Ethernet0/0 is up, line protocol is up

Internet Address 192.168.2.2/24, Area 0

Process ID 1, Router ID 192.168.4.1, Network Type BROADCAST, Cost: 10

Transmit Delay is 1 sec, State DR, Priority 1

Designated Router (ID) 192.168.4.1, Interface address 192.168.2.2

Backup Designated router (ID) 192.168.2.1, Interface address 192.168.2.1

Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5

Hello due in 00:00:05

Index 1/1, flood queue length 0

Next 0x0(0)/0x0(0)

Last flood scan length is 1, maximum is 2

Last flood scan time is 0 msec, maximum is 0 msec

Neighbor Count is 1, Adjacent neighbor count is 1

Adjacent with neighbor 192.168.2.1  (Backup Designated Router)

Suppress hello for 0 neighbor(s)

Pour plus d'informations sur OSPF, référez-vous à RFC 1247 .

Vérification

Cette section présente des informations que vous pouvez utiliser pour vous assurer que votre configuration fonctionne correctement.

Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.

Cette sortie de commande affiche des tables de routage précises.

rtr-3620#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

Gateway of last resort is not set

172.18.0.0/24 is subnetted, 1 subnets

R       172.18.124.0 [120/1] via 192.168.3.1, 00:00:11, Ethernet1/0

C    192.168.4.0/24 is directly connected, Ethernet1/1

!--- The 192.168.1.x network is learned from the !--- VPN 3060a Concentrator.

R    192.168.1.0/24 [120/2] via 192.168.3.1, 00:00:11, Ethernet1/0

!--- The 192.168.3.x network traverses the 192.168.4.x network !--- to get to the 192.168.2.x network.

O    192.168.2.0/24 [130/20] via 192.168.4.1, 00:01:07, Ethernet1/1

C    192.168.3.0/24 is directly connected, Ethernet1/0

rtr-3640#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

Gateway of last resort is not set

172.18.0.0/24 is subnetted, 1 subnets

R       172.18.124.0 [120/1] via 192.168.2.1, 00:00:23, Ethernet0/0

C    192.168.4.0/24 is directly connected, Ethernet0/1

!--- The 192.168.1.x network is learned from the !--- VPN 3030b Concentrator.

R    192.168.1.0/24 [120/2] via 192.168.2.1, 00:00:23, Ethernet0/0

C    192.168.2.0/24 is directly connected, Ethernet0/0

!--- The 192.168.2.x network traverses the 192.168.4.x network !--- to get to the 192.168.3.x network. !--- This is an example of perfect symmetrical routing.

O    192.168.3.0/24 [130/20] via 192.168.4.2, 00:00:58, Ethernet0/1

Il s'agit de la table de routage du concentrateur VPN 3080 dans des circonstances normales.

Les réseaux 192.168.2.x et 192.168.3.x sont tous deux appris via les tunnels VPN 172.18.124.132 et 172.18.124.131, respectivement. Le réseau 192.168.4.x est appris via le tunnel 172.18.124.132 car les annonces OSPF du routeur sont placées dans la table de routage du concentrateur VPN 3030b. Ensuite, la table de routage annonce le réseau aux homologues VPN distants.

Il s'agit de la table de routage du concentrateur VPN 3030b dans des circonstances normales.

La zone rouge indique que le réseau 192.168.1.x est appris à partir du tunnel VPN. La zone bleue indique que les réseaux 192.168.3.x et 192.168.4.x sont appris via le processus OSPF principal.

Il s'agit de la table de routage du concentrateur VPN 3060a dans des circonstances normales.

Le réseau 192.168.1.x est le seul réseau ici, et il peut être atteint via le tunnel VPN. Il n’y a pas de réseau 192.168.2.0, car aucun processus (tel que RIP) ne passe le long de cette route. Il n'y a rien de perdu tant que les PC du réseau 192.168.3.x ne pointent pas leur passerelle par défaut vers le concentrateur VPN. Vous pouvez toujours ajouter une route statique si vous le souhaitez. Cependant, pour cet exemple, le concentrateur VPN lui-même n'a pas besoin d'atteindre le réseau 192.168.2.0.

Dépannage

Erreur simulée

Il s'agit d'une erreur simulée dans la configuration. Si vous supprimez le filtre vers l'interface publique, le tunnel VPN est abandonné. Cela entraîne également la perte de la route pour 192.168.1.0 apprise via le tunnel. Il faut environ trois minutes au processus RIP pour supprimer la route. Par conséquent, vous pouvez avoir une panne de trois minutes jusqu'à ce que la route expire elle-même.

Une fois la route RIP expirée, la nouvelle table de routage sur les routeurs apparaît comme suit :

rtr-3620#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.18.0.0/24 is subnetted, 1 subnets

R       172.18.124.0 [120/1] via 192.168.3.1, 00:00:05, Ethernet1/0

C    192.168.4.0/24 is directly connected, Ethernet1/1

!--- Now the 192.168.1.0 route is learned properly !--- through the OSPF backbone.

O E2 192.168.1.0/24 [130/20] via 192.168.4.1, 00:00:05, Ethernet1/1

O    192.168.2.0/24 [130/20] via 192.168.4.1, 19:55:48, Ethernet1/1

C    192.168.3.0/24 is directly connected, Ethernet1/0

Qu'est-ce qui peut mal tourner ?

Si vous oubliez d'ajouter la distance admin à 130, vous pouvez peut-être voir cette sortie. Notez que les deux tunnels VPN sont activés.

Concentrateur VPN 3080

Remarque : Il s'agit de la version de l'interface utilisateur graphique (GUI) non graphique de la table de routage.

Monitor -> 1

Routing Table

-------------

Number of Routes: 6

IP Address         Mask          Next Hop    Intf Protocol Age Metric

------------------------------------------------------------------------

0.0.0.0         0.0.0.0         172.18.124.1       2 Default    0      1

172.18.124.0    255.255.255.0   0.0.0.0            2 Local      0      1

192.168.1.0     255.255.255.0   0.0.0.0            1 Local      0      1

192.168.2.0     255.255.255.0   172.18.124.132     2 RIP       10      2

192.168.3.0     255.255.255.0   172.18.124.131     2 RIP        2      2

192.168.4.0     255.255.255.0   172.18.124.132     2 RIP       10      9

Pour accéder au réseau 192.168.3.0, la route doit passer par 172.18.124.131. Cependant, la table de routage sur RTR-3620 affiche :

rtr-3620#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.18.0.0/24 is subnetted, 1 subnets

O E2    172.18.124.0 [110/20] via 192.168.4.1, 00:03:16, Ethernet1/1

C    192.168.4.0/24 is directly connected, Ethernet1/1

!--- This is an example of asymmetric routing.

O E2 192.168.1.0/24 [110/20] via 192.168.4.1, 00:03:16, Ethernet1/1

O    192.168.2.0/24 [110/20] via 192.168.4.1, 00:03:16, Ethernet1/1

C    192.168.3.0/24 is directly connected, Ethernet1/0

Pour revenir au réseau 192.168.1.0, la route doit passer par le réseau fédérateur 192.168.4.x.

Le trafic fonctionne toujours puisque la détection automatique génère les informations d'association de sécurité (SA) appropriées sur le concentrateur VPN 3030b. Exemple :

Routing -> 1

Routing Table

-------------

Number of Routes: 6

IP Address         Mask          Next Hop    Intf Protocol Age Metric

------------------------------------------------------------------------

0.0.0.0         0.0.0.0         172.18.124.1       2 Default    0      1

172.18.124.0    255.255.255.0   0.0.0.0            2 Local      0      1

192.168.1.0     255.255.255.0   0.0.0.0            1 Local      0      1

192.168.2.0     255.255.255.0   172.18.124.132     2 RIP       28      2

192.168.3.0     255.255.255.0   172.18.124.131     2 RIP       20      2

192.168.4.0     255.255.255.0   172.18.124.132     2 RIP       28      9

Même si la table de routage indique que l'homologue doit être 172.18.124.131, la SA réelle (flux de trafic) passe par le concentrateur VPN 3030b à 172.18.124.132. La table SA prime sur la table de routage. Seul un examen approfondi de la table de routage et de la table SA sur le concentrateur VPN 3060a montre que le trafic ne circule pas dans la bonne direction.

Informations connexes

- Page d'assistance des concentrateurs VPN Cisco 3000

- Page d'assistance IPsec

- Support technique - Cisco Systems