Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de Rede

Configurações

Verificar

Troubleshoot

Introduction

Este documento descreve como proteger uma relação de vizinhança de Protocolo de Gateway de Borda Externo (eBGP - Border Gateway Protocol) com o uso de uma Interface de Túnel Virtual (VTI - Virtual Tunnel Interface) IPsec junto com as interfaces físicas (não túnel) para o tráfego de plano de dados. Os benefícios dessa configuração incluem:

- Privacidade completa da sessão vizinha do BGP com confidencialidade de dados, antirreprodução, autenticidade e integridade.

- O tráfego do plano de dados não está restrito à sobrecarga da Unidade de Transmissão Máxima (MTU - Maximum Transmission Unit) da interface de túnel. Os clientes podem enviar pacotes MTU padrão (1500 bytes) sem implicações de desempenho ou fragmentação.

- Menos sobrecarga nos roteadores de ponto final, pois a criptografia/descriptografia do Security Policy Index (SPI) é limitada ao tráfego do plano de controle BGP.

O benefício dessa configuração é que o plano de dados não está restrito à limitação da interface em túnel. Por design, o tráfego do plano de dados não é seguro para IPsec.

Prerequisites

Requirements

A Cisco recomenda que você conheça estes tópicos:

- Fundamentos de configuração e verificação do eBGP

- Manipulação do BGP Policy Accounting (PA) usando um mapa de rota

- Recursos básicos da política ISAKMP (Internet Security Association and Key Management Protocol) e IPsec

Componentes Utilizados

As informações neste documento são baseadas no Cisco IOS® Software Release 15.3(1.3)T, mas outras versões suportadas funcionam. Como a configuração de IPsec é um recurso criptográfico, certifique-se de que sua versão do código contém esse conjunto de recursos.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Caution: O exemplo de configuração neste documento usa algoritmos de cifra modestos que podem ou não ser adequados ao seu ambiente. Consulte o white paper de criptografia de próxima geração para obter uma discussão sobre a segurança relativa de vários conjuntos de cifras e tamanhos de chave.

Configurar

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

Configurações

Conclua estes passos:

1. Configure os parâmetros da fase 1 do Internet Key Exchange (IKE) em R1 e R2 com a chave pré-compartilhada em R1:
Note: Nunca use os números de grupo DH 1, 2 ou 5, pois eles são considerados inferiores. Se possível, use um grupo DH com criptografia de curva elíptica (ECC) como os grupos 19, 20 ou 24. O Advanced Encryption Standard (AES) e o Secure Hash Algorithm 256 (SHA256) devem ser considerados superiores ao Data Encryption Standard (DES)/3DES e ao Message Digest 5 (MD5)/SHA1, respectivamente. Nunca use a senha "cisco" em um ambiente de produção.

Configuração do R1

R1(config)#crypto isakmp policy 1

R1(config-isakmp)#encr aes

R1(config-isakmp)#hash sha256

R1(config-isakmp)#authentication pre-share

R1(config-isakmp)#group 19

R1(config-isakmp)exit

R1(config)#crypto isakmp key CISCO address 12.0.0.2

Configuração do R2

R2(config)#crypto isakmp policy 1

R2(config-isakmp)#encr aes

R2(config-isakmp)#hash sha256

R2(config-isakmp)#authentication pre-share

R2(config-isakmp)#group 19

R2(config-isakmp)exit

R2(config)#crypto isakmp key CISCO address 12.0.0.1

2. Configure a criptografia de senha de nível 6 para a chave pré-compartilhada na NVRAM em R1 e R2. Isso reduz a probabilidade de a chave pré-compartilhada armazenada em texto simples ser lida se um roteador for comprometido:
R1(config)#key config-key password-encrypt CISCOCISCO

R1(config)#password encryption aes

R2(config)#key config-key password-encrypt CISCOCISCO

R2(config)#password encryption aes

Note: Quando a criptografia de senha de nível 6 estiver habilitada, a configuração ativa não mostrará mais a versão em texto simples da chave pré-compartilhada:

!

R1#show run | include key

crypto isakmp key 6 \Nd`]dcCW\E`^WEObUKRGKIGadiAAB address 12.0.0.2

!

3. Configure os parâmetros da fase 2 do IKE em R1 e R2:
Configuração do R1

R1(config)#crypto ipsec transform-set TRANSFORM-SET esp-aes 256 esp-sha256 ah-sha256-hmac

R1(config)#crypto ipsec profile PROFILE

R1(ipsec-profile)#set transform-set TRANSFORM-SET

R1(ipsec-profile)#set pfs group19

Configuração do R2

R2(config)#crypto ipsec transform-set TRANSFORM-SET esp-aes 256 esp-sha256 ah-sha256-hmac

R2(config)#crypto ipsec profile PROFILE

R2(ipsec-profile)#set transform-set TRANSFORM-SET

R2(ipsec-profile)#set pfs group19

Note: A configuração do Perfect Forward Secret (PFS) é opcional, mas melhora a força da VPN, pois força uma nova geração de chave simétrica no estabelecimento de SA da fase 2 da IKE.

4. Configure as interfaces de túnel em R1 e R2 e proteja com o perfil IPsec:
Configuração do R1

R1(config)#interface tunnel 12

R1(config-if)#ip address 1.1.1.1 255.255.255.0

R1(config-if)#tunnel source Ethernet0/0

R1(config-if)#tunnel mode ipsec ipv4

R1(config-if)#tunnel destination 12.0.0.2

R1(config-if)#tunnel protection ipsec profile PROFILE

Configuração do R2

R2(config)#interface tunnel 12

R2(config-if)#ip address 1.1.1.2 255.255.255.0

R2(config-if)#tunnel source Ethernet0/0

R2(config-if)#tunnel mode ipsec ipv4

R2(config-if)#tunnel destination 12.0.0.1

R2(config-if)#tunnel protection ipsec profile PROFILE

5. Configure o BGP em R1 e R2 e anuncie as redes loopback0 em BGP:
Configuração do R1

R1(config)#router bgp 65510

R1(config-router)#neighbor 1.1.1.2 remote-as 65511

R1(config-router)#network 10.0.0.0 mask 255.255.255.0

Configuração do R2

R2(config)#router bgp 65511

R2(config-router)#neighbor 1.1.1.1 remote-as 65510

R2(config-router)#network 20.0.0.0 mask 255.255.255.0

6. Configure um mapa de rota em R1 e R2 para alterar manualmente o endereço IP do próximo salto de modo que aponte para a interface física e não para o túnel. Você deve aplicar esse mapa de rota na direção de entrada.
Configuração do R1

R1(config)ip prefix-list R2-NETS seq 5 permit 20.0.0.0/24

R1(config)#route-map CHANGE-NEXT-HOP permit 10

R1(config-route-map)#match ip address prefix-list R2-NETS

R1(config-route-map)#set ip next-hop 12.0.0.2

R1(config-route-map)#end

R1(config)#router bgp 65510

R1(config-router)#neighbor 1.1.1.2 route-map CHANGE-NEXT-HOP in

R1(config-router)#do clear ip bgp *

R1(config-router)#end

Configuração do R2

R2(config)#ip prefix-list R1-NETS seq 5 permit 10.0.0.0/24

R2(config)#route-map CHANGE-NEXT-HOP permit 10

R2(config-route-map)#match ip address prefix-list R1-NETS

R2(config-route-map)#set ip next-hop 12.0.0.1

R2(config-route-map)#end

R2(config)#router bgp 65511

R2(config-router)#neighbor 1.1.1.1 route-map CHANGE-NEXT-HOP in

R2(config-router)#do clear ip bgp *

R2(config-router)#end

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Verifique se a fase 1 do IKE e a fase 2 do IKE foram concluídas.  O protocolo de linha na Virtual Tunnel Interface (VTI) não é alterado para "ativado" até que a fase 2 do IKE tenha sido concluída:

R1#show crypto isakmp sa

IPv4 Crypto ISAKMP SA

dst src state conn-id status

12.0.0.1 12.0.0.2 QM_IDLE 1002 ACTIVE

12.0.0.2 12.0.0.1 QM_IDLE 1001 ACTIVE

R1#show crypto ipsec sa | inc encaps|decaps

#pkts encaps: 88, #pkts encrypt: 88, #pkts digest: 88

#pkts decaps: 90, #pkts decrypt: 90, #pkts verify: 90

Observe que, antes da aplicação do mapa de rota, o endereço IP do próximo salto aponta para o endereço IP do vizinho BGP, que é a interface do túnel:

R1#show ip bgp

BGP table version is 2, local router ID is 10.0.0.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,

x best-external, a additional-path, c RIB-compressed,

Origin codes: i - IGP, e - EGP, ? - incomplete

RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path

*> 20.0.0.0/24 1.1.1.2 0 0 65511 i

Quando o tráfego usa o túnel, o MTU é restrito ao MTU do túnel:

R1#ping 20.0.0.2 size 1500 df-bit

Type escape sequence to abort.

Sending 5, 1500-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

*May 6 08:42:07.311: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:09.312: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:11.316: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:13.319: ICMP: dst (20.0.0.2): frag. needed and DF set.

*May 6 08:42:15.320: ICMP: dst (20.0.0.2): frag. needed and DF set.

Success rate is 0 percent (0/5)

R1#show interfaces tunnel 12 | inc transport|line

Tunnel12 is up, line protocol is up

Tunnel protocol/transport IPSEC/IP

Tunnel transport MTU 1406 bytes <---

R1#ping 20.0.0.2 size 1406 df-bit

Type escape sequence to abort.

Sending 5, 1406-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/5/6 ms

Depois de aplicar o mapa de rota, o endereço IP é alterado para a interface física de R2, não para o túnel:

R1#show ip bgp

BGP table version is 2, local router ID is 10.0.0.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,

x best-external, a additional-path, c RIB-compressed,

Origin codes: i - IGP, e - EGP, ? - incomplete

RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path

*> 20.0.0.0/24 12.0.0.2 0 0 65511 i

Altere o plano de dados para usar o próximo salto físico, ao contrário do túnel permitir MTU de tamanho padrão:

R1#ping 20.0.0.2 size 1500 df-bit

Type escape sequence to abort.

Sending 5, 1500-byte ICMP Echos to 20.0.0.2, timeout is 2 seconds:

Packet sent with the DF bit set

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/5 ms

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.