Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de Rede

Rede de transporte

Sobreposição de rede

Configurações

Protocolos de Roteamento

Configuração do hub

Configuração de Spoke

Verificar

Sessão spoke-to-hub

Sessão spoke-to-spoke

Troubleshoot

Introduction

Este documento descreve uma configuração comum que usa uma implantação de hub e spoke FlexVPN do Cisco IOS® em um ambiente IPv6. Ele se expande nos conceitos discutidos no FlexVPN: Configuração básica de LAN para LAN do IPv6.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Cisco IOS FlexVPN

- Protocolos de Roteamento

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Roteadores de Serviços Integrados Cisco 2ª Geração (ISR G2)

- Software Cisco IOS versão 15.3 (ou versão 15.4T para túneis spoke-to-spoke dinâmicos com IPv6)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Embora esse exemplo de configuração e diagrama de rede usem IPv6 como a rede de transporte, o Generic Routing Encapsulation (GRE) é normalmente usado em implantações de FlexVPN. O uso de GRE em vez de IPsec permite que os administradores executem IPv4 ou IPv6 ou ambos nos mesmos túneis, independentemente da rede de transporte.

Diagrama de Rede

Rede de transporte

Este é um diagrama da rede de transporte usada neste exemplo:

Sobreposição de rede

Este é um diagrama da topologia de rede de sobreposição básica usada neste exemplo:

Cada spoke é atribuído de um pool de endereços /112, mas recebe um endereço /128. Assim, a notação '/112 128' é usada na configuração do pool IPv6 do hub.

Configurações

Essa configuração mostra uma sobreposição IPv4 e IPv6 que funciona em um backbone IPv6.

Quando comparado a exemplos que usam IPv4 como um backbone, observe que você deve usar o comando tunnel mode para alterar o nó e acomodar o transporte IPv6.

O recurso de túnel spoke-to-spoke sobre IPv6 será apresentado no Cisco IOS Software Release 15.4T, que ainda não está disponível.

Protocolos de Roteamento

A Cisco recomenda que você use o Border Gateway Protocol (iBGP) interno para peering entre spoke e hubs para grandes implantações, pois o iBGP é o protocolo de roteamento mais escalável.

O intervalo de escuta do Border Gateway Protocol (BGP) não suporta o intervalo de IPv6, mas simplifica o uso com um transporte IPv4. Embora seja viável usar o BGP em um ambiente desse tipo, essa configuração ilustra um exemplo básico, então o EIGRP (Enhanced Interior Gateway Routing Protocol) foi escolhido.

Configuração do hub

Comparada aos exemplos mais antigos, essa configuração inclui o uso de novos protocolos de transporte.

Para configurar o hub, o administrador precisa:

- Ative o roteamento unicast.

- Provisione roteamento de transporte.

- Provisione um novo pool de endereços IPv6 a serem atribuídos dinamicamente. O pool é 2001:DB8:0:FFFE::/112; 16 bits permitem que 65.535 dispositivos sejam endereçados.

- Ative o IPv6 para a configuração do Next Hop Resolution Protocol (NHRP) para permitir o IPv6 na sobreposição.

- Considere o endereçamento IPv6 no teclado, bem como o perfil na configuração de criptografia.

Neste exemplo, o hub anuncia um resumo do EIGRP para todos os spokes.

A Cisco não recomenda o uso de um endereço de sumarização na interface Virtual-Template na implantação do FlexVPN; no entanto, em uma VPN multiponto dinâmica (DMVPN), isso não é apenas comum, mas também é considerado uma prática recomendada. Consulte Migração do FlexVPN: Transferência forçada de DMVPN para FlexVPN nos mesmos dispositivos: Configuração do hub atualizada para obter detalhes.

ipv6 unicast-routing

ipv6 cef

ip local pool FlexSpokes 10.1.1.176 10.1.1.254

ipv6 local pool FlexSpokesv6 2001:DB8:0:FFFE::/112 128

crypto ikev2 authorization policy default

ipv6 pool FlexSpokesv6

pool FlexSpokes

route set interface

crypto ikev2 keyring Flex_key

peer ALL

address ::/0

pre-shared-key local cisco

pre-shared-key remote cisco

!

crypto ikev2 profile Flex_IKEv2

match identity remote address ::/0

authentication remote pre-share

authentication local pre-share

keyring local Flex_key

aaa authorization group psk list default default

virtual-template 1

crypto ikev2 dpd 30 5 on-demand

interface Virtual-Template1 type tunnel

ip unnumbered Loopback100

ip mtu 1400

ip nhrp network-id 2

ip nhrp redirect

ip tcp adjust-mss 1360

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 unnumbered Loopback100

ipv6 enable

ipv6 eigrp 65001

ipv6 nhrp network-id 2

ipv6 nhrp redirect

tunnel mode gre ipv6

tunnel protection ipsec profile default

interface Ethernet1/0

description LAN subnet

ip address 192.168.0.1 255.255.255.0

ipv6 address 2001:DB8:1111:2000::1/64

ipv6 enable

ipv6 eigrp 65001

interface Loopback0

ip address 172.25.1.1 255.255.255.255

ipv6 address 2001:DB8::1/128

ipv6 enable

ip route 192.168.0.0 255.255.0.0 Null0

ipv6 route 2001:DB8:1111::/48 Null0

ip prefix-list EIGRP_SUMMARY_ONLY seq 5 permit 192.168.0.0/16

ipv6 prefix-list EIGRP_SUMMARY_v6 seq 5 permit 2001:DB8:1111::/48

router eigrp 65001

distribute-list prefix EIGRP_SUMMARY_ONLY out Virtual-Template1

network 10.1.1.0 0.0.0.255

network 192.168.0.0 0.0.255.255

redistribute static metric 1500 10 10 1 1500

ipv6 router eigrp 65001

distribute-list prefix-list EIGRP_SUMMARY_v6 out Virtual-Template1

redistribute static metric 1500 10 10 1 1500

Configuração de Spoke

Como na configuração do hub, o administrador precisa provisionar o endereçamento IPv6, ativar o roteamento IPv6 e adicionar a configuração de NHRP e criptografia.

É viável usar o EIGRP e outros protocolos de roteamento para peering spoke-to-spoke. No entanto, em um cenário típico, os protocolos não são necessários e podem afetar a escalabilidade e a estabilidade.

Neste exemplo, a configuração de roteamento mantém somente a adjacência do EIGRP entre o spoke e o hub, e a única interface que não é passiva é a interface Tunnel1:

ipv6 unicast-routing

ipv6 cef

crypto logging session

crypto ikev2 authorization policy default

route set interface

crypto ikev2 keyring Flex_key

peer ALL

address ::/0

pre-shared-key local cisco

pre-shared-key remote cisco

!

crypto ikev2 profile Flex_IKEv2

match identity remote address ::/0

authentication remote pre-share

authentication local pre-share

keyring local Flex_key

aaa authorization group psk list default default

virtual-template 1

crypto ikev2 dpd 30 5 on-demand

interface Tunnel1

description FlexVPN tunnel

ip address negotiated

ip mtu 1400

ip nhrp network-id 2

ip nhrp shortcut virtual-template 1

ip nhrp redirect

ip tcp adjust-mss 1360

delay 1000

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 address negotiated

ipv6 enable

ipv6 nhrp network-id 2

ipv6 nhrp shortcut virtual-template 1

ipv6 nhrp redirect

tunnel source Ethernet0/0

tunnel mode gre ipv6

tunnel destination 2001:DB8::1

tunnel protection ipsec profile default

interface Virtual-Template1 type tunnel

ip unnumbered Ethernet1/0

ip mtu 1400

ip nhrp network-id 2

ip nhrp shortcut virtual-template 1

ip nhrp redirect

ip tcp adjust-mss 1360

delay 1000

ipv6 mtu 1400

ipv6 tcp adjust-mss 1358

ipv6 unnumbered Ethernet1/0

ipv6 enable

ipv6 nhrp network-id 2

ipv6 nhrp shortcut virtual-template 1

ipv6 nhrp redirect

tunnel mode gre ipv6

tunnel protection ipsec profile default

Siga estas recomendações ao criar entradas de protocolo de roteamento em um spoke:

1. Permita que o protocolo de roteamento estabeleça uma relação através da conexão (neste caso, a interface Tunnel1) com o hub. Geralmente, não é desejável estabelecer adjacência de roteamento entre spokes, pois isso aumenta significativamente a complexidade na maioria dos casos.

2. Anuncie somente sub-redes locais de LAN e ative o protocolo de roteamento em um endereço IP atribuído pelo hub. Tenha cuidado para não anunciar uma sub-rede grande porque ela pode afetar a comunicação spoke-to-spoke.

Este exemplo reflete ambas as recomendações para EIGRP em Spoke1:

router eigrp 65001

network 10.1.1.0 0.0.0.255

network 192.168.101.0 0.0.0.255

passive-interface default

no passive-interface Tunnel1

ipv6 router eigrp 65001

passive-interface default

no passive-interface Tunnel1

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Note: A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Sessão spoke-to-hub

Uma sessão corretamente configurada entre dispositivos spoke e hub tem uma sessão IKEv2 (Internet Key Exchange Version 2) que está ativa e tem um protocolo de roteamento que pode estabelecer adjacência. Neste exemplo, o protocolo de roteamento é EIGRP, portanto, há dois comandos EIGRP:

- show crypto ikev2 sa

- show ipv6 eigrp 65001 neighbor

- show ip eigrp 65001 neighbor

Spoke1#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

1          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8::1/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK, Auth

verify: PSK

Life/Active Time: 86400/1945 sec

Spoke1#sh ipv6 eigrp 65001 neighbor

EIGRP-IPv6 Neighbors for AS(65001)

H   Address                 Interface          Hold Uptime   SRTT   RTO  Q  Seq

(sec)         (ms)       Cnt Num

0   Link-local address:     Tu1                  14 00:32:29   72  1470  0  10

FE80::A8BB:CCFF:FE00:6600

Spoke1#show ip eigrp neighbors

EIGRP-IPv4 Neighbors for AS(65001)

H   Address                 Interface          Hold Uptime   SRTT   RTO  Q  Seq

(sec)         (ms)       Cnt Num

0   10.1.1.1                Tu1                  11 00:21:05   11  1398  0  26

No IPv4, o EIGRP usa um endereço IP atribuído ao peer; no exemplo anterior, é o endereço IP do hub 10.1.1.1.

O IPv6 usa um endereço de link local; neste exemplo, o hub é FE80::A8BB:CCFF:FE00:6600. Use o comando ping para verificar se o hub pode ser alcançado através do IP link local:

Spoke1#ping FE80::A8BB:CCFF:FE00:6600

Output Interface: tunnel1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to FE80::A8BB:CCFF:FE00:6600, timeout is

2 seconds:

Packet sent with a source address of FE80::A8BB:CCFF:FE00:6400%Tunnel1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/5/5 ms

Sessão spoke-to-spoke

As sessões spoke-to-spoke são criadas dinamicamente sob demanda. Use um comando ping simples para disparar uma sessão:

Spoke1#ping  2001:DB8:1111:2200::100 source e1/0

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2001:DB8:1111:2200::100, timeout is 2 seconds:

Packet sent with a source address of 2001:DB8:1111:2100::1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/8/10 ms

Para confirmar a conectividade direta spoke-to-spoke, o administrador precisa:

- Verifique se uma sessão spoke-to-spoke dinâmica aciona uma nova interface de acesso virtual:

%LINEPROTO-5-UPDOWN: Line protocol on Interface Virtual-Access1, changed

state to up

%CRYPTO-5-IKEV2_SESSION_STATUS: Crypto tunnel v2 is UP.

Peer 2001:DB8:0:200::2:500       Id: 2001:DB8:0:200::2

- Verifique o estado da sessão IKEv2:

Spoke1#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

1          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8::1/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK,

Auth verify: PSK

Life/Active Time: 86400/3275 sec

Tunnel-id    fvrf/ivrf              Status

2          none/none             READY

Local  2001:DB8:0:100::2/500

Remote  2001:DB8:0:200::2/500

Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:5, Auth sign: PSK,

Auth verify: PSK

Life/Active Time: 86400/665 sec
Observe que duas sessões estão disponíveis: um spoke-to-hub e um spoke-to-spoke.

- Verificar o NHRP:

Spoke1#show ipv6 nhrp

2001:DB8:0:FFFE::/128 via 2001:DB8:0:FFFE::

Virtual-Access1 created 00:00:10, expire 01:59:49

Type: dynamic, Flags: router nhop rib nho

NBMA address: 2001:DB8:0:200::2

2001:DB8:1111:2200::/64 via 2001:DB8:0:FFFE::

Virtual-Access1 created 00:00:10, expire 01:59:49

Type: dynamic, Flags: router rib nho

NBMA address: 2001:DB8:0:200::2

A saída mostra que 2001:DB8:111:2200::/64 (a LAN para Spoke2) está disponível via 2001:DB8:0:FFFE::, que é o endereço IPv6 negociado na interface Tunnel1 para Spoke2. A interface Tunnel1 está disponível através do endereço NBMA (nonbroadcast multiaccess) de 2001:db8:0:200::2 , que é o endereço IPv6 atribuído estaticamente ao Spoke2.

- Verifique se o tráfego está passando por essa interface:

Spoke1#sh crypto ipsec sa peer 2001:DB8:0:200::2

interface: Virtual-Access1

Crypto map tag: Virtual-Access1-head-0, local addr 2001:DB8:0:100::2

protected vrf: (none)

local  ident (addr/mask/prot/port): (2001:DB8:0:100::2/128/47/0)

remote ident (addr/mask/prot/port): (2001:DB8:0:200::2/128/47/0)

current_peer 2001:DB8:0:200::2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 196, #pkts encrypt: 196, #pkts digest: 196

#pkts decaps: 195, #pkts decrypt: 195, #pkts verify: 195

(...)

- Verifique o caminho de roteamento e as configurações de CEF:

Spoke1#show ipv6 route

(...)

D   2001:DB8:1111:2200::/64 [90/27161600]

via 2001:DB8:0:FFFE::, Virtual-Access1 [Shortcut]

via FE80::A8BB:CCFF:FE00:6600, Tunnel1

(...)

Spoke1#show ipv6 cef 2001:DB8:1111:2200::

2001:DB8:1111:2200::/64

nexthop 2001:DB8:0:FFFE:: Virtual-Access

Troubleshoot

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.

Note: Consulte Informações Importantes sobre Comandos de Depuração antes de usar comandos debug.

Esses comandos debug ajudam a solucionar problemas:

- FlexVPN/IKEv2 e IPsec:

- debug crypto ipsec

- debug crypto ikev2 [pacote|interno]

- NHRP (spoke-to-spoke):

- debug nhrp pack

- debug nhrp extension

- debug nhrp cache

- debug nhrp route

Consulte a Lista de Comandos Mestre do Cisco IOS, Todas as Versões para obter mais informações sobre esses comandos.