在XE SD-WAN的同一通道介面中配置IPsec和GRE

簡介

本檔案介紹在Cisco IOS XE® SD-WAN路由器上為同一通道介面啟用IPsec和GRE封裝的組態。

必要條件

需求

思科建議瞭解以下主題：

• Cisco SD-WAN
• 基本Cisco IOS-XE命令列介面(CLI)

採用元件

本檔案是根據以下軟體和硬體版本所編制：

• C8000V版本17.6.2

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

Cisco IOS-XE SD-WAN路由器至少需要一個封裝；每個通道介面的網際網路協定安全(IPsec)或通用路由封裝(GRE)。

兩種封裝都需要使用案例。

使用案例

案例 1

在此案例中，有一個集線器，其中包含同一通道介面的一種傳輸和兩種封裝。

這會建立兩個TLOC，並允許與僅使用IPSec的遠端邊緣裝置和僅使用GRE的遠端邊緣裝置形成隧道。

案例 2

在此案例中，有兩個邊緣裝置具有一個傳輸。此傳輸在兩個端點上均配置兩個封裝。

如果存在需要通過GRE傳送的流量和需要通過IPsec傳送的流量，此功能非常有用。

組態

此配置可以通過路由器CLI或vManage功能模板執行。

通過vManage功能模板

在VPN 0的Cisco VPN介面乙太網功能模板上，導航到Tunnel > Advanced Options > Encapsulation，然後開啟GRE和IPsec:

通過CLI

在兩台cEdge裝置上使用兩種封裝配置隧道介面：

sdwan
 interface <WAN Interface>
  tunnel-interface
   encapsulation gre
   encapsulation ipsec

驗證

使用驗證命令驗證控制連線的狀態。

show sdwan omp tlocs table | i <system-ip>
show sdwan bfd sessions

案例2:

驗證是否已將TLOC重新分發到OMP中：

Edge_A#show sdwan omp tlocs table | i 10.2.2.2
ipv4   10.2.2.2  mpls  gre    0.0.0.0  C,Red,R  1  172.16.1.30  0      172.16.1.30  0      ::  0  ::  0  up 
       10.2.2.2  mpls  ipsec  0.0.0.0  C,Red,R  1  172.16.1.30  12346  172.16.1.30  12346  ::  0  ::  0  up 

驗證到兩個TLOC上Edge_B的BFD會話：

Edge_A#show sdwan bfd sessions
                             SOURCE TLOC  REMOTE TLOC              DST PUBLIC   DST PUBLIC         DETECT      TX 
SYSTEM IP    SITE ID  STATE  COLOR        COLOR       SOURCE IP    IP           PORT        ENCAP  MULTIPLIER  INTERVAL(msec    UPTIME          TRANSITIONS 
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.4.4.4     4        up     mpls         mpls        172.16.1.30  172.16.1.32  0           gre    7           1000             11 11:11:36:55  1 
10.4.4.4     4        up     mpls         mpls        172.16.1.30  172.16.1.32  12366       ipsec  7           1000             11 11:11:36:51  0 

驗證通往兩個通道的路徑。使用命令show sdwan policy service path vpn <vpn-number> interface <interface> source-ip <source-ip> dest-ip <dest-ip> protocol <protocol> all。

Edge_A#show sdwan policy service-path vpn 10 interface Loopback 20 source-ip 10.40.40.40 dest-ip 10.50.50.50 protocol 1 all 
Number of possible next hops: 2
Next Hop: GRE
Source: 172.16.1.30 Destination: 172.16.1.32 Local Color: mpls Remote Color: mpls Remote System IP: 10.4.4.4
Next Hop: IPsec
Source: 172.16.1.30 12346 Destination: 172.16.1.32 12366 Local Color: mpls Remote Color: mpls Remote System IP: 10.4.4.4

相關資訊

• Cisco SD-WAN系統和介面配置指南，Cisco IOS XE版本17.x
• Cisco SD-WAN命令參考