تكوين تشفير ASR1000 عبر OTV Unicast
المحتويات
المقدمة
يصف هذا المستند المجموعة الأساسية من التكوينات التي يتم إستخدامها لعرض المحاكاة الظاهرية للنقل العشوائي (OTV) باستخدام تشفير IPSec. لا يتطلب التشفير عبر OTV أي تكوينات إضافية من نهاية OTV. ما عليك سوى فهم كيفية وجود OTV و IPSec معا.
in order to أضفت تشفير عبر OTV، أنت تحتاج أن يضيف يغلف أمن حمولة (ESP) رأس على فوق OTV PDU. يمكنك تحقيق التشفير على أجهزة ASR1000 Edge (ED) من خلال طريقتين: (i) IPSec (ii) GETVPN.
المتطلبات الأساسية
المتطلبات
لا توجد متطلبات خاصة لهذا المستند.
المكونات المستخدمة
تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:
- موجهات ASR1000 للأجهزة الطرفية (ED)
- Core (شبكة ISP)
- المحولات Catalyst 2960 switches كمحول الوصول على أي من الموقعين
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
معلومات أساسية
يفترض أن مستخدمي هذا المستند يعرفون الوظائف الأساسية وتكوينات OTV الأساسية.
يمكنك أيضا تتبع تلك الوثائق لنفس الإجراء:
التكوين
الرسم التخطيطي للشبكة
التكوينات
الموقع أ: مواصفات ED:
Site_A_1#show run |
Site_A_2#show run |
الموقع ب: مواصفات ED:
Site_B_1#sh run |
Site_B_2#sh run |
التحقق من الصحة
استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.
- تحقق مما إذا كان قد تم التعرف على عنوان MAC الخاص بمضيف شبكة VLAN الداخلية (في هذه الحالة ال SVI على المحول 2960 Catalyst Switch) على جداول مسار OTV.
- تحقق مما إذا تم إجراء التشفير التشفير التشفير و التشفير لحركة مرور التخطيات (OTV).
ما إن يظهر ال OTV بعد أن يشكل أنت ال crypto خريطة على ال يتلاقى قارن، فحصت ال نشط مصدر ل VLAN محلي (في هذه الحالة VLAN 100 و 101). هذا يوضح أن SITE_A_1 و SITE_B_2 هما الموجدان النشيطان للشبكة المحلية الظاهرية (VLAN) المتساوية لأنك ستقوم باختبار تشفير حركة مرور البيانات للإختبارات التي تم بدؤها من شبكة VLAN رقم 100 في الموقع A إلى شبكة VLAN رقم 100 في الموقع B:
Site_A_1#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_A_1 active Gi0/0/0:SI100
0 101 101 Site_A_2 inactive(NA) Gi0/0/0:SI101
0 200 200 *Site_A_1 active Gi0/0/0:SI200
0 201 201 Site_A_2 inactive(NA) Gi0/0/0:SI201
Total VLAN(s): 4
Site_B_2#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_B_2 active Gi2/2/1:SI100
0 101 101 Site_B_1 inactive(NA) Gi2/2/1:SI101
0 200 200 *Site_B_2 active Gi2/2/1:SI200
0 201 201 Site_B_1 inactive(NA) Gi2/2/1:SI201
Total VLAN(s): 4
in order to فحصت إن الربط يحصل حقا يغلف ويفك كبسلة على إما ed، أنت ينبغي فحصت إن ال ipsEC جلسة يكون نشط والعداد قيمة في ال crypto جلسة in order to أكدت أن الربط يكون بالفعل يتم تشفيرها وفك تشفيرها. للتحقق من ما إذا كانت جلسة IPSec نشطة، نظرا لأنها تصبح نشطة فقط إذا تم تدفق أي حركة مرور عبر، فتحقق من إخراج show crypto isakmp sa. هنا، يتم التحقق من مخرجات العملاء النشطين، لكن يجب أن يظهر هذا الحالة النشطة على كل ED ل OTV over تشفير أن يعمل.
Site_A_1#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
10.0.0.1 30.0.0.1 QM_IDLE 1008 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
Site_B_2#sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
20.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1006 ACTIVE
الآن، من أجل تأكيد ما إذا تم تشفير الحزم وفك تشفيرها، تحتاج أولا إلى معرفة ما يجب توقعه في مخرجات تفاصيل جلسة تشفير العرض. لذلك، عند بدء حزمة صدى ICMP من Sw_A switch نحو Sw_B، فمن المتوقع أن:
- بينما يغادر صدى ICMP من Site_A_1 ED وهو الموجه النشط لشبكة VLAN 100، فإنه سيتعين عليه تضمين حمولة OTV (ICMP ECHO + MPLS + GRE)
- ثم بمجرد وصول صدى ICMP إلى Site_B_2 ED وهو الموجه النشط لشبكة VLAN 100، سيكون عليه فك كبسلة حمولة OTV (ICMP ECHO + MPLS + GRE)
- الآن، بمجرد أن يتلقى SITE_B_2 ED رد ICMP ECHO من SW_B، سيكون عليه مرة أخرى تضمين حمولة OTV (ICMP ECHO + MPLS + GRE)
- وبمجرد أن يصل رد ICMP ECHO إلى SITE_A_1 ED، سيتعين علي مرة أخرى إزالة كبسلة حمولة OTV (ICMP ECHO + MPLS + GRE)
بعد إختبارات الاتصال الناجحة من SW_A إلى SW_B، توقع رؤية زيادة بمقدار 5 عدادات تحت قسم "enc" و"dec" من إخراج تفاصيل جلسة عمل show crypto على كل من ED الموجه النشط.
الآن، تحقق من نفس الشيئ من المحررين:
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3345
Outbound: #pkts enc'ed 10 drop 0 life (KB/Sec) 4607998/3291 <<<< 10 counter before ping
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3343
Inbound: #pkts dec'ed 18 drop 0 life (KB/Sec) 4607997/3289 <<<< 18 counter before ping
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 18 drop 0 life (KB/Sec) 4607997/3295 <<<< 18 counter before ping
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3295
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 10 drop 0 life (KB/Sec) 4607998/3293 <<<< 10 counter before ping
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3293
Sw_A(config)#do ping 192.168.10.1 source vlan 100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.10.2
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/10 ms
Sw_A(config)#
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3339
Outbound: #pkts enc'ed 15 drop 0 life (KB/Sec) 4607997/3284 <<<< 15 counter after ping (After ICMP Echo)
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3338
Inbound: #pkts dec'ed 23 drop 0 life (KB/Sec) 4607997/3283 <<<< 23 counter after ping (After ICMP Echo Reply)
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 23 drop 0 life (KB/Sec) 4607997/3282 <<<< 23 counter after ping (After ICMP Echo Reply)
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3282
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 15 drop 0 life (KB/Sec) 4607997/3281 <<<< 15 counter after ping (After ICMP Echo)
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3281
يمكن لدليل التكوين هذا نقل تفاصيل التكوين المطلوبة باستخدام IPSec لإعداد البث الأحادي الرئيسي المزدوج.
استكشاف الأخطاء وإصلاحها
لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.
التعليقات