Konfigurieren der ASR1000-Verschlüsselung über OTV Unicast
Inhalt
Einführung
Dieses Dokument beschreibt die grundlegenden Konfigurationssätze, mit denen die Overlay Transport Virtualization (OTV) mit IPSec-Verschlüsselung aufgerufen wird. Für die Verschlüsselung über OTV sind keine zusätzlichen Konfigurationen vom OTV-Ende erforderlich. Sie müssen nur verstehen, wie OTV und IPSEC gleichzeitig existieren.
Um die Verschlüsselung über OTV hinzuzufügen, müssen Sie zusätzlich zur OTV PDU einen ESP-Header (Encapsulating Security Payload) hinzufügen. Für die ASR1000 Edge Devices (ED) kann eine Verschlüsselung auf zwei Arten erfolgen: (i) IPSec (ii) GETVPN.
Voraussetzungen
Anforderungen
Für dieses Dokument bestehen keine speziellen Anforderungen.
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:
- ASR1000 Router für Edge-Geräte (ED)
- Core (ISP Cloud)
- Catalyst 2960 Switches als Access Switch an beiden Standorten
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Hintergrundinformationen
Es wird davon ausgegangen, dass die Benutzer dieses Dokuments über die grundlegenden Funktionen und Konfigurationen von OTV Bescheid wissen.
Sie können auch die folgenden Dokumente für die gleiche Weise befolgen:
Konfigurieren
Netzwerkdiagramm
Konfigurationen
Standort A: ED-Konfigurationen:
Site_A_1#show run |
Site_A_2#show run |
Standort B: ED-Konfigurationen:
Site_B_1#sh run |
Site_B_2#sh run |
Überprüfen
In diesem Abschnitt überprüfen Sie, ob Ihre Konfiguration ordnungsgemäß funktioniert.
- Überprüfen Sie, ob die MAC-Adresse des internen VLAN-Hosts (in diesem Fall die SVI auf den Catalyst-Switches der Serie 2960) in den OTV-Routing-Tabellen erfasst wurde.
- Überprüfen Sie, ob die Verschlüsselungsverschlüsse und die Decap-Dateien für den Overlay (OTV-Datenverkehr)-Datenverkehr ausgeführt werden.
Wenn das OTV nach der Konfiguration der Crypto Map auf der Join-Schnittstelle aktiviert ist, überprüfen Sie den aktiven Forwarder für die lokalen VLANs (in diesem Fall VLAN 100 und 101). Dies zeigt, dass Site_A_1 und Site_B_2 die aktiven Forwarder für die selbst erstellten VLANs sind, da Sie die Datenverkehrsverschlüsselung für Pings testen, die von VLAN 100 auf Site A bis VLAN 100 auf Site B initiiert wurden:
Site_A_1#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_A_1 active Gi0/0/0:SI100
0 101 101 Site_A_2 inactive(NA) Gi0/0/0:SI101
0 200 200 *Site_A_1 active Gi0/0/0:SI200
0 201 201 Site_A_2 inactive(NA) Gi0/0/0:SI201
Total VLAN(s): 4
Site_B_2#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_B_2 active Gi2/2/1:SI100
0 101 101 Site_B_1 inactive(NA) Gi2/2/1:SI101
0 200 200 *Site_B_2 active Gi2/2/1:SI200
0 201 201 Site_B_1 inactive(NA) Gi2/2/1:SI201
Total VLAN(s): 4
Um zu überprüfen, ob die Pakete tatsächlich auf einem der ED-Geräte gekapselt und entkapselt werden, sollten Sie überprüfen, ob die IPSec-Sitzung aktiv ist und ob die Zählerwerte in den Krypto-Sitzungen vorhanden sind, um sicherzustellen, dass die Pakete tatsächlich verschlüsselt und entschlüsselt werden. Um zu überprüfen, ob die IPSec-Sitzung aktiv ist, da sie nur aktiviert wird, wenn ein Datenverkehr durchfließt, überprüfen Sie die Ausgabe von show crypto isakmp sa. Hier werden nur die Ausgänge für die aktiven Forwarder überprüft. Dies sollte jedoch den aktiven Status auf allen EDs anzeigen, damit OTV over Encryption funktioniert.
Site_A_1#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
10.0.0.1 30.0.0.1 QM_IDLE 1008 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
Site_B_2#sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
20.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1006 ACTIVE
Um zu überprüfen, ob die Pakete verschlüsselt und entschlüsselt werden, müssen Sie zunächst wissen, was in den Ausgaben der Anzeige der Verschlüsselungssitzungsdetails zu erwarten ist. Wenn Sie also das ICMP-Echo-Paket vom Sw_A-Switch zum Sw_B initiieren, wird Folgendes erwartet:
- Das ICMP-Echo verlässt den Standort_A_1 ED, der der aktive Forwarder für das VLAN 100 ist, jedoch muss die OTV-Payload gekapselt werden (ICMP-Echo + MPLS + GRE).
- Sobald das ICMP-Echo den Standort_B_2 ED erreicht hat, der der aktive Forwarder für VLAN 100 ist, muss die OTV-Nutzlast entkapselt werden (ICMP Echo + MPLS + GRE).
- Wenn der Standort_B_2 ED die ICMP-Echo-Antwort von Sw_B erhält, muss er die OTV-Payload erneut kapseln (ICMP Echo + MPLS + GRE).
- Sobald die ICMP-Echo-Antwort den Standort_A_1 ED erreicht hat, muss ich erneut die OTV-Payload entkapseln (ICMP-Echo + MPLS + GRE).
Erwarten Sie nach den erfolgreichen Pings von Sw_A nach Sw_B, dass im Abschnitt "Enc" (Verschlüsseln) und "dec" (Dezimalstellen) der Ausgabe von Verschlüsselungssitzungsdetails auf beiden aktiven Weiterleitungs-EDs eine Erhöhung von 5 Zählern angezeigt wird.
Jetzt prüfen Sie das Gleiche über die LEDs:
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3345
Outbound: #pkts enc'ed 10 drop 0 life (KB/Sec) 4607998/3291 <<<< 10 counter before ping
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3343
Inbound: #pkts dec'ed 18 drop 0 life (KB/Sec) 4607997/3289 <<<< 18 counter before ping
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 18 drop 0 life (KB/Sec) 4607997/3295 <<<< 18 counter before ping
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3295
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 10 drop 0 life (KB/Sec) 4607998/3293 <<<< 10 counter before ping
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3293
Sw_A(config)#do ping 192.168.10.1 source vlan 100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.10.2
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/10 ms
Sw_A(config)#
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3339
Outbound: #pkts enc'ed 15 drop 0 life (KB/Sec) 4607997/3284 <<<< 15 counter after ping (After ICMP Echo)
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3338
Inbound: #pkts dec'ed 23 drop 0 life (KB/Sec) 4607997/3283 <<<< 23 counter after ping (After ICMP Echo Reply)
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 23 drop 0 life (KB/Sec) 4607997/3282 <<<< 23 counter after ping (After ICMP Echo Reply)
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3282
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 15 drop 0 life (KB/Sec) 4607997/3281 <<<< 15 counter after ping (After ICMP Echo)
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3281
Dieser Konfigurationsleitfaden kann die erforderlichen Konfigurationsdetails mithilfe von IPSec für die Dual-Homed-Einrichtung des Unicast-Core-Kerns vermitteln.
Fehlerbehebung
Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.
Feedback