Konfigurieren von sicherem IOS XE-Zugriffstunnel über BGP und ECMP

Einleitung

In diesem Dokument werden die erforderlichen Schritte zur Konfiguration und Fehlerbehebung des IPSec VPN-Tunnels zwischen Cisco Secure Access und Cisco IOS XE mithilfe von BGP und ECMP beschrieben.

---

Netzwerkdiagramm

In diesem Lab-Beispiel zeigt dieses Szenario, dass das Netzwerk 192.168.150.0/24 ein LAN-Segment hinter dem Cisco IOS XE-Gerät aufweist und 192.168.200.0/24 einen vom RAVPN verwendeten IP-Pool für Benutzer hat, die sich mit dem Secure Access-Headend verbinden.

Das Endziel besteht darin, ECMP in VPN-Tunneln zwischen dem Cisco IOS XE-Gerät und dem Secure Access-Headend zu verwenden. Um die Topologie besser zu verstehen, sehen Sie sich das Diagramm an:

---

---

---

Voraussetzungen

Anforderungen

Es wird empfohlen, dass Sie über Kenntnisse in den folgenden Themen verfügen:

• Konfiguration und Verwaltung der Cisco IOS XE CLI
• Grundkenntnisse der IKEv2- und IPSec-Protokolle
• Erstkonfiguration von Cisco IOS XE (IP-Adressierung, SSH, Lizenz)
• Grundlegende Kenntnisse über BGP und ECMP

---

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• C8000V mit 17.9.4a-Softwareversion
• Windows-PC
• Cisco Secure Access-Organisation

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

Netzwerktunnel in Secure Access verfügen über eine Bandbreitenbeschränkung von 1 Gbit/s pro Tunnel. Wenn Ihre Upstream-/Downstream-Internetbandbreite mehr als 1 Gbit/s beträgt und Sie sie vollständig nutzen möchten, müssen Sie mehrere Tunnel mit demselben Rechenzentrum für sicheren Zugriff konfigurieren, indem Sie sie in einer einzigen ECMP-Gruppe gruppieren. 

Wenn Sie mehrere Tunnel mit einer einzigen Netzwerk-Tunnelgruppe (innerhalb eines einzigen sicheren Zugangs-Rechenzentrums) terminieren, bilden diese standardmäßig eine ECMP-Gruppe aus Sicht des Secure Access-Headends. Sobald das Secure Access-Headend Datenverkehr an das standortbasierte VPN-Gerät sendet, erfolgt ein Lastenausgleich zwischen den Tunneln (unter der Voraussetzung, dass korrekte Routen von BGP-Peers empfangen werden).

Um die gleiche Funktionalität mit dem lokalen VPN-Gerät zu erreichen, müssen Sie mehrere VTI-Schnittstellen auf einem einzigen Router konfigurieren und sicherstellen, dass die richtigen Routing-Konfigurationen angewendet werden. In diesem Artikel werden diese Szenarien mit einer Erläuterung der einzelnen Schritte behandelt.

---

Konfigurieren

Konfiguration des sicheren Zugriffs

Es gibt spezielle Konfigurationen, die für den sicheren Zugriff erforderlich sind, um mithilfe des BGP-Protokolls eine ECMP-Gruppe aus mehreren VPN-Tunneln zu bilden.

Konfigurieren Sie die Netzwerk-Tunnelgruppe:

---

1. Neue Netzwerk-Tunnelgruppe erstellen (oder vorhandene bearbeiten):
   
   
   
   
2. Geben Sie die Tunnel-ID und die Passphrase an:
   
   
   
   
3. Konfigurieren Sie die Routing-Optionen, geben Sie das dynamische Routing an, und geben Sie die interne AS-Nummer ein. In diesem Übungsszenario entspricht die ASN 65000:
   
   
   
   
4. Beachten Sie die Tunneldetails aus dem Abschnitt Daten für Tunnel-Setup.

---

Cisco IOS XE-Konfiguration

In diesem Abschnitt wird die CLI-Konfiguration beschrieben, die auf den Cisco IOS XE-Router angewendet werden muss. Zur korrekten Konfiguration der IKEv2-Tunnel, der BGP-Nachbarschaft und des ECMP-Load Balancing über virtuelle Tunnelschnittstellen hinweg

Jeder Abschnitt wird erläutert, und die häufigsten Vorbehalte werden genannt.

---

IKEv2- und IPsec-Parameter

Konfigurieren der IKEv2-Richtlinie und des IKEv2-Angebots. Diese Parameter definieren, welche Algorithmen für IKE SA verwendet werden (Phase 1):

crypto ikev2 proposal sse-proposal
encryption aes-gcm-256
prf sha256
group 19 20

crypto ikev2 policy sse-pol
proposal sse-proposal

Definieren Sie einen IKEv2-Keyring, der die Headend-IP-Adresse und den Pre-Shared Key für die Authentifizierung mit dem SSE-Headend erläutert:

crypto ikev2 keyring sse-keyring
 peer sse
 address 35.179.86.116
 pre-shared-key local <boring_generated_password>
 pre-shared-key remote <boring_generated_password>

Paar IKEv2-Profile konfigurieren

Diese Eigenschaft definiert den zu verwendenden IKE-Identitätstyp, der mit dem Remote-Peer übereinstimmt und von welchem lokalen IKE-Identitäts-Router an den Peer gesendet wird. Die IKE-Identität des SSE-Headend weist den IP-Adresstyp auf und entspricht der öffentlichen IP des SSE-Headend.

Wie im Übungsszenario beschrieben, wurde die Tunnel-ID wie folgt definiert: cat8k-dmz. In einem normalen Szenario konfigurieren Sie den Router so, dass die lokale IKE-Identität wie folgt gesendet wird: cat8k-dmz@8195165-622405748-sse.cisco.com.

Um jedoch mehrere Tunnel mit derselben Netzwerk-Tunnelgruppe einzurichten, müssen die lokalen IKE-IDs verwendet werden: cat8k-dmz+tunnel1@8195165-622405748-sse.cisco.com und cat8k-dmz+tunnel2@8195165-622405748-sse.cisco.com.

Das Suffix, das jeder Zeichenfolge hinzugefügt wird: (tunnel1 und tunnel2).

crypto ikev2 profile sse-ikev2-profile-tunnel1
 match identity remote address 35.179.86.116 255.255.255.255
 identity local email cat8k-dmz+tunnel1@8195165-622405748-sse.cisco.com
 authentication remote pre-share
 authentication local pre-share
 keyring local sse-keyring
 dpd 10 2 periodic

crypto ikev2 profile sse-ikev2-profile-tunnel2
 match identity remote address 35.179.86.116 255.255.255.255
 identity local email cat8k-dmz+tunnel2@8195165-622405748-sse.cisco.com
 authentication remote pre-share
 authentication local pre-share
 keyring local sse-keyring
 dpd 10 2 periodic

---

Konfigurieren Sie den IPSec-Transformationssatz. Diese Einstellung definiert Algorithmen, die für die IPsec-Sicherheitszuordnung (Phase 2) verwendet werden:

crypto ipsec transform-set sse-transform esp-gcm 256
mode tunnel

---

Konfigurieren Sie IPSec-Profile, die IKEv2-Profile mit Transformationssätzen verknüpfen:

crypto ipsec profile sse-ipsec-profile-1
set transform-set sse-transform 
set ikev2-profile sse-ikev2-profile-tunnel1

crypto ipsec profile sse-ipsec-profile-2
set transform-set sse-transform
set ikev2-profile sse-ikev2-profile-tunnel2

---

Virtuelle Tunnelschnittstellen

In diesem Abschnitt werden Konfigurationen von virtuellen Tunnelschnittstellen und Loopback-Schnittstellen behandelt, die als Tunnelquellen verwendet werden. Im zuvor erörterten Übungsszenario müssen Sie zwei VTI-Schnittstellen mit einem Peer unter Verwendung derselben öffentlichen IP-Adresse einrichten. Außerdem verfügt das Cisco IOS XE-Gerät nur über eine GigabitEthernet1-Ausgangsschnittstelle. Die Cisco IOS XE unterstützt keine Konfigurationen von mehr als einem VTI mit derselben Tunnelquelle und demselben Tunnelziel.

---

Um diese Einschränkung zu umgehen, können Sie die Loopback-Schnittstellen verwenden und sie als Tunnelquelle im jeweiligen VTI definieren.

Es gibt einige Optionen, um eine IP-Verbindung zwischen Loopback und einer öffentlichen SSE-IP-Adresse herzustellen:

1. Weisen Sie einer Loopback-Schnittstelle eine öffentlich routbare IP-Adresse zu (erfordert den Besitz eines öffentlichen IP-Adressbereichs).
2. Zuweisung einer privaten IP-Adresse zu einer Loopback-Schnittstelle und dynamische NAT des Datenverkehrs mit einer Loopback-IP-Quelle.
3. Verwenden Sie die VASI-Schnittstelle (wird auf vielen Plattformen nicht unterstützt, aufwändige Einrichtung und Fehlerbehebung).

---

In diesem Szenario wird in den nächsten Schritten die zweite Option erläutert.

Konfigurieren Sie zwei Loopback-Schnittstellen, und fügen Sie jeweils den Befehl "ip nat inside" hinzu.

interface Loopback1
ip address 10.1.1.38 255.255.255.255
ip nat inside
end

interface Loopback2
ip address 10.1.1.70 255.255.255.255
ip nat inside
end

---

Definieren Sie die dynamische NAT-Zugriffskontrollliste und die NAT-Overload-Anweisung:

ip access-list extended NAT
10 permit ip 10.1.1.0 0.0.0.255 any

ip nat inside source list NAT interface GigabitEthernet1 overload

---

Konfigurieren Sie die virtuellen Tunnelschnittstellen:

interface Tunnel1
ip address 169.254.0.10 255.255.255.252
tunnel source Loopback1
tunnel mode ipsec ipv4
tunnel destination 35.179.86.116
tunnel protection ipsec profile sse-ipsec-profile-1
end

!
interface Tunnel2
ip address 169.254.0.14 255.255.255.252
tunnel source Loopback2
tunnel mode ipsec ipv4
tunnel destination 35.179.86.116
tunnel protection ipsec profile sse-ipsec-profile-2
end

---

BGP-Routing

In diesem Abschnitt werden die Konfigurationsschritte zum Einrichten einer BGP-Nachbarschaft mit dem SSE-Headend beschrieben. Der BGP-Prozess auf dem SSE-Headend hört alle IP-Adressen des Subnetzes 169 ab.254.0.0/24. Um BGP-Peering über beide VTIs einzurichten, müssen zwei Nachbarn definiert werden:" 169.254.0.9 (Tunnel1) und 169.254.0.13 (Tunnel2). Außerdem müssen Sie den im SSE-Dashboard angezeigten Remote AS-Wert angeben.

---

Ab November 2025 müssen alle neu erstellten Organisationen für sicheren Zugriff standardmäßig den öffentlichen ASN 3264 für BGP-Peering in Netzwerk-Tunnelgruppen verwenden. Bestehende Organisationen, die vor November 2025 gegründet wurden, können weiterhin das private ASN 64512 verwenden, das zuvor für BGP-Peers mit sicherem Zugriff reserviert war.

router bgp 65000
bgp log-neighbor-changes
neighbor 169.254.0.9 remote-as 32644
neighbor 169.254.0.9 ebgp-multihop 255
neighbor 169.254.0.13 remote-as 32644
neighbor 169.254.0.13 ebgp-multihop 255
!
address-family ipv4
network 192.168.150.0
neighbor 169.254.0.9 activate
neighbor 169.254.0.13 activate
maximum-paths 2

---

Überprüfung

Dashboard für sicheren Zugriff

Im SSE-Dashboard müssen zwei primäre Tunnel angezeigt werden:

---

Cisco IOS XE-Router

Stellen Sie sicher, dass beide Tunnel auf der Cisco IOS XE-Seite den Status "BEREIT" aufweisen:

wbrzyszc-cat8k#show crypto ikev2 sa
IPv4 Crypto IKEv2 SA

Tunnel-id Local          Remote             fvrf/ivrf Status
1         10.1.1.70/4500 35.179.86.116/4500 none/none READY
    Encr: AES-GCM, keysize: 256, PRF: SHA256, Hash: None, DH Grp:20, Auth sign: PSK, Auth verify: PSK
    Life/Active Time: 86400/255 sec
    CE id: 0, Session-id: 6097
    Local spi: A15E8ACF919656C5 Remote spi: 644CFD102AAF270A

Tunnel-id Local          Remote             fvrf/ivrf Status
6         10.1.1.38/4500 35.179.86.116/4500 none/none READY
    Encr: AES-GCM, keysize: 256, PRF: SHA256, Hash: None, DH Grp:20, Auth sign: PSK, Auth verify: PSK
    Life/Active Time: 86400/11203 sec
    CE id: 0, Session-id: 6096
    Local spi: E18CBEE82674E780 Remote spi: 39239A7D09D5B972

---

Überprüfen Sie, ob die BGP-Nachbarschaft mit beiden Peers verfügbar ist:

wbrzyszc-cat8k#show ip bgp summary
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
169.254.0.9 4 32644 17281 18846 160 0 0 5d23h 15
169.254.0.13 4 32644 17281 18845 160 0 0 5d23h 15

---

Überprüfen Sie, ob der Router die richtigen Routen vom BGP erhält (und in der Routing-Tabelle sind mindestens zwei weitere Hops installiert):

wbrzyszc-cat8k#show ip route 192.168.200.0
Routing entry for 192.168.200.0/25, 2 known subnets
B 192.168.200.0 [20/0] via 169.254.0.13, 5d23h
                [20/0] via 169.254.0.9, 5d23h
B 192.168.200.128 [20/0] via 169.254.0.13, 5d23h
                  [20/0] via 169.254.0.9, 5d23h

wbrzyszc-cat8k#show ip cef 192.168.200.0
192.168.200.0/25
    nexthop 169.254.0.9 Tunnel1
    nexthop 169.254.0.13 Tunnel2

---

Initiieren Sie Datenverkehr, und stellen Sie sicher, dass beide Tunnel genutzt werden. Die Anzahl der Encaps und Decaps steigt für beide:

wbrzyszc-cat8k#show crypto ipsec sa | i peer|caps

current_peer 35.179.86.116 port 4500
#pkts encaps: 1881087, #pkts encrypt: 1881087, #pkts digest: 1881087
#pkts decaps: 1434171, #pkts decrypt: 1434171, #pkts verify: 1434171

current_peer 35.179.86.116 port 4500
#pkts encaps: 53602, #pkts encrypt: 53602, #pkts digest: 53602
#pkts decaps: 208986, #pkts decrypt: 208986, #pkts verify: 208986

---

Optional können Sie die Paketerfassung an beiden VTI-Schnittstellen erfassen, um ein Load Balancing des Datenverkehrs zwischen VTIs sicherzustellen. Informationen zur Konfiguration von Embedded Packet on Software auf Cisco IOS XE-Geräten finden Sie im Leitfaden Configure and Capture Embedded Packet on Software. In diesem Beispiel sendete der Host hinter dem Cisco IOS XE-Router mit der Quell-IP 192.168.150.1 ICMP-Anfragen vom 192.168.200.0/24-Subnetz an mehrere IPs. Wie Sie sehen, wird die Last der ICMP-Anforderungen gleichmäßig auf die Tunnel verteilt.

wbrzyszc-cat8k#show monitor capture Tunnel1 buffer brief
----------------------------------------------------------------------------
#   size   timestamp     source     destination      dscp    protocol
----------------------------------------------------------------------------
   0  114    0.000000   192.168.150.1    ->  192.168.200.2    0  BE   ICMP
   1  114    0.000000   192.168.150.1    ->  192.168.200.2    0  BE   ICMP
  10  114   26.564033   192.168.150.1    ->  192.168.200.5    0  BE   ICMP
  11  114   26.564033   192.168.150.1    ->  192.168.200.5    0  BE   ICMP

wbrzyszc-cat8k#show monitor capture Tunnel2 buffer brief
----------------------------------------------------------------------------
#   size   timestamp     source     destination      dscp    protocol
----------------------------------------------------------------------------
   0  114    0.000000   192.168.150.1    ->  192.168.200.1    0  BE   ICMP
   1  114    2.000000   192.168.150.1    ->  192.168.200.1    0  BE   ICMP
  10  114   38.191000   192.168.150.1    ->  192.168.200.3    0  BE   ICMP
  11  114   38.191000   192.168.150.1    ->  192.168.200.3    0  BE   ICMP

---

Zugehörige Informationen

• Benutzerhandbuch zu Secure Access
• Sammeln von eingebetteter Paketerfassung
• Technischer Support und Dokumentation für Cisco Systeme

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
3.0	10-Jul-2026	Aktualisierte Informationen zu Titel, Einführung, Rechtschreibung, Grammatik, Satzstruktur, Abstand, Alternativtext und CCW-Warnmeldungen.
1.0	21-Oct-2024	Erstveröffentlichung