Configuración del cifrado ASR1000 a través de unidifusión OTV
Contenido
Introducción
Este documento describe el conjunto básico de configuraciones que se utilizan para activar la Overlay Transport Virtualization (OTV) con cifrado IPSec. El cifrado a través de OTV no requiere ninguna configuración adicional del extremo de OTV. Solo tiene que entender cómo coexisten OTV e IPSEC.
Para agregar cifrado a través de OTV, debe agregar un encabezado de carga de seguridad de encapsulación (ESP) encima de la PDU de OTV. Puede lograr el cifrado en los dispositivos periféricos ASR1000 (ED) de dos formas: i) IPSec ii) GETVPN.
Prerequisites
Requirements
No hay requisitos específicos para este documento.
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Routers ASR1000 para dispositivos periféricos (ED)
- Núcleo (nube ISP)
- Switches Catalyst 2960 como switch de acceso en cualquier sitio
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
Se supone que los usuarios de este documento conocen la funcionalidad básica y las configuraciones de OTV.
También puede seguir estos documentos para el mismo:
Configurar
Diagrama de la red
Configuraciones
Sitio A: Configuraciones ED:
Site_A_1#show run |
Site_A_2#show run |
Sitio B: Configuraciones ED:
Site_B_1#sh run |
Site_B_2#sh run |
Verificación
Utilize esta sección para confirmar que su configuración funcione correctamente.
- Verifique si la dirección MAC del host de VLAN interno (en este caso, la SVI en el switch Catalyst 2960) se ha aprendido en las tablas de ruta OTV.
- Compruebe si las encapsulaciones criptográficas y decap se realizan para el tráfico de superposición (tráfico OTV).
Una vez que el OTV aparece después de configurar el mapa crypto en la interfaz de unión, verifique el reenviador activo para las VLAN locales (en este caso VLAN 100 y 101). Esto muestra que Site_A_1 y Site_B_2 son los reenviadores activos para las VLAN pares, ya que probará el cifrado de tráfico para los pings iniciados desde VLAN 100 en el Sitio A a VLAN 100 en el Sitio B:
Site_A_1#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_A_1 active Gi0/0/0:SI100
0 101 101 Site_A_2 inactive(NA) Gi0/0/0:SI101
0 200 200 *Site_A_1 active Gi0/0/0:SI200
0 201 201 Site_A_2 inactive(NA) Gi0/0/0:SI201
Total VLAN(s): 4
Site_B_2#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_B_2 active Gi2/2/1:SI100
0 101 101 Site_B_1 inactive(NA) Gi2/2/1:SI101
0 200 200 *Site_B_2 active Gi2/2/1:SI200
0 201 201 Site_B_1 inactive(NA) Gi2/2/1:SI201
Total VLAN(s): 4
Para verificar si los paquetes efectivamente se encapsulan y desencapsulan en cualquier ED, debe verificar si la sesión IPSec está activa y los valores de contador en las sesiones crypto para confirmar que los paquetes efectivamente se están cifrando y descifrando. Para verificar si la sesión IPSec está activa, ya que se activa sólo si fluye tráfico, verifique el resultado de show crypto isakmp sa. Aquí, solo se verifican las salidas de los reenviadores activos, pero esto debería mostrar el estado activo en todos los ED para que funcione el cifrado OTV over.
Site_A_1#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
10.0.0.1 30.0.0.1 QM_IDLE 1008 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
Site_B_2#sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
20.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1006 ACTIVE
Ahora, para confirmar si los paquetes se cifran y descifran, primero debe saber qué esperar en los resultados de show crypto session detail. Por lo tanto, cuando inicia el paquete de eco ICMP desde el switch Sw_A hacia el Sw_B, se espera lo siguiente:
- Mientras que el eco ICMP sale del ED Site_A_1 que es el reenviador activo para la VLAN 100, tendrá que encapsular la carga útil de OTV (eco ICMP + MPLS + GRE)
- Luego, una vez que el eco ICMP alcanza el ED Site_B_2 que es el reenviador activo para VLAN 100, tendría que desencapsular la carga útil de OTV (eco ICMP + MPLS + GRE)
- Ahora, una vez que el sitio_B_2 ED recibe la respuesta de eco ICMP de Sw_B, tendría que encapsular nuevamente la carga útil de OTV (eco ICMP + MPLS + GRE)
- Y una vez que la respuesta de eco ICMP llega al ED Site_A_1, tendría que desencapsular nuevamente la carga útil de OTV (eco ICMP + MPLS + GRE)
Después de los pings exitosos de Sw_A a Sw_B, espere ver un incremento de 5 contadores en la sección "enc" y "dec" de la salida de show crypto session detail en ambos LED del reenviador activo.
Ahora, verifique lo mismo de los ED:
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3345
Outbound: #pkts enc'ed 10 drop 0 life (KB/Sec) 4607998/3291 <<<< 10 counter before ping
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3343
Inbound: #pkts dec'ed 18 drop 0 life (KB/Sec) 4607997/3289 <<<< 18 counter before ping
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 18 drop 0 life (KB/Sec) 4607997/3295 <<<< 18 counter before ping
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3295
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 10 drop 0 life (KB/Sec) 4607998/3293 <<<< 10 counter before ping
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3293
Sw_A(config)#do ping 192.168.10.1 source vlan 100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.10.2
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/10 ms
Sw_A(config)#
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3339
Outbound: #pkts enc'ed 15 drop 0 life (KB/Sec) 4607997/3284 <<<< 15 counter after ping (After ICMP Echo)
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3338
Inbound: #pkts dec'ed 23 drop 0 life (KB/Sec) 4607997/3283 <<<< 23 counter after ping (After ICMP Echo Reply)
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 23 drop 0 life (KB/Sec) 4607997/3282 <<<< 23 counter after ping (After ICMP Echo Reply)
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3282
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 15 drop 0 life (KB/Sec) 4607997/3281 <<<< 15 counter after ping (After ICMP Echo)
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3281
Esta guía de configuración puede transmitir los detalles de configuración requeridos con el uso de IPSec para la configuración de doble reposición de núcleo unidifusión.
Troubleshoot
Actualmente, no hay información específica de troubleshooting disponible para esta configuración.
Comentarios