Accès Internet à partir d'un VPN MPLS à l'aide d'une table de routage globale

Introduction

L'objectif de ce document est d'expliquer la configuration des échantillons utilisés pour accéder à l'Internet à partir d'un VPN basé sur la Commutation multiprotocole par étiquette (MPLS), au moyen d'une table de routage globale.

Dans certains scénarios de réseau, il est nécessaire d'accéder à Internet à partir d'un VPN MPLS, en plus de maintenir la connectivité VPN entre les sites d'entreprise. Cet exemple de configuration se concentre sur la fourniture d'un accès Internet à partir du routage et du transfert VPN (VRF) qui contient la route par défaut vers le routeur IGW (Internet Gateway Router).

Conditions préalables

Conditions requises

Une compréhension de base du transfert MPLS et VPN MPLS est requise pour comprendre pleinement le contenu de ce document.

Components Used

Les informations dans ce document sont basées sur les versions de logiciel et de matériel ci-dessous.

• Logiciel Cisco IOS^® Version 12.1(3)T. La version 12.0(5)T inclut la fonctionnalité VPN MPLS

• Tout routeur Cisco de la gamme 3600 ou ultérieure, tel que le Cisco 3660 ou le Cisco 7206

Les informations présentées dans ce document ont été créées à partir de périphériques dans un environnement de laboratoire spécifique. All of the devices used in this document started with a cleared (default) configuration. Si vous travaillez dans un réseau opérationnel, assurez-vous de bien comprendre l'impact potentiel de toute commande avant de l'utiliser.

Théorie générale

Dans cet exemple de configuration, ces stratégies étaient en place :

• Un routeur connecté à Internet est connecté au réseau MPLS. Il peut ou non injecter des routes BGP (Border Gateway Protocol) dans la table de routage globale.

  Remarque : les routeurs PE comprennent le protocole BGP. Les routeurs tels que le routeur de commutation gigabit (GSR) (qui fonctionne comme routeur principal du fournisseur) n'exécutent pas du tout le protocole BGP.

• Il n'est pas nécessaire qu'un VRF dispose d'une table de routage complète à partir d'Internet (table BGP globale), de sorte qu'une route statique par défaut est placée dans un VRF pointant vers l'adresse de tronçon suivant globale de l'IGW.

• Un client VPN utilise une plage d'adresses unique enregistrée qui est routable dans la table de routage Internet globale. La méthode d'accès décrite dans ce document n'est pas recommandée lorsque les clients ont uniquement des adresses privées dans leur réseau.

Conventions

Ces acronymes sont utilisés dans ce document :

• CE - Routeur de périphérie client

• PE - Routeur de périphérie du fournisseur

• P - Routeur principal du fournisseur

Pour plus d'informations sur les conventions des documents, référez-vous aux Conventions utilisées pour les conseils techniques de Cisco.

Configuration

• Vous pouvez consulter le diagramme de réseau pour obtenir une illustration de cette configuration. Dans cet exemple, CE 1 et CE 2 se trouvent dans le même VPN. Ils sont configurés sous le VRF du client1, car il n'est pas nécessaire qu'un VRF dispose d'une table de routage complète à partir d'Internet (conformément aux stratégies de la section Théorie d'arrière-plan de ce document).

• Une route statique par défaut est configurée dans le VRF client1 sur CE 1 pointant vers l'IGW. En plaçant une route statique par défaut dans le VRF client1, les paquets qui ne correspondent à aucune des routes contenues dans le VRF client1 seront envoyés à l'IGW.

Remarque : Étant donné que la passerelle Internet au prochain saut 192.168.67.1 ne fait pas partie du VRF du client1, une route par défaut est configurée sous le VRF du client1 pointant vers l'interface de passerelle Internet s8/0 IP 192.168.67.1. La route vers 192.168.67.1 ne se trouve pas dans le VRF de client1. Vous devez donc disposer d'un mot clé global dans le routage statique par défaut configuré dans le VRF de client1. Le mot clé global spécifie que l’adresse de tronçon suivant de la route statique est résolue dans la table de routage globale, et non dans le VRF du client1.

Voici un exemple de route statique.

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

Le fait d’avoir une route statique avec un mot clé global dans le VRF client1 garantit que tous les paquets destinés à Internet sont acheminés vers la passerelle Internet, puis vers Internet.

Remarque : La route par défaut dans PE 1 est configurée pour pointer vers l'adresse IP de l'interface série de la passerelle Internet (192.168.67.1) et non vers l'adresse de bouclage (10.1.1.6). Cela évite de bloquer les routes en cas de panne de connectivité entre la passerelle Internet et Internet (R7). Si la route par défaut est pointée vers l'adresse de bouclage de la passerelle Internet et que la connectivité entre la passerelle Internet R7 est interrompue, tous les paquets continueront à se diriger vers la passerelle Internet. Cela se produit parce que l’adresse de bouclage reste active (contrairement à 192.168.67.1 qui est retirée de la table de routage globale lorsque l’interface s8/0 tombe en panne) et que la route par défaut continue d’exister dans la table de routage.

L'étape suivante consiste à s'assurer que les paquets revenant d'Internet au réseau CE 1 de destination 11.11.11.0/24 sont acheminés de la passerelle Internet vers PE 1 et vers CE 1 via le coeur MPLS. Pour ce faire, vous devez configurer une route statique pour le réseau CE 1 pointant vers l’interface Serial 8/0 dans la table de routage globale de PE 1. Redistribuez-le dans le protocole OSPF (Open Shortest Path First) afin que la passerelle Internet dispose de cette route dans sa table de routage globale. Cela permet à la passerelle Internet d’acheminer tous les paquets provenant d’Internet vers PE 1 et vers la destination finale au-delà de CE 1.

L'exemple suivant est la commande ip route utilisée dans la configuration de PE 1.

ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1

Remarque : La route statique ci-dessus configurée dans la table de routage globale s'ajoute à la route statique configurée dans le VRF client1, qui est utilisée pour les informations d'accessibilité de la couche réseau VPN (NLRI). Sur PE 1, il est configuré comme indiqué ci-dessous.

ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1

Remarque : Pour en savoir plus sur les commandes utilisées dans le présent document, utilisez l’outil de recherche de commandes (clients inscrits seulement).

Diagramme du réseau

Ce document utilise la configuration réseau indiquée dans le diagramme suivant :

Configurations

Ce document utilise les configurations présentées ci-dessous.

• CE 1

• PE 1

• P

• IGW

• PE 2

• CE 2

version 12.2
!
hostname CE-1
!
ip subnet-zero
!
interface Loopback0
 ip address 10.1.1.1 255.255.255.255
!
interface Loopback2
 ip address 11.11.11.1 255.255.255.0
!
interface Serial8/0
 ip address 192.168.10.1 255.255.255.252 

 !--- The interface is connected to PE 1.

 !
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.10.2

!--- This is the default route to route all packets to PE 1.

!

version 12.2
!
hostname PE-1
!
ip subnet-zero
!
ip vrf customer1

!--- This configured VRF customer1.
 
 rd 100:1

!--- This configured the route distiguisher for VRF.
 
 route-target export 1:1
 route-target import 1:1

!--- This configured the export and import policies into VRF.
 
!
ip cef

!--- This enabled Cisco Express Forwarding (CEF) switching.

!
interface Loopback0
 ip address 10.1.1.2 255.255.255.255
!       
interface Ethernet0/0

!--- It is connected to P router.

 ip address 10.10.23.2 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.
 
!
interface Serial8/0
! Connected to CE-1
 ip vrf forwarding customer1

!--- Route forwarding based on customer1 VRF is enabled.
 
 ip address 192.168.10.2 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 redistribute static subnets
 network 0.0.0.0 255.255.255.255 area 0
!
router bgp 100
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.1.1.4 remote-as 100

!--- Neighbor relationship with PE 2 is established.

 neighbor 10.1.1.4 update-source Loopback0
 neighbor 10.1.1.4 next-hop-self
 no auto-summary
!
 address-family ipv4 vrf customer1

!--- The address-family configuration mode specifies IPv4 unicast !---address prefixes for customer1 VRF.

 no auto-summary
 no synchronization
 network 11.11.11.0 mask 255.255.255.0

!--- CE 1 network 11.11.11.0/24 to PE 2 is announced.

network 192.168.10.0 mask 255.255.255.252
 exit-address-family
!
address-family vpnv4

!--- This is the address-family VPNV4 configuration mode for !--- configuring BGP sessions.

 neighbor 10.1.1.4 activate
 neighbor 10.1.1.4 send-community extended
 no auto-summary
 exit-address-family
!
ip classless
ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1

!--- The static route in the global routing table is pointing to !--- the interface connected to CE 1.

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

!--- The static default route under customer1 VRF, routing packets !--- outside of VPN to the Internet gateway.

! routes
ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1

!--- The static route for network 11.11.11.0/24 (CE-1 Network) under !---customer1 VRF ensures the reachability of CE 1 network from the !--- other VPN sites.

version 12.2
!
hostname P
!
ip subnet-zero
!
ip cef

!--- CEF switching is enabled.

!
interface Loopback0
 ip address 10.1.1.3 255.255.255.255
!
interface Ethernet0/0

!--- This is connected to PE 1.

 ip address 10.10.23.3 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.

!
interface Ethernet1/0

!--- This is connected to PE 2.

 ip address 10.10.34.3 255.255.255.0
 tag-switching ip
!
interface Ethernet2/0

!--- This is connected to the Internet gateway.

 ip address 10.10.36.3 255.255.255.0
 tag-switching ip
!
router ospf 1 
 log-adjacency-changes 
network 0.0.0.0 255.255.255.255 area 0

version 12.2
!
hostname IGW
!
ip subnet-zero
!
ip cef

!--- This enabled CEF switching.

!
interface Loopback0
 ip address 10.1.1.6 255.255.255.255
!
interface Ethernet2/0

!--- This is connected to P router.

 ip address 10.10.36.6 255.255.255.0
tag-switching ip
!
interface Serial8/0

!--- This is connected to Internet R7.

 ip address 192.168.67.1 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 network 0.0.0.0 255.255.255.255 area 0
 !
 router bgp 100
 no synchronization
 bgp log-neighbor-changes
 network 11.11.11.0 mask 255.255.255.0
 network 22.22.22.0 mask 255.255.255.0
 neighbor 192.168.67.2 remote-as 200
 no auto-summary

version 12.2
!
hostname PE-2
!
ip subnet-zero
!
ip vrf customer1

!--- Customer1 VRF is configured.

 rd 100:1 

!--- Route Distinguisher for VRF is configured.
 
 route-target export 1:1 
 route-target import 1:1 

!--- This configured the import and export policies for customer1 !--- VRF.

!
ip cef 

!--- This enabled CEF switching.
 
! 
interface Loopback0 
 ip address 10.1.1.4 255.255.255.255
interface Ethernet1/0

!--- Connected to P router.

 ip address 10.10.34.4 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.

!
interface Serial9/0

!--- Connected to CE 2 router.

ip vrf forwarding customer1

!--- This enables VRF forwarding on the interface.

 ip address 192.168.20.1 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 redistribute static subnets
 network 0.0.0.0 255.255.255.255 area 0
!
router bgp 100
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.1.1.2 remote-as 100
 neighbor 10.1.1.2 update-source Loopback0
 neighbor 10.1.1.2 next-hop-self 
no auto-summary 
!
 address-family ipv4 vrf customer1

!--- This is the address-family IPv4 configuration of customer1 VRF.

 no auto-summary
 no synchronization
 network 22.22.22.0 mask 255.255.255.0

!--- This announces the CE 2 network to PE 1.

 exit-address-family
!
 address-family vpnv4

!--- This is the address-family VPNV4 configuration for BGP Sessions !--- with PE 1.

 neighbor 10.1.1.2 activate
 neighbor 10.1.1.2 send-community extended
 no auto-summary
 exit-address-family
!
ip classless
ip route 22.22.22.0 255.255.255.0 Serial9/0 192.168.20.2

!--- This is the static route for network 22.22.22.0/24 in the global !--- routing table pointing to the interface connected to CE 2.

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

!--- This is the static default route for customer VRF !--- for destinations outside the VPN.

ip route vrf customer1 22.22.22.0 255.255.255.0 192.168.20.2 

!--- This is the static route within customer1 VRF for CE 2 !--- network for VPN connectivity.

version 12.2
!
hostname CE-2
!
ip subnet-zero
!
interface Loopback0
 ip address 22.22.22.22 255.255.255.0
!
interface Serial9/0

!--- This is connected to PE 2.

 ip address 192.168.20.2 255.255.255.252
!
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.20.1

!--- This is the default route pointing to PE 2.

Vérification

Cette section présente des informations que vous pouvez utiliser pour vous assurer que votre configuration fonctionne correctement.

Connectivité VPN entre CE 1 et CE 2

Pour vérifier la connectivité VPN entre CE 1 et CE 2, CE 1 doit être en mesure d'atteindre le réseau 22.22.22.0/24 de CE 2 et l'inverse. Pour vérifier cela, vérifiez la route vers le réseau 22.22.22.0/24 dans le VRF du client 1 à PE 1.

Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.

1. La commande show ip route vrf customer1 confirme la route vers le réseau 22.22.22.0/24 apprise à partir de 10.1.1.4 (adresse de bouclage de PE 2) indiquée dans le résultat ci-dessous.

   PE-1# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
   192.168.10.0/30 is subnetted, 1 subnets
   C       192.168.10.0 is directly connected, Serial8/0
          22.0.0.0/24 is subnetted, 1 subnets
   B       22.22.22.0 [200/0] via 10.1.1.4, 01:00:50
          11.0.0.0/24 is subnetted, 1 subnets
   S      11.11.11.0 [1/0] via 192.168.10.1
   S*   0.0.0.0/0 [1/0] via 192.168.67.1

2. De la même manière, à PE 2, la route vers le réseau 11.11.11.0/24 dans le VRF du client1 est présentée dans l'exemple ci-dessous.

   PE-2# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route 
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
   192.168.10.0/30 is subnetted, 1 subnets
   B       192.168.10.0 [200/0] via 10.1.1.2, 01:00:09
        22.0.0.0/24 is subnetted, 1 subnets
   S       22.22.22.0 [1/0] via 192.168.20.2
        192.168.20.0/30 is subnetted, 1 subnets
   C       192.168.20.0 is directly connected, Serial9/0
        11.0.0.0/24 is subnetted, 1 subnets
   B       11.11.11.0 [200/0] via 10.1.1.2, 01:00:09
   S*   0.0.0.0/0 [1/0] via 192.168.67.1

3. Vérifiez maintenant la connectivité entre CE 1 et CE 2 en envoyant une requête ping à un hôte 22.22.22.2 sur CE 2 à l’aide de l’adresse IP source 11.11.11.1 à partir de CE 1.

   CE-1# ping
   Protocol [ip]:
   Target IP address: 22.22.22.22
   Repeat count [5]:
   Datagram size [100]:
   Timeout in seconds [2]:
   Extended commands [n]: y
   Source address or interface: 11.11.11.1
   Type of service [0]:
   Set DF bit in IP header? [no]:
   Validate reply data? [no]:
   Data pattern [0xABCD]:
   Loose, Strict, Record, Timestamp, Verbose[none]:
   Sweep range of sizes [n]:
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 22.22.22.22, timeout is 2 seconds:
   !!!!!
   
   Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms

Connectivité à Internet depuis CE 1

Suivez les étapes ci-dessous pour vérifier la connectivité à Internet à partir de CE1.

1. Tous les paquets destinés à Internet ou au réseau privé virtuel à partir de CE 1 vont se router en utilisant une route par défaut configurée dans CE 1 pointant vers PE 1, comme indiqué ci-dessous.

   CE-1# show ip route 0.0.0.0
   Routing entry for 0.0.0.0/0, supernet
     Known via "static", distance 1, metric 0, candidate default path
     Routing Descriptor Blocks:
     * 192.168.10.2
   Route metric is 0, traffic share count is 1

2. Les paquets entrant dans l’interface PE 1 s8/0 sont routés à l’aide de la table de routage VRF du client 1. PE 1 dispose d’une route par défaut dans le VRF du client1 pointant vers l’adresse IP IGW 192.168.67.1, comme indiqué ci-dessous dans le résultat de la commande show ip route vrf customer1 sur PE 1.

   PE-1# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
        192.168.10.0/30 is subnetted, 1 subnets
   C       192.168.10.0 is directly connected, Serial8/0
        22.0.0.0/24 is subnetted, 1 subnets
   B       22.22.22.0 [200/0] via 10.1.1.4, 01:21:11
        11.0.0.0/24 is subnetted, 1 subnets
   S       11.11.11.0 [1/0] via 192.168.10.1
   S*   0.0.0.0/0 [1/0] via 192.168.67.1
   

3. Comme la route par défaut sur PE 1 est configurée avec un mot clé global, elle recherche le prochain saut 192.168.67.1 dans sa table de routage globale et les routes vers IGW, comme indiqué ci-dessous.

   PE-1# show ip route 192.168.67.1
   Routing entry for 192.168.67.0/30
     Known via "ospf 1", distance 110, metric 84, type intra area
     Last update from 10.10.23.3 on Ethernet0/0, 00:21:54 ago
     Routing Descriptor Blocks:
     * 10.10.23.3, from 10.1.1.6, 00:21:54 ago, via Ethernet0/0
    Route metric is 84, traffic share count is 1

4. Les paquets atteignant IGW sont acheminés vers Internet en fonction des routes BGP qu'il a apprises de R7. Dans ce cas, vous pouvez examiner la route BGP apprise de R7 pour démontrer la connectivité à Internet. Vous trouverez ci-dessous la route BGP (réseau 99.99.99.0/24) apprise de R7 dans la table de routage IGW.

   IGW# show ip route 99.99.99.0
   Routing entry for 99.99.99.0/24
     Known via "bgp 100", distance 20, metric 0
     Tag 200, type external
     Last update from 192.168.67.2 01:37:25 ago
     Routing Descriptor Blocks:
     * 192.168.67.2, from 192.168.67.2, 01:37:25 ago
         Route metric is 0, traffic share count is 1
         AS Hops 1

   Les paquets provenant de CE-1 sont acheminés vers Internet.

5. Pour les paquets revenant d'Internet et destinés au réseau CE 11.11.11.0/24, IGW doit avoir une route pointant vers PE 1 dans sa table de routage globale. Une route statique dans la table de routage globale de PE 1 pointant vers l'interface s8/0 sur PE 1 connectée à CE 1 et redistribuée dans OSPF est configurée. Cela garantit que l’IGW a une route dans sa table de routage globale pointant vers PE 1. La route statique sur PE 1 et la route apprise OSPF sur IGW sont présentées ci-dessous.

   IGW# show ip route 11.11.11.0
   Routing entry for 11.11.11.0/24
     Known via "ospf 1", distance 110, metric 20, type extern 2, forward metric 20
     Last update from 10.10.36.3 on Ethernet2/0, 00:34:34 ago
     Routing Descriptor Blocks:
     * 10.10.36.3, from 10.1.1.2, 00:34:34 ago, via Ethernet2/0
         Route metric is 20, traffic share count is 1
   
   PE-1# show ip route 11.11.11.0
   Routing entry for 11.11.11.0/24
     Known via "static", distance 1, metric 0
     Redistributing via ospf 1
     Advertised by ospf 1 subnets
     Routing Descriptor Blocks:
     * 192.168.10.1, via Serial8/0
         Route metric is 0, traffic share count is 1

6. Vérifiez maintenant la connectivité à Internet à partir de CE 1 en envoyant une requête ping à l’adresse IP 99.99.99.1 de R7 avec l’adresse source CE 1 11.11.11.1.

   CE-1# ping
   Protocol [ip]:
   Target IP address: 99.99.99.1
   Repeat count [5]:
   Datagram size [100]:
   Timeout in seconds [2]:
   Extended commands [n]: y
   Source address or interface: 11.11.11.1
   Type of service [0]:
   Set DF bit in IP header? [no]:
   Validate reply data? [no]:
   Data pattern [0xABCD]:
   Loose, Strict, Record, Timestamp, Verbose[none]:
   Sweep range of sizes [n]:
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 99.99.99.1, timeout is 2 seconds:
   !!!!!
   Success rate is 100 percent (5/5), round-trip min/avg/max = 20/24/32 ms
   CE-1#

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

• Configuration d'un VPN MPLS de base
• Configuration d'un VPN MPLS de base à l'aide du protocole OSPF
• Comment dépanner le VPN MPLS
• Résolution des problèmes de commutation multiprotocole par étiquette (MPLS)
• MPLS FAQ For Beginners
• Page de support MPLS (Multiprotocol Label Switching)
• Page de support MPLS pour VPN (Multiprotocol Label Switching for VPN)
• Support technique - Cisco Systems