OTVユニキャスト上でのASR1000暗号化の設定
概要
このドキュメントでは、IPSec暗号化を使用してOverlay Transport Virtualization(OTV)を起動するために使用される基本設定について説明します。OTV経由の暗号化では、OTV側からの追加設定は必要ありません。OTVとIPSECの共存の仕組みを理解するだけで十分です。
OTVで暗号化を追加するには、OTV PDUの上にEncapsulating Security Payload(ESP)ヘッダーを追加する必要があります。ASR1000エッジデバイス(ED)で暗号化を実現するには、(i) IPSec(ii) GETVPNの2つの方法があります。
前提条件
要件
このドキュメントに特有の要件はありません。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。
- エッジデバイス(ED)用ASR1000ルータ
- コア（ISPクラウド）
- いずれかのサイトでアクセススイッチとして機能するCatalyst 2960スイッチ
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
OTVの基本的な機能と設定は、このドキュメントのユーザに知られているものと想定されています。
同じ手順で、次のドキュメントに従うこともできます。
設定
ネットワーク図
設定
サイトA:EDの設定：
Site_A_1#show run |
Site_A_2#show run |
サイトB:ED構成：
Site_B_1#sh run |
Site_B_2#sh run |
確認
ここでは、設定が正常に機能しているかどうかを確認します。
- 内部VLANホスト（この場合は2960 CatalystスイッチのSVI）のMACアドレスがOTVルートテーブルで学習されているかどうかを確認します。
- 暗号化のカプセル化およびカプセル化解除がオーバーレイ（OTVトラフィック）トラフィックに対して実行されるかどうかを確認します。
Joinインターフェイスでクリプトマップを設定した後、OTVが起動したら、ローカルVLAN（この場合はVLAN 100および101）のアクティブフォワーダを確認します。 これは、サイトAのVLAN 100からサイトBのVLAN 100に対して開始されたpingのトラフィック暗号化をテストするため、Site_A_1とSite_B_2が偶数VLANのアクティブフォワーダであることを示しています。
Site_A_1#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_A_1 active Gi0/0/0:SI100
0 101 101 Site_A_2 inactive(NA) Gi0/0/0:SI101
0 200 200 *Site_A_1 active Gi0/0/0:SI200
0 201 201 Site_A_2 inactive(NA) Gi0/0/0:SI201
Total VLAN(s): 4
Site_B_2#show otv vlan
Key: SI - Service Instance, NA - Non AED, NFC - Not Forward Capable.
Overlay 99 VLAN Configuration Information
Inst VLAN BD Auth ED State Site If(s)
0 100 100 *Site_B_2 active Gi2/2/1:SI100
0 101 101 Site_B_1 inactive(NA) Gi2/2/1:SI101
0 200 200 *Site_B_2 active Gi2/2/1:SI200
0 201 201 Site_B_1 inactive(NA) Gi2/2/1:SI201
Total VLAN(s): 4
いずれかのEDでパケットが実際にカプセル化およびカプセル化解除されているかどうかを確認するには、IPSecセッションがアクティブかどうか、および暗号化セッションのカウンタ値を確認して、パケットが実際に暗号化および復号化されているかどうかを確認します。IPSecセッションがアクティブかどうかを確認するには、いずれかのトラフィックが通過した場合にのみアクティブになるため、show crypto isakmp saの出力を確認します。ここでは、アクティブフォワーダの出力だけがチェックされますが、OTV over Encryptionが機能するためにすべてのEDのアクティブステータスが表示されるはずです。
Site_A_1#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
10.0.0.1 30.0.0.1 QM_IDLE 1008 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
Site_B_2#sh crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
20.0.0.1 40.0.0.1 QM_IDLE 1007 ACTIVE
10.0.0.1 40.0.0.1 QM_IDLE 1006 ACTIVE
ここで、パケットが暗号化され、復号化されているかどうかを確認するには、まずshow crypto session detailの出力の内容を把握する必要があります。そのため、Sw_AスイッチからSw_Bに向けてICMPエコーパケットを開始すると、次のことが予想されます。
- ICMPエコーは、VLAN 100のアクティブフォワーダであるSite_A_1 EDから送信されますが、OTVペイロード（ICMPエコー+ MPLS + GRE）をカプセル化する必要があります
- 次に、ICMPエコーがVLAN 100のアクティブフォワーダであるSite_B_2 EDに到達すると、OTVペイロード（ICMPエコー+ MPLS + GRE）をカプセル化解除する必要があります
- ここで、Site_B_2 EDがSw_BからICMPエコー応答を受信したら、OTVペイロード（ICMPエコー+ MPLS + GRE）を再度カプセル化する必要があります
- ICMPエコー応答がSite_A_1 EDに到達したら、OTVペイロード（ICMPエコー+ MPLS + GRE）のカプセル化解除が再び必要になります
Sw_AからSw_Bへのpingが成功した後、両方のアクティブフォワーダEDでshow crypto session detailの出力の「enc」および「dec」セクションの下の5つのカウンタの増分が表示されると予想されます。
次に、EDから同じことを確認します。
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3345
Outbound: #pkts enc'ed 10 drop 0 life (KB/Sec) 4607998/3291 <<<< 10 counter before ping
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3343
Inbound: #pkts dec'ed 18 drop 0 life (KB/Sec) 4607997/3289 <<<< 18 counter before ping
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 18 drop 0 life (KB/Sec) 4607997/3295 <<<< 18 counter before ping
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3295
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 10 drop 0 life (KB/Sec) 4607998/3293 <<<< 10 counter before ping
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3293
Sw_A(config)#do ping 192.168.10.1 source vlan 100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.10.2
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/10 ms
Sw_A(config)#
Site_A_1(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/3339
Outbound: #pkts enc'ed 15 drop 0 life (KB/Sec) 4607997/3284 <<<< 15 counter after ping (After ICMP Echo)
Site_A_1(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 0 drop 0 life (KB/Sec) 4608000/3338
Inbound: #pkts dec'ed 23 drop 0 life (KB/Sec) 4607997/3283 <<<< 23 counter after ping (After ICMP Echo Reply)
Site_B_2(config-if)#do show crypto session detail | section enc
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
Outbound: #pkts enc'ed 23 drop 0 life (KB/Sec) 4607997/3282 <<<< 23 counter after ping (After ICMP Echo Reply)
Outbound: #pkts enc'ed 9 drop 0 life (KB/Sec) 4607999/3282
Site_B_2(config-if)#do show crypto session detail | section dec
Inbound: #pkts dec'ed 15 drop 0 life (KB/Sec) 4607997/3281 <<<< 15 counter after ping (After ICMP Echo)
Inbound: #pkts dec'ed 1 drop 0 life (KB/Sec) 4607999/3281
この設定ガイドでは、IPSecを使用してユニキャストコアデュアルホームセットアップに必要な設定の詳細を説明できます。
トラブルシューティング
現在のところ、この設定に関する特定のトラブルシューティング情報はありません。
フィードバック