Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Configurar

Diagrama de Rede

Configurações do roteador primário/secundário

Configurar a interface física com HSRP

Configurar a proposta e a política de IKEv2

Configurar o porta- chaves

Configurar o perfil IKEv2

Configurar o conjunto de transformação IPsec

Configurar o perfil IPsec

Configurar a interface do túnel virtual

Configurar o roteamento dinâmico e/ou estático

Configurações do Roteador de Mesmo Nível

Configurar a proposta e a política de IKEv2

Configurar o porta- chaves

Configurar o perfil IKEv2

Configurar o conjunto de transformação IPsec

Configurar o perfil IPsec

Configurar a interface do túnel virtual

Configurar o roteamento dinâmico e/ou estático

Verificar

Cenário 1. Os roteadores principal e secundário estão ativos

Cenário 2. O roteador principal está inativo e o roteador secundário está ativo

Cenário 3. O roteador primário volta a funcionar e o secundário fica em espera

Troubleshooting

Introdução

Este documento descreve como configurar a redundância de IPsec com HSRP para túnel baseado em rota IKEv2 em roteadores Cisco.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- VPN site a site

- Protocolo de Roteador Hot Standby [HSRP]

- Conhecimento básico de IPsec e IKEv2

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Roteador Cisco CSR1000v executando o software IOS XE, versão 17.03.08a

- Switch de Camada 2 executando o Cisco IOS Software, versão 15.2

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Diagrama de Rede

Configurações do roteador primário/secundário

Configurar a interface física com HSRP

Configure as interfaces físicas dos roteadores primário (com uma prioridade mais alta) e secundário (com uma prioridade padrão de 100):

Roteador principal:

interface GigabitEthernet1

ip address 10.106.60.20 255.255.255.0

standby 1 ip 10.106.60.22

standby 1 priority 105

standby 1 preempt

standby 1 name VPN-HSRP

Roteador secundário:

interface GigabitEthernet1

ip address 10.106.60.21 255.255.255.0

standby 1 ip 10.106.60.22

standby 1 preempt

standby 1 name VPN-HSRP

Note: Certifique-se de que o roteador primário padrão esteja configurado com uma prioridade mais alta para torná-lo o peer ativo mesmo quando ambos os roteadores estiverem ativos e em execução sem nenhum problema. Para este exemplo, o principal foi configurado com uma prioridade de 105, enquanto o roteador secundário tem uma prioridade de 100 (que é o padrão para HSRP).

Configurar a proposta e a política de IKEv2

Configure uma proposta de IKEv2 com a criptografia, o hash e o grupo DH de sua escolha e mapeie-os para uma política de IKEv2.

crypto ikev2 proposal prop-1

encryption aes-cbc-256

integrity sha256

group 14

crypto ikev2 policy IKEv2_POL

proposal prop-1

Configurar o porta- chaves

Configure o chaveiro para armazenar a chave pré-compartilhada que será usada para autenticar o par.

crypto ikev2 keyring keys

peer 10.106.70.10

address 10.106.70.10

pre-shared-key local C!sco123

pre-shared-key remote C!sco123

Configurar o perfil IKEv2

Configure o perfil IKEv2 e anexe o chaveiro a ele. Defina o endereço local para o endereço IP virtual que está sendo usado para HSRP e o endereço remoto como o IP da interface de Internet do roteador.

crypto ikev2 profile IKEv2_PROF

match identity remote address 10.106.70.10 255.255.255.255

identity local address 10.106.60.22

authentication remote pre-share

authentication local pre-share

keyring local keys

Configurar o conjunto de transformação IPsec

Configure os parâmetros da fase 2 de criptografia e hash usando o conjunto de transformação IPsec.

crypto ipsec transform-set ipsec-prop esp-aes 256 esp-sha256-hmac

Configurar o perfil IPsec

Configure o perfil IPsec para mapear o perfil IKEv2 e o conjunto de transformação IPsec. O perfil IPsec será aplicado à interface túnel.

crypto ipsec profile IPsec_PROF

set transform-set ipsec-prop

set ikev2-profile IKEv2_PROF

Configurar a interface do túnel virtual

Configure a interface de túnel virtual para especificar a origem e o destino do túnel. Esses IPs serão usados para criptografar o tráfego pelo túnel. Certifique-se de que o perfil IPsec também seja aplicado a essa interface, como mostrado abaixo.

interface Tunnel0

ip address 10.10.10.10 255.255.255.0

tunnel source 10.106.60.22

tunnel mode ipsec ipv4

tunnel destination 10.106.70.10

tunnel protection ipsec profile IPsec_PROF

Note: Você precisará especificar o IP virtual que está sendo usado para HSRP como a origem do túnel. Usar a interface física, neste cenário GigabitEthernet1, fará com que a negociação do túnel falhe.

Configurar o roteamento dinâmico e/ou estático

Você precisa configurar o roteamento com protocolos de roteamento dinâmico e/ou rotas estáticas, dependendo do requisito e do projeto da rede. Para este exemplo, uma combinação de EIGRP e uma rota estática é usada para estabelecer a comunicação subjacente e o fluxo do tráfego de dados de sobreposição sobre o túnel site a site.

router eigrp 10

network 10.10.10.0 0.0.0.255

network 10.106.60.0 0.0.0.255

ip route 192.168.30.0 255.255.255.0 Tunnel0

Note: Certifique-se de que a sub-rede da interface do túnel, que neste cenário é 10.10.10.0/24, esteja sendo anunciada.

Configurações do Roteador de Mesmo Nível

Configurar a proposta e a política de IKEv2

Configure uma proposta de IKEv2 com a criptografia, o hash e o grupo DH de sua escolha e mapeie-os para uma política de IKEv2.

crypto ikev2 proposal prop-1

encryption aes-cbc-256

integrity sha256

group 14

crypto ikev2 policy IKEv2_POL

proposal prop-1

Configurar o porta- chaves

Configure o chaveiro para armazenar a chave pré-compartilhada que será usada para autenticar o par.

crypto ikev2 keyring keys

peer 10.106.60.22

address 10.106.60.22

pre-shared-key local C!sco123

pre-shared-key remote C!sco123

Note: O endereço IP do peer usado aqui será o endereço IP virtual configurado na configuração de HSRP do peer. Certifique-se de que você não esteja configurando o chaveiro para o IP da interface física do peer primário/secundário.

Configurar o perfil IKEv2

Configure o perfil IKEv2 e anexe o chaveiro a ele. Defina o endereço local como o IP da interface para a Internet do roteador e o endereço remoto como o endereço IP virtual que está sendo usado para HSRP no peer primário/secundário.

crypto ikev2 profile IKEv2_PROF

match identity remote address 10.106.60.22 255.255.255.255

identity local address 10.106.70.10

authentication remote pre-share

authentication local pre-share

keyring local keys

Configurar o conjunto de transformação IPsec

Configure os parâmetros da fase 2 de criptografia e hash usando o conjunto de transformação IPsec.

crypto ipsec transform-set ipsec-prop esp-aes 256 esp-sha256-hmac

Configurar o perfil IPsec

Configure o perfil IPsec para mapear o perfil IKEv2 e o conjunto de transformação IPsec. O perfil IPsec será aplicado à interface túnel.

crypto ipsec profile IPsec_PROF

set transform-set ipsec-prop

set ikev2-profile IKEv2_PROF

Configurar a interface do túnel virtual

Configure a interface de túnel virtual para especificar a origem e o destino do túnel. O destino do túnel deve ser definido como o IP virtual usado para HSRP no par primário/secundário. Certifique-se de que o perfil IPsec também seja aplicado a esta interface, como mostrado.

interface Tunnel0

ip address 10.10.10.11 255.255.255.0

tunnel source GigabitEthernet1

tunnel mode ipsec ipv4

tunnel destination 10.106.60.22

tunnel protection ipsec profile IPsec_PROF

Configurar o roteamento dinâmico e/ou estático

Configure as rotas necessárias com protocolos de roteamento dinâmico ou rotas estáticas semelhantes às que você tem para o outro ponto final.

router eigrp 10

network 10.10.10.0 0.0.0.255

network 10.106.70.0 0.0.0.255

ip route 192.168.10.0 255.255.255.0 Tunnel0

Verificar

Para entender o comportamento esperado, os três cenários a seguir são apresentados.

Cenário 1. Os roteadores principal e secundário estão ativos

Como o roteador primário está configurado com uma prioridade mais alta, o túnel IPsec é negociado e estabelecido nesse roteador. Para verificar o estado dos dois roteadores, você pode usar oshow standbycomando.

pri-router#show standby

GigabitEthernet1 - Group 1

State is Active

7 state changes, last state change 00:00:21

Virtual IP address is 10.106.60.22

Active virtual MAC address is 0000.0c07.ac01 (MAC In Use)

Local virtual MAC address is 0000.0c07.ac01 (v1 default)

Hello time 3 sec, hold time 10 sec

Next hello sent in 0.864 secs

Preemption enabled

Active router is local

Standby router is 10.106.60.21, priority 100 (expires in 9.872 sec)

Priority 105 (configured 105)

Group name is "VPN-HSRP" (cfgd)

FLAGS: 1/1

sec-router#show standby

GigabitEthernet1 - Group 1

State is Standby

11 state changes, last state change 00:00:49

Virtual IP address is 10.106.60.22

Active virtual MAC address is 0000.0c07.ac01 (MAC Not In Use)

Local virtual MAC address is 0000.0c07.ac01 (v1 default)

Hello time 3 sec, hold time 10 sec

Next hello sent in 1.888 secs

Preemption enabled

Active router is 10.106.60.20, priority 105 (expires in 8.768 sec)

Standby router is local

Priority 100 (default 100)

Group name is "VPN-HSRP" (cfgd)

FLAGS: 0/1

Para verificar as associações de segurança da fase 1 (IKEv2) e da fase 2 (IPsec) para o túnel, você pode usar os comandosshow crypto ikev2 saeshow crypto ipsec sa.

pri-router#show crypto ikev2 sa

IPv4 Crypto IKEv2 SA

Tunnel-id            Local          Remote         fvrf/ivrf   Status

1              10.106.60.22/500 10.106.70.10/500   none/none   READY

Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/444 sec

IPv6 Crypto IKEv2 SA

pri-router#show crypto ipsec sa

interface: Tunnel0

Crypto map tag: Tunnel0-head-0, local addr 10.106.60.22

protected vrf: (none)

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

current_peer 10.106.70.10 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 36357, #pkts encrypt: 36357, #pkts digest: 36357

#pkts decaps: 36354, #pkts decrypt: 36354, #pkts verify: 36354

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 10.106.60.22, remote crypto endpt.: 10.106.70.10

plaintext mtu 1438, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1

current outbound spi: 0x4967630D(1231512333)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0xBA711B5E(3127974750)

transform: esp-256-aes esp-sha256-hmac ,

in use settings ={Tunnel, }

conn id: 2216, flow_id: CSR:216, sibling_flags FFFFFFFF80000048, crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4607986/3022)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x4967630D(1231512333)

transform: esp-256-aes esp-sha256-hmac ,

in use settings ={Tunnel, }

conn id: 2215, flow_id: CSR:215, sibling_flags FFFFFFFF80000048, crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4607992/3022)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

Cenário 2. O roteador principal está inativo e o roteador secundário está ativo

Em um cenário em que o roteador primário sofre uma interrupção ou fica inativo, o roteador secundário se tornará o roteador ativo e o túnel de site para site será negociado com esse roteador.

O estado HSRP do roteador secundário pode ser verificado novamente usando oshow standby comando.

sec-router#show standby

GigabitEthernet1 - Group 1

State is Active

12 state changes, last state change 00:00:37

Virtual IP address is 10.106.60.22

Active virtual MAC address is 0000.0c07.ac01 (MAC In Use)

Local virtual MAC address is 0000.0c07.ac01 (v1 default)

Hello time 3 sec, hold time 10 sec

Next hello sent in 0.208 secs

Preemption enabled

Active router is local

Standby router is unknown

Priority 100 (default 100)

Group name is "VPN-HSRP" (cfgd)

FLAGS: 1/1

Além disso, você também observará os seguintes registros quando essa interrupção ocorrer. Esses registros também mostram que o roteador secundário agora está ativo e o túnel foi estabelecido.

*Jul 18 10:28:21.881: %HSRP-5-STATECHANGE: GigabitEthernet1 Grp 1 state Standby -> Active

*Jul 18 10:28:44.647: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to up

Para verificar as associações de segurança das fases 1 e 2, você pode usar novamente oshow crypto ikev2 saeshow crypto ipsec sacomo mostrado aqui.

sec-router#show crypto ikev2 sa

IPv4 Crypto IKEv2 SA

Tunnel-id            Local            Remote       fvrf/ivrf   Status

1               10.106.60.22/500 10.106.70.10/500  none/none   READY

Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/480 sec

IPv6 Crypto IKEv2 SA

sec-router# show crypto ipsec sa

interface: Tunnel0

Crypto map tag: Tunnel0-head-0, local addr 10.106.60.22

protected vrf: (none)

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

current_peer 10.106.70.10 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 112, #pkts encrypt: 112, #pkts digest: 112

#pkts decaps: 112, #pkts decrypt: 112, #pkts verify: 112

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 10.106.60.22, remote crypto endpt.: 10.106.70.10

plaintext mtu 1438, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1

current outbound spi: 0xFC4207BF(4232185791)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x5F6EE796(1601103766)

transform: esp-256-aes esp-sha256-hmac ,

in use settings ={Tunnel, }

conn id: 2170, flow_id: CSR:170, sibling_flags FFFFFFFF80000048, crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4607988/3107)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xFC4207BF(4232185791)

transform: esp-256-aes esp-sha256-hmac ,

in use settings ={Tunnel, }

conn id: 2169, flow_id: CSR:169, sibling_flags FFFFFFFF80000048, crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4607993/3107)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

Cenário 3. O roteador primário volta a funcionar e o secundário fica em espera

Quando o roteador principal for restaurado e não estiver mais inativo, ele se tornará o roteador ativo novamente, pois terá uma prioridade mais alta configurada e o roteador secundário entrará no modo de espera.

Durante esse cenário, você verá esses logs nos roteadores primário e secundário quando essa transição acontecer.

No roteador principal, os seguintes registros são exibidos:

*Jul 18 11:47:46.590: %HSRP-5-STATECHANGE: GigabitEthernet1 Grp 1 state Listen -> Active

*Jul 18 11:48:07.945: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to up

No roteador secundário, você verá estes registros que mostram que o roteador secundário se tornou novamente o roteador em standby:

*Jul 18 11:47:46.370: %HSRP-5-STATECHANGE: GigabitEthernet1 Grp 1 state Active -> Speak

*Jul 18 11:47:52.219: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to down

*Jul 18 11:47:57.806: %HSRP-5-STATECHANGE: GigabitEthernet1 Grp 1 state Speak -> Standby

Para verificar o status das associações de segurança da Fase 1 e da Fase 2, você pode usar oshow crypto ikev2 sae  show crypto ipsec sapara verificar o mesmo.

Note: Se você tiver vários túneis configurados nos roteadores que estão ativos e em execução, poderá usar os comandos show crypto session remote X.X.X.X e show crypto ipsec sa peer X.X.X.X para verificar o status da fase 1 e da fase 2 do túnel.

Troubleshooting

Esta seção disponibiliza informações para a solução de problemas de configuração.

Essas depurações podem ser ativadas para solucionar problemas do túnel IKEv2.

debug crypto ikev2

debug crypto ikev2 error

debug crypto ikev2 internal

debug crypto ipsec

debug crypto ipsec error

debug crypto ipsec message

Note: Se quiser solucionar problemas de apenas um túnel (que deve ser o caso se o dispositivo estiver em produção), você deve habilitar depurações condicionais usando o comando, debug crypto condition peer ipv4 X.X.X.X.