Implante um CSR1000v/C8000v na plataforma Google Cloud

Introduction

Este documento descreve o procedimento para implantar e configurar um Cisco Cloud Services Router 1000v (CSR1000v) e um Catalyst 8000v (C800v) Edge Router na Plataforma de Nuvem Google (GCP).

Contribuído por Eric Garcia, Ricardo Neri, engenheiro do TAC da Cisco.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Tecnologias de virtualização / Máquinas virtuais (VMs)
• Plataformas de nuvem

Componentes Utilizados

• Uma assinatura ativa da plataforma Google Cloud com um projeto criado

• console GCP

• mercado de GCP

• Terminal bash, Putty ou SecureCRT
• Chaves de Shell Seguro (SSH) públicas e privadas

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

A partir da versão 17.4.1, o CSR1000v se torna C8000v com a mesma funcionalidade, mas novos recursos adicionados, como SDWAN e licenciamento de DNA. Para mais referência, verifique a ficha técnica oficial dos produtos:

Data Sheet do Cisco Cloud Services Router 1000v

Dados técnicos do software Cisco Catalyst 8000V Edge

Portanto, este guia é aplicável para a instalação dos roteadores CSR1000v e C8000v.

Configuração do projeto

Note: No momento, este documento foi escrito, os novos usuários têm 300 dólares de créditos gratuitos para explorar totalmente o GCP como camada livre por um ano. Isso é definido pelo Google e não está sob controle da Cisco.

Observação: este documento requer a criação de chaves SSH públicas e privadas. Para obter informações adicionais, consulte Gerar uma Chave SSH de instância para implantar um CSR1000v na plataforma Google Cloud 

Etapa 1. Verifique se há um projeto válido e ativo para a conta.

Certifique-se de que a sua conta tem um projeto válido e ativo, que tem de estar associado a um grupo com permissões para o Mecanismo de Computação.

Para este exemplo de implantação, um projeto criado no GCP é usado.

Note: Para criar um novo projeto, consulte Criar e gerenciar projetos.

Etapa 2. Crie um novo VPC e uma nova sub-rede.

Crie uma nova nuvem privada virtual (VPC) e uma sub-rede que devem ser associadas à instância do CSR1000v.

É possível usar o VPC padrão ou um VPC e uma sub-rede criados anteriormente. 

No painel do console, selecione VPC network > VPC networks conforme mostrado na imagem.

Selecione Create VPC Network conforme mostrado na imagem.

Note: Atualmente, o CSR1000v é implantado somente na região central do us no GCP. 

Configure o nome do VPC conforme mostrado na imagem.

Configure o nome da sub-rede associado ao VPC e selecione a região us-central1.

Atribua um intervalo de endereços IP válido dentro do CIDR us-central1 de 10.128.0.0/20. conforme mostrado na imagem.

Deixe outras configurações como padrão e selecione criar botão:

Note: Se "automático" estiver selecionado, o GCP atribuirá um intervalo válido automático dentro da região CIDR.

Quando o processo de criação terminar, o novo VPC será exibido na seção Redes VPC, como mostrado na imagem.

Etapa 3. Implantação de instância virtual.

Na seção Mecanismo de computação, selecione Mecanismo de computação > instâncias de VM como mostrado na imagem.

Uma vez no painel VM, selecione a guia Create Instance como mostrado na imagem.

 

Use o mercado de GCP como mostrado na imagem para exibir produtos da Cisco.

 

Na barra de pesquisa, digite Cisco CSR ou Catalyst C8000v, escolha o modelo e a versão que atenda aos seus requisitos e selecione Iniciar. 

Para esta implantação de exemplo, a primeira opção foi selecionada conforme mostrado na imagem.

 

 

Nota: BYOL significa "Traga sua própria licença". 

Observação: atualmente, o GCP não oferece suporte ao modelo Pay As You Go (PAYG).

O GCP requer a inserção dos valores de configuração que devem ser associados à VM, como mostrado na imagem:

Um nome de usuário e uma chave pública SSH são necessários para implantar um CSR1000v/C8000v em GCP, como mostrado na imagem. Consulte Generate an Instance SSH Key to Deploy a CSR1000v in Google Cloud Platform se as chaves SSH não tiverem sido criadas.

Selecione o VPC e a sub-rede criados antes e escolha Ephemeral em IP externo para ter um IP público associado à instância como mostrado na imagem.

Depois de configurado. Selecione o botão de lançamento.

Note: A porta 22 é necessária para se conectar à instância CSR via SSH. A porta HTTP é opcional.

Quando a implantação for concluída, selecione Mecanismo de computação > instâncias de VM para verificar se o novo CSR1000v foi implantado com êxito, como mostrado na imagem.

 

Verificar a implantação

Conectar-se remotamente à nova instância

Os métodos mais comuns para fazer login em um CSR1000v/C8000V em GCP são a linha de comando em um terminal Bash, Putty e SecureCRT. Nesta seção, a configuração precisava se conectar aos métodos anteriores.

Faça login no CSR1000v/C8000v com Bash Terminal

A sintaxe necessária para se conectar remotamente ao novo CSR é:

ssh -i private-key-path username@publicIPaddress

Exemplo:

$ ssh -i CSR-sshkey <snip>@X.X.X.X
The authenticity of host 'X.X.X.X (X.X.X.X)' can't be established.
RSA key fingerprint is SHA256:c3JsVDEt68CeUFGhp9lrYz7tU07htbsPhAwanh3feC4.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added 'X.X.X.X' (RSA) to the list of known hosts.

Se a conexão for bem-sucedida, o prompt CSR1000v será exibido

$ ssh -i CSR-sshkey <snip>@X.X.X.X

csr-cisco# show version
Cisco IOS XE Software, Version 16.09.01
Cisco IOS Software [Fuji], Virtual XE Software (X86_64_LINUX_IOSD-UNIVERSALK9-M), Version 16.9.1, RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2018 by Cisco Systems, Inc.
Compiled Tue 17-Jul-18 16:57 by mcpre

Faça login no CSR1000v/C8000v com PuTTY

Para se conectar com Putty, use o aplicativo PuTTYgen para converter a chave privada do formato PEM para PPK.

Consulte Converter Pem em arquivo Ppk usando PuTTYgen para obter informações adicionais.

Quando a chave privada for gerada no formato apropriado, você deverá especificar o caminho em Putty.

Selecione o arquivo de chave privada para a seção de autenticação na opção auth do menu de conexão SSH.

Navegue até a pasta onde a chave está armazenada e selecione a chave criada. Neste exemplo, as imagens mostram a exibição gráfica do menu Putty e o estado desejado:

 

 

 

Depois de selecionar a tecla adequada, volte ao menu principal e use o endereço IP externo da instância CSR1000v para se conectar via SSH, como mostrado na imagem.

 

Note: O nome de usuário/senha definidos nas chaves SSH geradas são solicitados a fazer logon.

log in as: cisco
Authenticating with public key "imported-openssh-key"
Passphrase for key "imported-openssh-key":

csr-cisco#

Faça login no CSR1000v/C8000V com SecureCRT

O SecureCRT requer a chave privada no formato PEM, que é o formato padrão para as chaves privadas.

No SecureCRT, especifique o caminho para a chave privada no menu:

Arquivo > Conexão Rápida > Autenticação > Desmarcar Senha > Chave Pública > Propriedades.

A imagem mostra a janela esperada:

 

Selecione Usar sequência de chave pública da sessão > Selecionar Usar arquivo de identidade ou certificado > Selecionar ... botão > Navegue até o diretório e selecione a chave desejada > Selecione OK como mostrado na imagem.

 

Finalmente, conecte-se ao endereço IP externo da instância via SSH, como mostrado na imagem.

 

Note: O nome de usuário/senha definidos nas chaves SSH geradas são solicitados a fazer logon.

csr-cisco# show logging 
Syslog logging: enabled (0 messages dropped, 3 messages rate-limited, 0 flushes, 0 overruns, xml disabled, filtering disabled)

No Active Message Discriminator.
<snip>
*Jan 7 23:16:13.315: %SEC_log in-5-log in_SUCCESS: log in Success [user: cisco] [Source: X.X.X.X] [localport: 22] at 23:16:13 UTC Thu Jan 7 2021
csr-cisco#

Métodos adicionais de login da VM

Note: Consulte a documentação do Connect to Linux VMs usando métodos avançados.

Autorizar usuários adicionais a fazer login no CSR1000v/C8000v em GCP

Depois de fazer login na instância do CSR1000v com êxito, é possível configurar usuários adicionais com estes métodos:

Configurar um novo nome de usuário/senha 

Use estes comandos para configurar um novo usuário e senha:

enable
configure terminal
username <username> privilege <privilege level> secret <password>
end

Exemplo:

csr-cisco# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
csr-cisco(config)#

csr-cisco(config)# username cisco privilege 15 secret cisco
csr-cisco(config)# end
csr-cisco#

Um novo usuário agora pode fazer login na instância CSR1000v/C8000v.

Configurar um novo usuário com chave SSH

Para obter acesso à instância do CSR1000v, configure a chave pública. As chaves SSH nos metadados da instância não fornecem acesso ao CSR1000v.

Use estes comandos para configurar um novo usuário com uma chave SSH:

configure terminal
ip ssh pubkey-chain
username <username>
key-string
<public ssh key>
exit
end

Note: O comprimento máximo da linha na CLI da Cisco é de 254 caracteres, portanto, a string de chave pode não se ajustar a essa limitação. É conveniente embrulhar a string de chave para se ajustar a uma linha de terminal. Os detalhes sobre como superar essa limitação são explicados em Gerar uma instância de chave SSH para implantar um CSR1000v na plataforma de nuvem Google 

$ fold -b -w 72 /mnt/c/Users/ricneri/.ssh/key2.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDldzZ/iJi3VeHs4qDoxOP67jebaGwC6vkC
n29bwSQ4CPJGVRLcVSNPcPPqVydiXVEOG8e9gFszkpk6c2meO+TRsSLiwHigv28lyw5xhn1U
ck/AYpy9E6TyEEu9w6Fz0xTG2Qhe1n9b5Les6K9PFP/mR6WUMbfmaFredV/sADnODPO+OfTK
/OZPg34DNfcFhglja5GzudRb3S4nBBhDzuVrVC9RbA4PHVMXrLbIfqlks3PCVGOtW1HxxTU4
FCkmEAg4NEqMVLSm26nLvrNK6z7lRMcIKZZcST+SL6lQv33gkUKIoGB9qx/+DlRvurVXfCdq
3Cmxm2swHmb6MlrEtqIv cisco
$

csr-cisco# configure terminal 
Enter configuration commands, one per line. End with CNTL/Z.
csr-cisco(config)#

csr-cisco(config)# ip ssh pubkey-chain
csr-cisco(conf-ssh-pubkey)# username cisco 
csr-cisco(conf-ssh-pubkey-user)# key-string 
csr-cisco(conf-ssh-pubkey-data)#ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDldzZ/iJi3VeHs4qDoxOP67jebaGwC
csr-cisco(conf-ssh-pubkey-data)#6vkCn29bwSQ4CPJGVRLcVSNPcPPqVydiXVEOG8e9gFszkpk6c2meO+TRsSLiwHigv28l
csr-cisco(conf-ssh-pubkey-data)#yw5xhn1Uck/AYpy9E6TyEEu9w6Fz0xTG2Qhe1n9b5Les6K9PFP/mR6WUMbfmaFredV/s
csr-cisco(conf-ssh-pubkey-data)#ADnODPO+OfTK/OZPg34DNfcFhglja5GzudRb3S4nBBhDzuVrVC9RbA4PHVMXrLbIfqlk
csr-cisco(conf-ssh-pubkey-data)#s3PCVGOtW1HxxTU4FCkmEAg4NEqMVLSm26nLvrNK6z7lRMcIKZZcST+SL6lQv33gkUKI
csr-cisco(conf-ssh-pubkey-data)#oGB9qx/+DlRvurVXfCdq3Cmxm2swHmb6MlrEtqIv cisco
csr-cisco(conf-ssh-pubkey-data)# exit
csr-cisco(conf-ssh-pubkey-user)# end
csr-cisco#

Verifique os usuários configurados no login no CSR1000v/C8000v

Para confirmar se a configuração foi definida corretamente, faça login com as credenciais criadas ou com o par de chave privada para a chave pública com a credencial adicional.

Do lado do roteador, consulte o log de login bem-sucedido com o endereço IP do terminal.

csr-cisco# show clock
*00:21:56.975 UTC Fri Jan 8 2021
csr-cisco#

csr-cisco# show logging 
Syslog logging: enabled (0 messages dropped, 3 messages rate-limited, 0 flushes, 0 overruns, xml disabled, filtering disabled)

<snip>
*Jan 8 00:22:24.907: %SEC_log in-5-log in_SUCCESS: log in Success [user: <snip>] [Source: <snip>] [localport: 22] at 00:22:24 UTC Fri Jan 8 2021
csr-cisco#

Troubleshoot

Se a mensagem de erro "Operação expirou" for exibida.

$ ssh -i CSR-sshkey <snip>@X.X.X.X
ssh: connect to host <snip> port 22: Operation timed out

 

Possíveis causas:

• A instância não concluiu sua implantação.
• O endereço público não é o atribuído a nic0 na VM.

Solução:

Aguarde a conclusão da implantação da VM. Geralmente, uma implantação do CSR1000v leva até 5 minutos para ser concluída.

Se uma senha for obrigatória

Se uma senha for necessária:

$ ssh -i CSR-sshkey <snip>@X.X.X.X
Password:
Password:

 

Possível causa:

• O nome de usuário ou a chave privada está incorreto.

Solução:

• Verifique se o nome de usuário é o mesmo que foi especificado quando CSR1000v/C8000v foi implantado.
• Certifique-se de que a chave privada seja a mesma que você incluiu no momento da implantação.

Informações Relacionadas

• Data Sheet do Cisco Cloud Services Router 1000v
• Suporte Técnico e Documentação - Cisco Systems