使用全域性路由表從MPLS VPN訪問網際網路

簡介

本文檔旨在演示使用全域性路由表從基於多協定標籤交換(MPLS)的VPN訪問網際網路所使用的配置示例。

在某些網路方案中，除了繼續維護公司站點之間的VPN連線之外，還需要通過基於MPLS的VPN訪問網際網路。此示例配置側重於從VPN路由和轉發(VRF)提供網際網路訪問，其中包含到網際網路網關路由器(IGW)的預設路由。

必要條件

需求

要完全理解本文件的內容，需要對MPLS轉發和MPLS VPN有基本的瞭解。

採用元件

本檔案中的資訊是根據以下軟體和硬體版本。

• Cisco IOS^®軟體版本12.1(3)T。版本12.0(5)T包括MPLS VPN功能

• 3600系列或更高版本中的任何思科路由器，例如Cisco 3660或7206

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您在即時網路中工作，請確保在使用任何命令之前瞭解其潛在影響。

背景理論

在此示例配置中，存在以下策略：

• 連線到Internet的路由器連線到MPLS網路。它可能將邊界網關協定(BGP)路由注入全域性路由表，也可能不會。

  注意：PE路由器瞭解BGP。Gigabit交換器路由器(GSR)（作為提供者核心路由器執行）等路由器根本不會執行BGP。

• VRF不需要具有來自網際網路的完整路由表（全域性BGP表），因此靜態預設路由被放入指向IGW的全域性下一跳地址的VRF中。

• VPN客戶使用可在全域性Internet路由表中路由的註冊唯一地址範圍。建議不要使用本文檔中討論的訪問方法，因為客戶的網路中只有私有地址。

慣例

本檔案中使用的是以下縮寫：

• CE — 客戶邊緣路由器

• PE — 提供商邊緣路由器

• P — 提供商核心路由器

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

設定

• 請參閱網路圖表以瞭解此組態的圖示。在本示例中，CE 1和CE 2位於同一個VPN中。它們在customer1 VRF下配置，因為VRF不需要具有來自Internet的完整路由表(根據本文檔的背景理論部分中的策略)。

• 在CE 1的customer1 VRF中配置一條指向IGW的靜態預設路由。通過在customer1 VRF中放置靜態預設路由，與customer1 VRF中包含的任何路由都不匹配的資料包將傳送到IGW。

註：由於Internet網關下一跳192.168.67.1不是customer1 VRF的一部分，因此在customer1 VRF下配置一條預設路由，該路由指向Internet網關介面s8/0 IP 192.168.67.1。通往192.168.67.1的路由不在customer1 VRF內，因此您需要在customer1 VRF下配置的靜態預設路由內配置一個全域性關鍵字。global關鍵字指定靜態路由的下一跳地址在全域性路由表中解析，而不是在customer1 VRF中解析。

以下是靜態路由的示例。

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

在customer1 VRF中使用帶global關鍵字的靜態路由可確保將發往Internet的所有資料包路由到Internet網關，然後路由到Internet。

注意： PE 1中的預設路由配置為指向Internet網關的串列介面IP地址(192.168.67.1)，而不是環回地址(10.1.1.6)。 這樣可避免在網際網路網關和網際網路(R7)之間的連線發生故障時使路由黑洞。 如果預設路由指向Internet網關的環回地址，並且Internet網關 — R7之間的連線中斷，則所有資料包將繼續路由到Internet網關。之所以會出現這種情況，是因為回送位址保持開啟（與介面s8/0關閉時從全域路由表中撤銷的192.168.67.1不同），且預設路由繼續存在於路由表中。

下一步是確保從網際網路返回到目標CE 1網路11.11.11.0/24的資料包從網際網路網關路由到PE 1並通過MPLS核心路由到CE 1。這可以通過在PE 1的全域性路由表中為指向Serial 8/0介面的CE 1網路配置靜態路由來實現。將其重新分配到開放最短路徑優先(OSPF)中，以便Internet網關在其全域性路由表中擁有該路由。這允許Internet網關將來自Internet的所有資料包路由到PE 1，並路由到CE 1以外的最終目標。

以下示例是在PE 1上的配置中使用的ip route命令。

ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1

注意：全域性路由表中配置的上述靜態路由是除customer1 VRF內配置的靜態路由之外的，後者用於VPN網路層可達性資訊(NLRI)。 在PE 1上，其配置如下所示。

ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1

注意：要查詢有關本文檔中使用的命令的其他資訊，請使用命令查詢工具(僅限註冊客戶)。

網路圖表

本文檔使用下圖所示的網路設定。

組態

本文檔使用如下所示的配置。

• CE 1

• PE 1

• P

• IGW

• PE 2

• CE 2

version 12.2
!
hostname CE-1
!
ip subnet-zero
!
interface Loopback0
 ip address 10.1.1.1 255.255.255.255
!
interface Loopback2
 ip address 11.11.11.1 255.255.255.0
!
interface Serial8/0
 ip address 192.168.10.1 255.255.255.252 

 !--- The interface is connected to PE 1.

 !
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.10.2

!--- This is the default route to route all packets to PE 1.

!

version 12.2
!
hostname PE-1
!
ip subnet-zero
!
ip vrf customer1

!--- This configured VRF customer1.
 
 rd 100:1

!--- This configured the route distiguisher for VRF.
 
 route-target export 1:1
 route-target import 1:1

!--- This configured the export and import policies into VRF.
 
!
ip cef

!--- This enabled Cisco Express Forwarding (CEF) switching.

!
interface Loopback0
 ip address 10.1.1.2 255.255.255.255
!       
interface Ethernet0/0

!--- It is connected to P router.

 ip address 10.10.23.2 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.
 
!
interface Serial8/0
! Connected to CE-1
 ip vrf forwarding customer1

!--- Route forwarding based on customer1 VRF is enabled.
 
 ip address 192.168.10.2 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 redistribute static subnets
 network 0.0.0.0 255.255.255.255 area 0
!
router bgp 100
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.1.1.4 remote-as 100

!--- Neighbor relationship with PE 2 is established.

 neighbor 10.1.1.4 update-source Loopback0
 neighbor 10.1.1.4 next-hop-self
 no auto-summary
!
 address-family ipv4 vrf customer1

!--- The address-family configuration mode specifies IPv4 unicast !---address prefixes for customer1 VRF.

 no auto-summary
 no synchronization
 network 11.11.11.0 mask 255.255.255.0

!--- CE 1 network 11.11.11.0/24 to PE 2 is announced.

network 192.168.10.0 mask 255.255.255.252
 exit-address-family
!
address-family vpnv4

!--- This is the address-family VPNV4 configuration mode for !--- configuring BGP sessions.

 neighbor 10.1.1.4 activate
 neighbor 10.1.1.4 send-community extended
 no auto-summary
 exit-address-family
!
ip classless
ip route 11.11.11.0 255.255.255.0 Serial8/0 192.168.10.1

!--- The static route in the global routing table is pointing to !--- the interface connected to CE 1.

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

!--- The static default route under customer1 VRF, routing packets !--- outside of VPN to the Internet gateway.

! routes
ip route vrf customer1 11.11.11.0 255.255.255.0 192.168.10.1

!--- The static route for network 11.11.11.0/24 (CE-1 Network) under !---customer1 VRF ensures the reachability of CE 1 network from the !--- other VPN sites.

version 12.2
!
hostname P
!
ip subnet-zero
!
ip cef

!--- CEF switching is enabled.

!
interface Loopback0
 ip address 10.1.1.3 255.255.255.255
!
interface Ethernet0/0

!--- This is connected to PE 1.

 ip address 10.10.23.3 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.

!
interface Ethernet1/0

!--- This is connected to PE 2.

 ip address 10.10.34.3 255.255.255.0
 tag-switching ip
!
interface Ethernet2/0

!--- This is connected to the Internet gateway.

 ip address 10.10.36.3 255.255.255.0
 tag-switching ip
!
router ospf 1 
 log-adjacency-changes 
network 0.0.0.0 255.255.255.255 area 0

version 12.2
!
hostname IGW
!
ip subnet-zero
!
ip cef

!--- This enabled CEF switching.

!
interface Loopback0
 ip address 10.1.1.6 255.255.255.255
!
interface Ethernet2/0

!--- This is connected to P router.

 ip address 10.10.36.6 255.255.255.0
tag-switching ip
!
interface Serial8/0

!--- This is connected to Internet R7.

 ip address 192.168.67.1 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 network 0.0.0.0 255.255.255.255 area 0
 !
 router bgp 100
 no synchronization
 bgp log-neighbor-changes
 network 11.11.11.0 mask 255.255.255.0
 network 22.22.22.0 mask 255.255.255.0
 neighbor 192.168.67.2 remote-as 200
 no auto-summary

version 12.2
!
hostname PE-2
!
ip subnet-zero
!
ip vrf customer1

!--- Customer1 VRF is configured.

 rd 100:1 

!--- Route Distinguisher for VRF is configured.
 
 route-target export 1:1 
 route-target import 1:1 

!--- This configured the import and export policies for customer1 !--- VRF.

!
ip cef 

!--- This enabled CEF switching.
 
! 
interface Loopback0 
 ip address 10.1.1.4 255.255.255.255
interface Ethernet1/0

!--- Connected to P router.

 ip address 10.10.34.4 255.255.255.0
 tag-switching ip

!--- MPLS switching is enabled.

!
interface Serial9/0

!--- Connected to CE 2 router.

ip vrf forwarding customer1

!--- This enables VRF forwarding on the interface.

 ip address 192.168.20.1 255.255.255.252
!
router ospf 1
 log-adjacency-changes
 redistribute static subnets
 network 0.0.0.0 255.255.255.255 area 0
!
router bgp 100
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.1.1.2 remote-as 100
 neighbor 10.1.1.2 update-source Loopback0
 neighbor 10.1.1.2 next-hop-self 
no auto-summary 
!
 address-family ipv4 vrf customer1

!--- This is the address-family IPv4 configuration of customer1 VRF.

 no auto-summary
 no synchronization
 network 22.22.22.0 mask 255.255.255.0

!--- This announces the CE 2 network to PE 1.

 exit-address-family
!
 address-family vpnv4

!--- This is the address-family VPNV4 configuration for BGP Sessions !--- with PE 1.

 neighbor 10.1.1.2 activate
 neighbor 10.1.1.2 send-community extended
 no auto-summary
 exit-address-family
!
ip classless
ip route 22.22.22.0 255.255.255.0 Serial9/0 192.168.20.2

!--- This is the static route for network 22.22.22.0/24 in the global !--- routing table pointing to the interface connected to CE 2.

ip route vrf customer1 0.0.0.0 0.0.0.0 192.168.67.1 global

!--- This is the static default route for customer VRF !--- for destinations outside the VPN.

ip route vrf customer1 22.22.22.0 255.255.255.0 192.168.20.2 

!--- This is the static route within customer1 VRF for CE 2 !--- network for VPN connectivity.

version 12.2
!
hostname CE-2
!
ip subnet-zero
!
interface Loopback0
 ip address 22.22.22.22 255.255.255.0
!
interface Serial9/0

!--- This is connected to PE 2.

 ip address 192.168.20.2 255.255.255.252
!
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.20.1

!--- This is the default route pointing to PE 2.

驗證

本節提供的資訊可用於確認您的組態是否正常運作。

CE 1和CE 2之間的VPN連線

要驗證CE 1和CE 2之間的VPN連線，CE 1應能夠訪問CE 2的網路22.22.22.0/24，反之亦然。要檢查這一點，請在PE 1的customer1 VRF中驗證到網路22.22.22.0/24的路由。

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

1. show ip route vrf customer1命令確認從10.1.1.4（PE 2的環回地址）獲知的網路22.22.22.0/24的路由，該路由在下面的輸出中突出顯示。

   PE-1# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
   192.168.10.0/30 is subnetted, 1 subnets
   C       192.168.10.0 is directly connected, Serial8/0
          22.0.0.0/24 is subnetted, 1 subnets
   B       22.22.22.0 [200/0] via 10.1.1.4, 01:00:50
          11.0.0.0/24 is subnetted, 1 subnets
   S      11.11.11.0 [1/0] via 192.168.10.1
   S*   0.0.0.0/0 [1/0] via 192.168.67.1

2. 同樣，在PE 2中，到customer1 VRF中的網路11.11.11.0/24的路由如下例所示。

   PE-2# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route 
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
   192.168.10.0/30 is subnetted, 1 subnets
   B       192.168.10.0 [200/0] via 10.1.1.2, 01:00:09
        22.0.0.0/24 is subnetted, 1 subnets
   S       22.22.22.0 [1/0] via 192.168.20.2
        192.168.20.0/30 is subnetted, 1 subnets
   C       192.168.20.0 is directly connected, Serial9/0
        11.0.0.0/24 is subnetted, 1 subnets
   B       11.11.11.0 [200/0] via 10.1.1.2, 01:00:09
   S*   0.0.0.0/0 [1/0] via 192.168.67.1

3. 現在，使用來自CE 1的源IP地址11.11.11.1 ping CE 2上的主機22.22.22，檢查CE 1和CE 2之間的連線。

   CE-1# ping
   Protocol [ip]:
   Target IP address: 22.22.22.22
   Repeat count [5]:
   Datagram size [100]:
   Timeout in seconds [2]:
   Extended commands [n]: y
   Source address or interface: 11.11.11.1
   Type of service [0]:
   Set DF bit in IP header? [no]:
   Validate reply data? [no]:
   Data pattern [0xABCD]:
   Loose, Strict, Record, Timestamp, Verbose[none]:
   Sweep range of sizes [n]:
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 22.22.22.22, timeout is 2 seconds:
   !!!!!
   
   Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms

從CE 1連線到Internet

按照以下步驟驗證從CE1到Internet的連線。

1. 從CE 1發往Internet或VPN的所有資料包都將使用在CE 1中配置的指向PE 1的預設路由進行路由，如下所示。

   CE-1# show ip route 0.0.0.0
   Routing entry for 0.0.0.0/0, supernet
     Known via "static", distance 1, metric 0, candidate default path
     Routing Descriptor Blocks:
     * 192.168.10.2
   Route metric is 0, traffic share count is 1

2. 進入PE 1介面s8/0的資料包使用customer1 VRF路由表進行路由。PE 1在customer1 VRF中有指向IGW IP地址192.168.67.1的預設路由，如PE 1上show ip route vrf customer1的輸出所示。

   PE-1# show ip route vrf customer1
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route
   
   Gateway of last resort is 192.168.67.1 to network 0.0.0.0
   
        192.168.10.0/30 is subnetted, 1 subnets
   C       192.168.10.0 is directly connected, Serial8/0
        22.0.0.0/24 is subnetted, 1 subnets
   B       22.22.22.0 [200/0] via 10.1.1.4, 01:21:11
        11.0.0.0/24 is subnetted, 1 subnets
   S       11.11.11.0 [1/0] via 192.168.10.1
   S*   0.0.0.0/0 [1/0] via 192.168.67.1
   

3. 因為PE 1上的預設路由配置了global關鍵字，所以它在全域性路由表中查詢下一跳192.168.67.1並路由到IGW，如下所示。

   PE-1# show ip route 192.168.67.1
   Routing entry for 192.168.67.0/30
     Known via "ospf 1", distance 110, metric 84, type intra area
     Last update from 10.10.23.3 on Ethernet0/0, 00:21:54 ago
     Routing Descriptor Blocks:
     * 10.10.23.3, from 10.1.1.6, 00:21:54 ago, via Ethernet0/0
    Route metric is 84, traffic share count is 1

4. 到達IGW的資料包將根據從R7獲知的BGP路由路由到Internet。在這種情況下，您可以檢視從R7獲知的BGP路由來演示與Internet的連線。下面顯示了從IGW路由表中的R7獲知的BGP路由(網路99.99.99.0/24)。

   IGW# show ip route 99.99.99.0
   Routing entry for 99.99.99.0/24
     Known via "bgp 100", distance 20, metric 0
     Tag 200, type external
     Last update from 192.168.67.2 01:37:25 ago
     Routing Descriptor Blocks:
     * 192.168.67.2, from 192.168.67.2, 01:37:25 ago
         Route metric is 0, traffic share count is 1
         AS Hops 1

   源自CE-1的資料包會被路由到Internet。

5. 對於從Internet返回且目的地為CE 1網路11.11.11.0/24的資料包，IGW的全域性路由表中應有一個指向PE 1的路由。配置PE 1全域性路由表中的靜態路由，該路由指向PE 1上連線到CE 1的s8/0介面，並將其重新分發到OSPF。這可確保IGW的全域性路由表中有一個指向PE 1的路由。PE 1上的靜態路由和IGW上的OSPF學習路由如下所示。

   IGW# show ip route 11.11.11.0
   Routing entry for 11.11.11.0/24
     Known via "ospf 1", distance 110, metric 20, type extern 2, forward metric 20
     Last update from 10.10.36.3 on Ethernet2/0, 00:34:34 ago
     Routing Descriptor Blocks:
     * 10.10.36.3, from 10.1.1.2, 00:34:34 ago, via Ethernet2/0
         Route metric is 20, traffic share count is 1
   
   PE-1# show ip route 11.11.11.0
   Routing entry for 11.11.11.0/24
     Known via "static", distance 1, metric 0
     Redistributing via ospf 1
     Advertised by ospf 1 subnets
     Routing Descriptor Blocks:
     * 192.168.10.1, via Serial8/0
         Route metric is 0, traffic share count is 1

6. 現在，使用CE 1的源地址11.11.11.1 ping R7 IP地址99.99.99.1，檢查從CE 1到Internet的連線。

   CE-1# ping
   Protocol [ip]:
   Target IP address: 99.99.99.1
   Repeat count [5]:
   Datagram size [100]:
   Timeout in seconds [2]:
   Extended commands [n]: y
   Source address or interface: 11.11.11.1
   Type of service [0]:
   Set DF bit in IP header? [no]:
   Validate reply data? [no]:
   Data pattern [0xABCD]:
   Loose, Strict, Record, Timestamp, Verbose[none]:
   Sweep range of sizes [n]:
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 99.99.99.1, timeout is 2 seconds:
   !!!!!
   Success rate is 100 percent (5/5), round-trip min/avg/max = 20/24/32 ms
   CE-1#

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

相關資訊

• 配置基本MPLS VPN
• 使用OSPF配置基本MPLS
• 如何排除MPLS VPN故障
• MPLS故障排除
• 初學者常見問題
• MPLS（多重協定標籤交換）支援頁面
• 適用於VPN的MPLS（適用於VPN的多重協定標籤交換）支援頁面
• 技術支援 - Cisco Systems

修訂記錄