DMVPN, czyli Transport Independent Design dla IWAN. Adam Śniegórski Systems Engineer, CCIE R&S Solutions & Innovation

Transkrypt

1 DMVPN, czyli Transport Independent Design dla IWAN Adam Śniegórski Systems Engineer, CCIE R&S Solutions & Innovation

2 AVC MPLS 3G/4G-LTE ASR1000- AX Chmura prywatna Wirtualna chmura prywatna Oddział WAAS Akamai PfRv3 Internet Chmura publiczna Zarządzanie i orkiestracja Niezależność od transportu Inteligentna kontrola ścieżki Optymalizacja aplikacji Bezpieczeństwo informacji! Sieć nakładkowa (+IPSec)! Spójny model operacyjny! Optymalny routing aplikacji! Efektywne zużycie pasma! Monitorowanie aplikacji! Optymalizacja i caching! Szyfrowanie NG! Ochrona sieci DMVPN Performance Routing AVC, WAAS, Akamai Suite-B, CWS, ZBFW 2

3 Tradycyjnie IWAN Active/Standby Active/Active GETVPN/MPLS DMVPN/Internet Data Center ASR 1000 ASR 1000 Data Center ASR 1000 ASR 1000 DMVPN ISP A SP V ISP A SP V Dwie domeny rutingowe MPLS: ebgp lub Static Internet: ibgp, EIGRP lub OSPF Redystrybucja Ryzyko pętli DMVPN Internet GETVPN MPLS DMVPN Internet DMVPN MPLS Jedna domena rutingowa ibgp, EIGRP, lub OSPF ISR-G2 Branch ISR-G2 Branch 3

4 AVC PfR QoS Wybór ścieżki Overlay Routing Protocol (BGP, EIGRP) Routing klasyczny Transport Independent Design (DMVPN) Sieć nakładkowa MPLS Internet ZBFW CWS Warstwa transportowa 4

5 Funkcjonalność Standard IPSec GRE over IPSec DMVPN Typ Sieci Hub & Spoke mesh mała skala Hub & Spoke mesh mała skala Redundancja Failover Stateful Failover Routing Stateless Failover Hub & Spoke duża skala z dynamicznymi tunelami każdy-zkażdym Active/Active bazujące na dynamicznym routingu Kompatybilność Multivendor Multivendor Routery Cisco IP Multicast Brak wsparcia Wspierane Replikacja Multicast na hub QoS Wspierane Wspierane Per Tunnel QoS, Hub do Spoke Kontrola Polityki Zarządzane lokalnie Zarządzane lokalnie Zarządzane lokalnie Technologia Tunelowany VPN Tunele Punkt-Punkt IKEv1 Tunelowany VPN Tunele Punkt-Punkt IKEv1 Tunelowany VPN Tunel Multi-Point GRE IKEv1 Infrastruktura Sieciowa Transport Prywatny i Publiczny Transport Prywatny i Publiczny Transport Prywatny i Publiczny IPv6 5

6 Generic Route Encapsulation (GRE) (Protokół IP 47) Przenosi: IP broadcast, IP multicast, protokoły nie-ip GRE umożliwia zastosowanie (przenoszenie) adresacji prywatnej na bazie sieci publicznej Tworzy interfejs Przenosi protokoły routingu Wspiera mechanizm keepalive ów 6

7 L3 Tunel GRE Tunel IPsec IP HDR Dane IP HDR GRE HDR IP HDR Dane IP HDR ESP HDR IP HDR GRE HDR Zaszyfrowane IP HDR Dane IPsec (ESP) przenosi jedynie unicastowy ruch IP GRE zapewnia hermetyzację również ruchu L3 innego niż IP, oraz multicastów i broadcastów Przy szyfrowaniu IPSec tuneli GRE stosowany jest tryb tunelowy Trybu tunelowego IPsec używamy zamiast transportowego, bo: Przy wsparciu akceleratora sprzętowego jest tak naprawdę szybszy Nowa funkcjonalność (np. LAF) wymagają trybu tunelowego 7

8 /24.2 H Hub Internet Spoke /24 Spoke 2.2 H /24.2 H3 8

9 Tryb tunelowy crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco47 address crypto isakmp key cisco48 address crypto ipsec transform-set trans2 esp-3des esp-md5-hmac mode tunnel Profil IPsec Ochrona ruchu na interfejsie GRE crypto ipsec profile vpnprof set transform-set trans2 interface Tunnel0 ip address ip mtu 1400 tunnel source GigabitEthernet0/0 tunnel destination tunnel protection ipsec profile vpnprof interface Tunnel1 ip address ip mtu 1400 tunnel source GigabitEthernet0/0 tunnel destination tunnel protection ipsec profile vpnprof interface GigabitEthernet0/0 ip address interface GigabitEthernet0/1 ip address router eigrp 1 network network auto-summary ip classless ip route

10 crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco47 address Tryb tunelowy Profil IPsec Ochrona ruchu na interfejsie GRE crypto ipsec transform-set trans2 esp-3des esp-md5-hmac mode transport crypto ipsec profile vpnprof set transform-set trans2 interface Tunnel0 ip address ip mtu 1400 tunnel source FastEthernet0/0 tunnel destination tunnel protection ipsec profile vpnprof interface FastEthernet0/0 ip address interface FastEthenet0/1 ip address router eigrp 1 network network auto-summary ip classless ip route

11 crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco48 address Tryb tunelowy Profil IPsec Ochrona ruchu na interfejsie GRE crypto ipsec transform-set trans2 esp-3des esp-md5-hmac mode transport crypto ipsec profile vpnprof set transform-set trans2 interface Tunnel0 ip address ip mtu 1400 tunnel source FastEthernet0/0 tunnel destination tunnel protection ipsec profile vpnprof interface FastEthernet0/0 ip address interface FastEthenet0/1 ip address router eigrp 1 network network auto-summary ip classless ip route

12 DMVPN czyli rozwiązanie działające w oparciu o Cisco IOS stworzone do budowania tuneli IPSec+GRE w prosty, dynamiczny i skalowalny sposób VPN Hub Spoke n Redukcja konfiguracji i wdrożenie bezdotykowe Spoke 1 Dynamiczne tunele typu spoke-to-spoke dla częściowej/pełnej topologii typu mesh Może być użyte bez szyfrowania IPSec (opcjonalnie) Różnorodność opcji i rozwiązań Spoke 2 Tunele dynamiczne Tunele statyczne Statyczny adres IP Dynamiczny adres IP 12

13 Umożliwia tworzenie dynamicznych topologii full-mesh lub partial-mesh na żądanie przy zachowaniu prostej konfiguracji gwiazdy VPN Hub Spoke n Wspiera oddziały z dynamicznym adresem na interfejsie WAN Spoke 1 Nie wymagają konfiguracji Hub a przy dodawaniu kolejnych oddziałów Automatyczne budowanie tuneli IPSEC inicjowane przez oddział Spoke 2 Tunele dynamiczne Tunele statyczne Statyczny adres IP Dynamiczny adres IP 13

14 Next Hop Resolution Protocol (NHRP) Proces NHRP Registration Procesy NHRP Resolution oraz NHRP Redirect Multipoint GRE Tunnel Interface (mgre) Jeden interfejs GRE wspiera wiele tuneli GRE/IPSec Eliminuje złożoność konfiguracji routera Szyfrowanie poprzez IPSec Tunnel Protection Dynamicznie tworzy i aplikuje reguły szyfrowania Procesy routingu Dynamiczny routing między węzłami Wiele protokołów: EIGRP, RIP, OSPF, BGP, ODR 14

15 Statyczne tunele Spoke-to-hub /24 Dynamiczne tunele Spoke-to-spoke Statyczny znany adres IP Dynamiczne nieznane adresy Spoke A /24 Physical: dynamic Tunnel0: Physical: Tunnel0: Spoke B Physical: dynamic Tunnel0: /24 15

16 Tunel Spoke-Hub Tunel Spoke-spoke Hub-and-spoke (Faza 1) Spoke-to-spoke (Faza 2) Podczas prezentacji omówimy fazę pierwszą oraz fazę drugą Hierarchia (Faza 3) 16

17 Faza (13)T Połączenia hub-to-spoke Interfejsy point-to-point GRE na spoke, mgre dla hub Uproszczona i mała konfiguracja hub Wsparcie dla dynamicznych IP CPEs (NAT) Wsparcie dla protokołów routingu i multicast Lokalizacje typu spoke nie wymagają pełnej tablicy routingu, sumaryzacja na hub Faza (4)T (Faza 1 +) Dodanie połączenia typu spoke-to-spoke Interfejsy mgre na spoke Bezpośrednia komunikacja spoke-to-spoke (redukcja przesyłu danych na hub) Router spoke musi posiadać pełną tablicę routingu; brak sumaryzacji Tunel spoke-to-spoke uruchamiany przez spoke Ograniczenia routingu Faza (6)T (Faza 2 +) Lepsza skalowalność Routery spoke nie wymagają pełnej tablicy routingu Tunel spoke-to-spoke wyzwalany przez hub Usunięcie ograniczeń protokołów routingu NHRP route/next-hops w RIB (15.2(1)T) 17

18 Spoke-to-hub tunnels Spoke-to-spoke tunnels 2547oDMVPN tunnels IWAN 1.0 Supported IWAN 1.0 Tested IWAN 2.0 Supported Hub and spoke (Phase 1) Spoke-to-spoke (Phase 2) VRF-lite IWAN 2.0 Supported Server Load Balancing Hierarchical (Phase 3) 2547oDMVPN 18

19 Routery oddziałowe rejestrują się w hubie jako klienci serwera NHRP (RFC 2332) używając statyczne mapowanie NHRP Hub tworzy dynamiczny wpis w tabeli NHRP i mapuje prywatny adres tunelu GRE spoke a do dynamicznego (lub statycznego) adresu publicznego spoke a Routery oddziałowe rozgłaszają swoje prywatne sieci LAN do huba a hub uczy się adresacji w poszczególnych spoke ach Tunele spoke-to-hub są tunelami dynamicznymi oraz permanentnymi VPN Brak tuneli spoke-to-spoke ruch między oddziałami przesyłany przez hub 19

20 Mapowanie NHRP Tablica routingu = Dynamiczne tunele IPsec Adr. fiz.: Tunnel0: / à à /24 à bezp /24 à /24 à Adr. fiz.: (dynamiczny) Adr. fiz.: (dynamiczny) 1726 Tunnel0: Tunnel0: /24 Spoke A Spoke B / à à /24 à /24 à /24 à bezp /24 à /24 à /24 à bezp. 20

21 Profil Crypto (brak peer a oraz ACL) Podsieć /24 Konfiguracja NHRP Routing w Hub and Spoke Tunel mgre Szyfrowanie tunelu Brak ACL i crypto map crypto ipsec profile vpnprof set transform-set t1 interface Tunnel0 bandwidth 1000 ip address ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id ip nhrp holdtime 360 no ip split-horizon eigrp 1 ip summary-address eigrp /16 delay 1000 ip tcp adjust-mss 1360 tunnel source Serial1/0 tunnel mode gre multipoint tunnel key tunnel protection ipsec profile vpnprof interface Serial1/0 ip address

22 Profil Crypto (brak peer a oraz ACL) Podsieć /24 Konfiguracja NHRP Tunel p-pgre Szyfrowanie tunelu Brak ACL i crypto map crypto ipsec profile vpnprof set transform-set t1 interface Tunnel0 bandwidth 1000 ip address ip mtu 1400 ip nhrp authentication test ip nhrp map ip nhrp network-id ip nhrp holdtime 360 ip nhrp nhs delay 1000 tunnel source Serial1/0 ip tcp adjust-mss 1360 tunnel destination tunnel key tunnel protection ipsec profile vpnprof interface Serial1/0 ip address negotiated 22

23 Profil Crypto (brak peer a oraz ACL) Podsieć /24 Konfiguracja NHRP Tunel p-pgre Szyfrowanie tunelu Brak ACL i crypto map crypto ipsec profile vpnprof set transform-set t1 interface Tunnel0 bandwidth 1000 ip address ip mtu 1400 ip nhrp authentication test ip nhrp map ip nhrp network-id ip nhrp holdtime 360 ip nhrp nhs delay 1000 tunnel source Serial1/0 ip tcp adjust-mss 1360 tunnel destination tunnel key tunnel protection ipsec profile vpnprof interface Serial1/0 ip address negotiated 23

24 C C C D D /30 is directly connected, Serial1/ /24 is directly connected, Tunnel /24 is directly connected, Ethernet0/ /24 [90/ ] via , 22:39:04, Tunnel /24 [90/ ] via , 22:39:10, Tunnel0... S* /0 [1/0] via D /16 is a summary, 00:04:13, Null0 Hub C /30 is directly connected, Serial1/0 C /24 is directly connected, Tunnel0 C /24 is directly connected, Ethernet0/0 S* /0 is directly connected, Serial1/0 D /16 [90/ ] via , 00:00:08, Tunnel0 Spoke A C /30 is directly connected, Serial1/0 C /24 is directly connected, Tunnel0 C /24 is directly connected, Ethernet0/0 S* /0 is directly connected, Serial1/0 D /16 [90/ ] via , 00:00:05, Tunnel0 Spoke B 24

25 10 20% ruchu wymaga relacji spoke-to-spoke Są pewne rodzaje ruchu IP, które z definicji występują w relacji spoke to-spoke (np. ruch audio/video) Powoduje to obciążenie routerów centralnych oraz obciążenie łączy w węźle centralnym W Fazie 1 tracimy zalety podkładowej (transportowej) sieci IP VPN (np. MPLS lub Internet) Problem rozwiązuje zastosowanie interfejsów mgre w spoke ach a także mechanizmy NHRP Resolution oraz NHRP Redirect VPN 25

26 Komputer PC ( ) w podsieci węzła Spoke A, chce skontaktować się z serwerem web ( ) w podsieci węzła Spoke B. Wysyła pakiet w kierunku serwera /24 Physical: Tunnel0: Physical: Tunnel0: Spoke B.37 Spoke A /24 Physical: 1726 Tunnel0: PC /24 Web 26

27 Router w węźle Spoke A sprawdza routing do sieci docelowej ( ). Według tablicy routingu podsieć docelowa jest dostępna poprzez , poprzez interfejs tunnel /24 Physical: Tunnel0: Physical: Tunnel0: Spoke B /24 à /24 à Spoke A /24 Physical: 1726 Tunnel0: PC /24.37 Web 27

28 Router Spoke A sprawdza swoją tabelę NHRP pod względem adresu przeznaczenia i nie znajduje wpisu. Wysyła zapytanie NHRP query do serwera NHRP /24 Physical: Tunnel0: Physical: Tunnel0: Spoke B à Spoke A /24 Physical: 1726 Tunnel0: PC /24.37 Web 28

29 Serwer NHRP (węzeł Hub) rozwiązuje adres na odpowiedni adres publiczny (1726.2) i wysyła odpowiedź do routera Spoke A / à à Physical: Tunnel0: Physical: Tunnel0: Spoke B.37 Spoke A /24 Physical: 1726 Tunnel0: PC /24 Web 29

30 Router Spoke A odbiera odpowiedź NHRP i umieszcza ją w swojej tabeli mapowania NHRP - to uruchamia budowę tunelu GREoIPSec bezpośrednio do adresu Spoke A używa swojego adresu publicznego /24 Physical: Tunnel0: Physical: Tunnel0: à à Spoke A Physical: 1726 Tunnel0: /24 Spoke B /24 PC = Dynamiczny, tymczasowy tunel IPSec Spoke-to-spoke.37 Web 30

31 Tunel do Spoke B został zestawiony i rozpoczyna się przesyłanie danych ze Spoke A do Spoke B. UWAGA: tunel przesyła ruch tylko w jedną stronę /24 Physical: Tunnel0: Physical: Tunnel0: Spoke A /24 Physical: 1726 Tunnel0: PC Spoke B /24 Web = Dynamiczny, tymczasowy tunel IPSec Spoke-to-spoke 31

32 Serwer web otrzymuje pakiet od PC i wysyła odpowiedź do PC. Ruch zwrotny powoduje procedurę weryfikacji routingu oraz sprawdzenie NHRP dla routera Spoke A. Pakiet jest wysyłany bezpośrednio do Spoke A /24 Physical: Tunnel0: Physical: Tunnel0: Spoke A /24 Physical: 1726 Tunnel0: PC Spoke B /24 Web = Dynamiczny, tymczasowy tunel IPSec Spoke-to-spoke 32

33 Po upłynięciu skonfigurowanego limitu czasowego, wpisy NHRP przedawniają się i tunel IPSec od Spoke A do Spoke B przestaje istnieć /24 Physical: Tunnel0: Physical: Tunnel0: à à Spoke A /24 Physical: 1726 Tunnel0: PC Spoke B /24 Web = Dynamiczny, tymczasowy tunel IPSec Spoke-to-spoke 33

34 crypto isakmp policy 1 encr aes authentication pre-share group 2 crypto isakmp key cisco123 address crypto ipsec transform-set TSET esp-aes esp-sha-hmac mode transport crypto ipsec profile TP set transform-set TSET interface Tunnel ip address no ip redirects ip nhrp authentication cisco ip nhrp map multicast dynamic ip nhrp network-id 1111 ip nhrp redirect tunnel key 10 no ip split-horizon eigrp 10 ip summary-address eigrp tunnel source FastEthernet0/0 tunnel mode gre multipoint tunnel protection ipsec profile TP 34

35 crypto isakmp policy 1 encr aes authentication pre-share group 2 crypto isakmp key cisco123 address crypto ipsec transform-set TSET esp-aes esp-sha-hmac mode transport crypto ipsec profile TP set transform-set TSET interface Tunnel ip address no ip redirect ip nhrp authentication cisco ip nhrp map ip nhrp map multicast ip nhrp network-id 1111 ip nhrp nhs ip nhrp shortcut tunnel key 10 tunnel source FastEthernet0/0 tunnel mode gre multipoint tunnel protection ipsec profile TP 35

36 Keeping the Defaults in Separate VRFs EIGRP default default INSIDE Enable FVRF DMVPN on the Spokes default Internet Edge Block Allow the ISP learned Default Route in the FVRF and used for tunnel establishment VPN-DMZ OUTSIDE default Global Table contains Default Route learned via tunnel. User data traffic follow Tunnel to INSIDE interface on firewall EIGRP (200) default Internet Internet Allow for consistency for implementing corporate security policy for all users default 36 36

37 Since WAN interface is in a VRF, pre-shared key needs to be defined in the VRF Tunnel Destination lookup forced in VRF FVRF WAN interface defined in the VRF LAN interface stays in Global Table ip vrf FVRF rd 100:1! crypto keyring DMVPN vrf FVRF pre-shared-key address key cisco123! Interface Tunnel0 ip address ip nhrp authentication HBfR3lpl ip nhrp map multicast ip nhrp map ip nhrp network-id 1 ip nhrp nhs ip nhrp shortcut tunnel source GigabitEthernet0/0 tunnel mode gre multipoint tunnel vrf FVRF tunnel protection ipsec profile dmvpn! Interface GigabitEthernet 0/0 description WAN interface to ISP in vrf ip address dhcp ip vrf forwarding FVRF Interface GigabitEthernet 0/1 description LAN interface In Global Table 37

38 IWAN CVD Introduction to IWAN (2015 Melbourne) Intelligent WAN (IWAN) Architecture (2015 Milan) IWAN and AVC Management with Cisco Prime Infrastructure (2015 Milan) Whitepapers, presentations, case studies DMVPN ISR and ASR AX Ordering Guide 38

39 Dziękuję J Adam Śniegórski Systems Engineer, CCIE R&S Solutions & Innovation