VPN руководство: DMVPN IPSec - настройка и эксплуатация

Динамические многоточечные виртуальные частные сети IPSec (с применением протокола GRE/NHRP для масштабирования сети VPN IPSec) Автор:

Майк Суленбергер (Mike Sullenberger) Содержание Введение Общие сведения Решение DMVPN Запуск автоматического шифрования IPsec Динамическое создание туннелей для каналов с топологией "звезда" Создание динамического туннеля для трафика между краевыми маршрутизаторами Поддержка протоколов динамической маршрутизации Быстрая коммутация Cisco Express Forwarding для mGRE Использование динамической маршрутизации в виртуальных частных сетях (VPN), защищенных спецификацией IPsec Базовая настройка Примеры таблиц маршрутизации концентраторов и лучей Уменьшение размера настройки маршрутизатора концентратора Поддержка динамических адресов на лучах Динамическая многоточечная сеть типа "звезда" Динамические многоточечные виртуальные частные сети IPSec RIP EIGRP OSPF Начальные условия Условия после установки динамического канала между лучами 1 и 2 VPN с динамическим многоточечным IPsec с двумя концентраторами Схема "Двойной концентратор – одинарный DMVPN" Начальные условия и изменения Системы с двумя концентраторами – топология двойной динамической многоточечной виртуальной частной сети (DMVPN) Начальные условия и изменения Заключение Дополнительные сведения Введение В документе описаны динамические многоточечные виртуальные частные сети IPSec (DMVPN) и причины, побуждающие компании проектировать или переходить на новое решение IPsec VPN в ПО Cisco IOS ® .

Общие сведения При шифровании трафика для его защиты компаниям бывает нужно связывать много узлов с основным узлом, а также друг с другом, через Интернет. Например, системе розничной продажи, которой нужно подключиться к штаб-квартире компании для инвентаризации и подачи заказов, может также потребоваться подключение к другим магазинам компании, чтобы проверить наличие продукта. Раньше единственным способом установить соединение было использование сети уровня 2, такой как ISDN или Frame Relay, для объединения всех компонентов. Настройка и себестоимость этих жестко проложенных каналов для внутреннего IP-трафика может быть трудоемка и дорога.

Если все узлы (включая основной) уже имеют доступ к недорогому Интернет-трафику, его можно использовать для передачи внутреннего IP-трафика между магазинами и головным офисом с применением туннелей IPsec для обеспечения конфиденциальности и

Стр. 1

целостности данных. Для построения больших сетей IPsec с взаимодействием узлов через Интернет для различных компаний, нужна возможность масштабирования сети IPsec. IPsec шифрует трафик между двумя адресуемыми конечными точками вызова, и шифрование выполняется между этими двумя конечными точками с использованием общего "секрета". Так как секрет разделен только между этими двумя конечными точками, шифрованные сети изначально являются набором двухточечных каналов связи. Поэтому IPsec, в сущности, является двухточечной туннельной сетью.

Наиболее подходящим способом является масштабирование больших двухточечных сетей для организации их в сеть с топологией "звезда" или полную (частичную) объединенную сеть. В большинстве сетей почти весь трафик IP приходится на обмен данными между конечными узлами и концентратором, и лишь самая малая его часть - на трафик между самими конечными узлами, поэтому звездообразная топология, как правило, оказывается оптимальным вариантом. Кроме того, такая архитектура соответствует топологии старых сетей Frame Relay, в которых ее применение объяснялось недопустимо высокой стоимостью установки прямых линий между всеми узлами сетей.

При использовании Интернета в качестве посредника между концентратором и лучами, лучи также имеют прямой доступ друг к другу без дополнительных материальных затрат, но до настоящего времени было практически невозможно установить и/или управлять полной (частичной) объединенной сетью. Сети с полностью или частично ячеистой структурой часто являются более предпочтительными, так как они позволяют сэкономить средства, если трафик между двумя лучами можно передать напрямую, а не через концентратор. Трафик между двумя лучами, проходящий через концентратор, использует ресурсы концентратора и может вызвать дополнительную задержку, особенно при использовании шифрования IPsec, т.к.

концентратору придется расшифровывать приходящие пакеты от посылающих лучей, а затем вновь шифровать трафик для передачи его на получающий луч. Еще один пример, когда прямой трафик между лучами более предпочтителен, - ситуация, когда два конца луча находятся в одном городе, а концентратор – на другом конце страны. Из-за развертывания и увеличения в размерах звездообразных сетей IPsec все чаще возникает необходимость в максимально динамичной маршрутизации IP-пакетов. В старых звездообразных сетях Frame Relay это достигалось с помощью протоколов динамической маршрутизации, таких как OSPF или EIGRP, работающих через каналы Frame Relay.

Это использовалось для динамического объявления доступности конечных сетей и обеспечения резервирования сетей с IP-маршрутизацией. Если в сети потерян центральный маршрутизатор, резервный центральный маршрутизатор может автоматически занять его место, чтобы сохранить сетевые подключения к конечным сетям. Это основная проблема с туннелями IPsec и протоколами динамической маршрутизации. Протоколы динамической маршрутизации рассчитаны на использование многоадресных или широковещательных пакетов, но IPsec не поддерживает шифрование этих пакетов. В настоящее время эта проблема решается с помощью использования туннелей общей маршрутной инкапсуляции GRE в комбинации с шифрованием IPsec.

Туннели GRE поддерживают передачу многоадресных и широковещательных IP-пакетов на другой конец туннеля GRE. Туннельный пакет GRE представляет собой однонаправленный пакет IP, поэтому пакет GRE может шифроваться посредством IPsec. В этом сценарии для поддержки сети VPN GRE выполняет тоннелирование, а IPsec - шифрование. Когда туннели GRE настроены, IP-адреса для конечных точек туннеля ( tunnel source ... , tunnel destination ... ) должны быть известны на другом конце туннеля и иметь возможность передачи через Интернет. Это означает, что концентратор и маршрутизаторы всех лучей в этой сети должны иметь статические, не частные IP-адреса.

Для подсоединения к Интернету небольших узлов внешний IP-адрес луча обычно меняется при каждом подключении к Интернету, т.к. каждый раз, когда в канале появляется луч (асимметричная цифровая абонентская линия (ADSL) и абонентский кабельный ввод), поставщик Интернет-услуг (ISP) динамично предоставляет адрес внешнего интерфейса (через протокол динамической настройки узла (DHCP)). Такое динамическое выделение "внешнего адреса" маршрутизатора позволяет ISP реализовывать избыточную подписку для адресного пространства в Интернете, так как одновременно не все пользователи будет подключены к сети. Выделение статического адреса для конечного маршрутизатора может стоить значительно дороже.

Для использования протокола динамической маршрутизации поверх IPsec VPN необходимы туннели GRE, однако при этом теряется возможность использования периферийных серверов с динамически выделяемыми IP-адресами на внешних физических интерфейсах. Все упомянутые, а также дополнительные ограничения, сводятся к следующим пунктам: IPsec использует список контроля доступа (ACL) для определения данных, которые должны быть зашифрованы. Каждый раз, когда добавляется новая сеть (подсеть) после луча или концентратора, необходимо изменить список управления доступом и на центральном маршрутизаторе и на маршрутизаторе на конце луча.

Если SP управляет маршрутизатором, то пользователь должен уведомить SP, чтобы получить список ACL IPsec. Это список изменен таким образом, чтобы новый трафик стал зашифрованным. В больших звездообразных сетях размер настройки на маршрутизаторе концентратора можеть достигнуть такой величины, что его уже нельзя будет использовать. Например, центральному маршрутизатору понадобится около 3900 строк настройки для поддержки 300 конечных маршрутизаторов. При таком большом количестве трудно отобразить всю настройку и найти ее раздел, относящийся к текущей проблеме, отладка которой выполняется.

Кроме того, это настройка размера может быть слишком большой, чтобы уместиться в энергонезависимом ЗУПВ, поэтому ее следует сохранить во флеш-памяти.

Стр. 2

GRE + IPsec должен знать адрес однорангового узла конечной точки. IP-адреса маршрутизаторов на конце луча подключены напрямую к Интернету через собственного ISP, и они зачастую настроены так, что адреса их внешних интерфейсов не являются фиксированными. IP-адреса могут изменяться каждый раз, когда узел подключается к сети (по DHCP). Если необходимо прямое соединение между лучами через IPsec VPN, тогда звездообразная сеть должна стать полностью объединенной сетью. Так как еще неизвестно, между какими лучами необходимо установить соединение, то требуется полная объединенная сеть, даже если соединение всех лучей друг с другом не понадобится.

Также, невозможно настроить IPsec на маленьком маршрутизаторе луча так, чтобы он имел прямое соединение со всеми другими маршрутизаторами лучей в сети; для этого необходимо иметь более мощные маршрутизаторы лучей. Решение для сети DMVPN Чтобы исправить перечисленные проблемы методом масштабирования, решение DMVPN использует Multipoint GRE (mGRE) и протокол разрешения последующего узла (NHRP) с IPsec и некоторыми новыми расширениями. Запуск автоматического шифрования IPsec Без использования решения для сети DMVPN, туннель шифрования IPsec не будет активен до тех пор, пока не появится трафик, требующий использования этого туннеля IPsec.

Для запуска туннеля IPsec и отбрасывания трафика требуется от 1 до 10 секунд. При использовании GRE с IPsec настройка туннеля GRE уже содержит адрес однорангового узла туннеля GRE ( tunnel destination ... ), который одновременно является адресом однорангового узла IPsec. Оба адреса настраиваются предварительно. Если вы используете алгоритм обнаружения конечной точки туннеля (TED) и динамические криптокарты на маршрутизаторе концентратора, то вы можете избежать необходимости предварительной настройки адресов однорангового узла IPsec на концентраторе, но перед началом работы протокола ISAKMP необходимо провести тестовую отправку и получение TED.

Это необязательно, так как при использовании GRE одноранговые адреса источника и назначения известны заранее. Они либо внесены в настройку, либо приведены в NHRP (для многоточечных туннелей GRE). При использовании решения для сетей DMVPN, IPsec запускается одновременно для двухточечных и многоточечных туннелей GRE. Также, нет необходимости настраивать любой криптографический ACL, так как они будут автоматически поставлены от туннельных адресов GRE источника и назначения. Для определения параметров шифрования IPsec используются следующие команды. Обратите внимание на то, что команды set peer ... или match address ...

не требуются, так как данная информация поступает прямо из связанного туннеля GRE или сопоставлений NHRP. crypto ipsec profile set transform-set Следующая команда связывает интерфейс туннеля с профилем IPsec. interface tunnel ... tunnel protection ipsec profile Создание динамического туннеля для каналов типа "звезда" В сети DMVPN на маршрутизаторе концентратора не настроена информация GRE или IPsec о луче. Туннель GRE маршрутизатора луча содержит (посредством команд NHRP) информацию о маршрутизаторе концентратора. Когда маршрутизатор луча запускается, он автоматически устанавливает туннель IPsec с маршрутизатором концентратора, как описано выше.

Затем он использует NHRP, чтобы сообщить маршрутизатору концентратора текущий IP-адрес физического интерфейса. Это полезно по трем причинам: Если IP-адрес физического интерфейса конечного маршрутизатора был присвоен динамически (например, с помощью ADSL или кабельного модема), то для маршрутизатора концентратора нельзя использовать эти данные, так как при каждой перезагрузке конечный маршрутизатор будет получать новый IP-адрес физического интерфейса.

Стр. 3

Настройка центрального маршрутизатора сокращается и упрощается, поскольку ему не нужна информация GRE или IPsec о маршрутизаторах одноранговых узлов. Вся информация постоянно запоминается посредством NHRP. Изменять настройку на концентраторе или других текущих маршрутизаторах луча при добавлении в сеть DMVPN нового маршрутизатора луча не потребуется. Новый маршрутизатор луча настраивается на основе информации концентратора, и при включении маршрутизатор концентратора автоматически его регистрирует. Протокол динамической маршрутизации передает маршрутную информацию для этого луча на концентратор. Концентратор передает эти новые данные маршрутизации другим периферийным устройствам.

Кроме этого, он передает маршрутную информацию всех остальных лучей на этот новый луч. Создание динамического туннеля для трафика между "лучевыми" маршрутизаторами Как отмечалось выше, сейчас в объединенной сети все двухточечные туннели IPsec (или IPsec+GRE) должны быть настроены на все маршрутизаторы, даже если некоторые или большинство из них действуют не все время. Используя решение DMVPN, один маршрутизатор становится концентратором, а другие маршрутизаторы (лучи) настраиваются на концентратор с помощью туннелей. Туннели с топологией "звезда" постоянно включены, и настройка прямого туннеля между какими-либо лучами не требуется.

Напротив, когда один луч хочет передать пакет на другой луч (как подсеть за другим лучом), он использует NHRP для динамического определения необходимого адреса луча назначения. Маршрутизатор концентратора действует в качестве сервера NHRP и обрабатывает этот запрос для исходного луча. Затем два луча динамически создают между собой туннель IPsec (через единый интерфейс mGRE), обеспечивающий прямую передачу данных. Данный динамический туннель между двумя лучами будет автоматически разорван после окончания (настроенного) периода бездействия.

Поддержка протоколов динамической маршрутизации Решение DMVPN основано на туннелях GRE, поддерживающих тоннелирование многоадресных/широковещательных IP-пакетов, поэтому решение DMVPN также поддерживает протоколы динамической маршрутизации, которые работают через туннели IPsec+mGRE. Ранее протокол NHRP требовал явной настройки широковещательного/многоадресного сопоставления для IP-адресов назначения туннеля для поддержки GRE-тонеллирования многоадресных и широковещательных IP-пакетов. Например, на концентраторе вам потребуется строка настройки ip nhrp map multicast для каждого луча. Для решения DMVPN адреса на конце лучей заранее неизвестны, поэтому эта настройка невозможна.

NHRP можно настроить на автоматическое добавление каждого луча в список многоадресного назначения на концентраторе с помощью команды ip nhrp map multicast dynamic . При помощи этой команды, когда маршрутизаторы лучей регистрируют одноадресное сопоставление NHRP при помощи сервера NHRP (концентратора), NHRP также создаст многоадресное сопоставление для этого луча. Это освобождает от необходимости заранее знать адреса лучей. Быстрая коммутация Cisco Express Forwarding для mGRE В настоящий момент трафик в интерфейсе mGRE коммутируется процессом, что приводит к снижению производительности.

Решение DMVPN обеспечивает коммутацию с механизмом переадресации Cisco для трафика mGRE, увеличивая быстродействие. Необязательно использовать команды настройки для включения этой функции. Если коммутация Cisco Express Forwarding разрешена на интерфейсе туннеля GRE и входящих/исходящих физических интерфейсах, то многоточечные туннельные пакеты GRE будут переключаться с помощью Cisco Express Forwarding. Использование динамической маршрутизации в виртуальных частных сетях (VPN), защищенных спецификацией IPsec В данном разделе рассматривается текущее положение дел (до решения DMVPN).

IPsec устанавливается на маршрутизаторы Cisco с помощью нескольких команд для определения шифрования, а затем команды crypto map на внешний интерфейс маршрутизатора. Из-за такой архитектуры и отсутствия стандарта, описывающего порядок использования IPsec для шифрования многоадресных/широковещательных IP-пакетов, пакеты протокола IP маршрутизации невозможно передать через туннель IPsec, и информация о любых изменениях маршрутизации достигнет другого конца туннеля IPsec не сразу. Примечание. Все протоколы динамической маршрутизации, кроме BGP, используют широковещательные и многоадресные IP пакеты. Для решения этой проблемы используются туннели GRE в комбинации с IPsec.

Туннели GRE устанавливаются на маршрутизаторы Cisco с помощью виртуального интерфейса туннеля ( interface tunnel ). Протокол тоннелирования GRE разработан для многоадресных/широковещательных IP пакетов, поэтому протокол динамической маршрутизации можно "запустить" через туннель GRE. Туннельные пакеты GRE являются одноадресными пакетами IP, инкапсулирующими исходный много- или одноадресный пакет IP. Затем можно использовать IPsec для шифрования туннельного

Стр. 4