Exemplo: configure uma VPN de Camada 3 baseada em MPLS básica
Este exemplo mostra como configurar e validar uma VPN básica de Camada 3 baseada em MPLS em roteadores ou switches que executam o Junos OS. O exemplo baseado em IPv4 usa o EBGP como o protocolo de roteamento entre os dispositivos de borda do provedor e do cliente.
Nossa equipe de testes de conteúdo validou e atualizou este exemplo.
Você pode implantar uma VPN (Virtual Private Network, rede privada virtual) baseada em MPLS usando roteadores e switches que executam o Junos OS para interconectar sites de clientes com conectividade de Camada 3. Embora o roteamento estático seja suportado, as VPNs de Camada 3 normalmente têm os dispositivos do cliente trocando informações de roteamento com a rede do provedor e exigem suporte para protocolos IP, ou seja, IPv4 e/ou IPv6.
Isso contrasta com uma VPN de Camada 2, onde os dispositivos do cliente podem não ser baseados em protocolos IP e onde o roteamento, se houver, ocorre entre os dispositivos de borda do cliente (CE). Ao contrário de uma VPN de Camada 3 em que o dispositivo CE interage (peers) com o dispositivo de borda do provedor, em uma VPN de Camada 2 o tráfego do cliente passa de maneira transparente pelo núcleo do provedor com quaisquer protocolos de roteamento executados de ponta a ponta entre os dispositivos CE.
As VPNs baseadas em MPLS exigem funcionalidade MPLS de linha de base na rede do provedor. Assim que o MPLS básico estiver operacional, você pode configurar VPNs que usam caminhos comutados por rótulos (LSPs) para o transporte pelo núcleo do provedor.
A inclusão de serviços VPN não afeta as operações básicas de comutação MPLS na rede do provedor. Na verdade, os dispositivos de provedor (P) exigem apenas uma configuração MPLS de linha de base porque eles não estão cientes de VPN. O estado de VPN é mantido apenas nos dispositivos de borda (PE) do provedor. Essa é uma das principais razões pelas quais as VPNs baseadas em MPLS se expandem tão bem.
Requisitos
Este exemplo usa os seguintes componentes de software e hardware:
Junos OS Versão 12.3 ou posterior para dispositivos de roteamento e comutação
Revalidado no junos OS versão 20.3R1
Dois dispositivos de borda de provedor (PE)
Dispositivo de um provedor (P)
Dois dispositivos de borda do cliente (CE)
O exemplo se concentra em como adicionar uma VPN de Camada 3 a uma linha de base MPLS pré-existente. Uma configuração MPLS básica é fornecida caso sua rede ainda não tenha MPLS implantada.
Para oferecer suporte a VPNs baseadas em MPLS, a linha de base MPLS subjacente deve fornecer a seguinte funcionalidade:
Interfaces voltadas para o núcleo e loopback operacionais com suporte familiar MPLS
Um protocolo de gateway interno, como OSPF ou IS-IS, para fornecer acessibilidade entre os endereços de loopback dos dispositivos de provedor (P e PE)
Um protocolo de sinalização MPLS, como LDP ou RSVP, para sinalizar LSPs
LSPs estabelecidos entre endereços de loopback do dispositivo PE
Os LSPs são necessários entre cada par de dispositivos PE que participam de uma determinada VPN. É uma boa ideia criar LSPs entre todos os dispositivos PE para acomodar o crescimento futuro de VPN. Você configura LSPs no nível de [edit protocols mpls] hierarquia. Ao contrário de uma configuração MPLS para uma conexão de conexão cruzada (CCC), você não precisa associar manualmente o LSP com a interface voltada para o cliente (borda) do dispositivo PE. Em vez disso, as VPNs de Camada 3 usam a sinalização BGP para anunciar a acessibilidade do site. Essa sinalização BGP automatiza o mapeamento de sites remotos de VPN para o encaminhamento de LSP nos próximos hops. Isso significa que, com um mapeamento explícito de VPN de Camada 3 de um LSP para a interface voltada para a borda de um dispositivo PE, não é necessário.
Visão geral e topologia
As VPNs de Camada 3 permitem que os clientes aproveitem a experiência técnica do provedor de serviços para garantir um roteamento eficiente entre sites. O dispositivo de borda do cliente (CE) normalmente usa um protocolo de roteamento, como BGP ou OSPF, para trocar rotas com o dispositivo de borda de provedor de serviços (PE). O roteamento estático é suportado para VPNs de Camada 3, mas um protocolo de roteamento dinâmico geralmente é preferido.
A definição de uma VPN envolve alterações apenas nos dispositivos locais e remotos de PE. Nenhuma configuração adicional é necessária nos dispositivos provedores (supondo que eles já tenham uma linha de base MPLS em funcionamento), porque esses dispositivos só fornecem funções básicas de comutação MPLS. Os dispositivos CE não usam MPLS e exigem apenas uma configuração básica de protocolo de interface e roteamento para que possam interagir com os dispositivos PE.
Em uma VPN de Camada 3, você configura os dispositivos CE para peer com o dispositivo PE local. Isso contrasta com uma VPN de Camada 2, em que os dispositivos CE se conectam entre si como se estivessem em um link compartilhado, apesar de estarem conectados por meio de um núcleo de provedor baseado em MPLS.
Uma vez que uma linha de base MPLS esteja em vigor, você deve configurar a seguinte funcionalidade nos dispositivos PE para estabelecer sua VPN de Camada 3 baseada em MPLS:
Um grupo BGP com
family inet-vpn unicastsuporteUma instância de roteamento com tipo
vrfde instância e uma definição de protocolo de roteamento compatível com o dispositivo CE conectadoAs interfaces voltadas para o cliente nos dispositivos PE configuradas junto com
family inetum endereço IPv4 que coloca a interface na mesma sub-rede que o dispositivo CE conectado. Se desejado encapsulamento VLAN e um ID VLAN correspondente também podem ser configurados.
Para uma conectividade de ponta a ponta adequada, o dispositivo CE precisa ser configurado com parâmetros de protocolo de sub-rede IP e roteamento compatíveis para oferecer suporte a peering com o dispositivo PE.
A Figura 1 mostra a topologia usada neste exemplo. A figura detalha os nomes da interface, o endereço IP e os protocolos de roteamento usados nas redes de provedores e clientes. Ele também destaca a relação de peering entre os dispositivos CE e PE. Neste exemplo, você espera que cada dispositivo CE forme uma sessão de peering EBGP para o dispositivo PE local. Observe que a rede do provedor e ambos os sites de clientes têm um número de sistema autônomo atribuído para dar suporte à operação BGP. Neste exemplo, a política de roteamento é aplicada nos dispositivos CE para que eles anunciem as rotas diretas para suas interfaces voltadas para provedores e loopback.
de roteamento PE-CE
Configurações rápidas
Use as configurações nesta seção para colocar sua VPN de Camada 3 baseada em MPLS em funcionamento rapidamente. As configurações incluem uma linha de base MPLS funcional para oferecer suporte à sua VPN de Camada 3. Este exemplo se concentra nos aspectos VPN da configuração. Consulte os links a seguir para obter informações adicionais sobre a funcionalidade MPLS de linha de base usada neste exemplo:
Configuração rápida de CLI
As configurações do dispositivo omitem a interface de gerenciamento, rotas estáticas, registro de sistema, serviços de sistema e informações de login do usuário. Essas partes da configuração variam de acordo com a localização e não estão diretamente relacionadas à funcionalidade MPLS ou VPN.
Edite os seguintes comandos conforme necessário para as especificidades do seu ambiente e cole-os na janela de terminal de dispositivos CE (CE1) local quando estiver no modo de configuração na [edit] hierarquia:
A configuração completa para o dispositivo CE1.
set system host-name ce1 set interfaces xe-0/0/0:0 description "Link from CE1 to PE1 for L3vpn" set interfaces xe-0/0/0:0 unit 0 family inet address 172.16.1.1/30 set interfaces lo0 unit 0 family inet address 172.16.255.1/32 set routing-options router-id 172.16.255.1 set routing-options autonomous-system 65410 set protocols bgp group PE1 type external set protocols bgp group PE1 export adv_direct set protocols bgp group PE1 peer-as 65412 set protocols bgp group PE1 neighbor 172.16.1.2 set policy-options policy-statement adv_direct term 1 from protocol direct set policy-options policy-statement adv_direct term 1 from route-filter 172.16.0.0/16 orlonger set policy-options policy-statement adv_direct term 1 then accept
A configuração completa para dispositivo PE1.
set system host-name pe1 set interfaces xe-0/0/0:0 description "Link from PE1 to CE1 for L3vpn" set interfaces xe-0/0/0:0 unit 0 family inet address 172.16.1.2/30 set interfaces xe-0/0/0:1 description "Link from PE1 to p-router" set interfaces xe-0/0/0:1 mtu 4000 set interfaces xe-0/0/0:1 unit 0 family inet address 10.1.23.1/24 set interfaces xe-0/0/0:1 unit 0 family mpls set interfaces lo0 unit 0 family inet address 192.168.0.1/32 set routing-instances CE1_L3vpn protocols bgp group CE1 type external set routing-instances CE1_L3vpn protocols bgp group CE1 peer-as 65410 set routing-instances CE1_L3vpn protocols bgp group CE1 neighbor 172.16.1.1 set routing-instances CE1_L3vpn instance-type vrf set routing-instances CE1_L3vpn interface xe-0/0/0:0.0 set routing-instances CE1_L3vpn route-distinguisher 192.168.0.1:12 set routing-instances CE1_L3vpn vrf-target target:65412:12 set routing-options router-id 192.168.0.1 set routing-options autonomous-system 65412 set protocols bgp group ibgp type internal set protocols bgp group ibgp local-address 192.168.0.1 set protocols bgp group ibgp family inet-vpn unicast set protocols bgp group ibgp neighbor 192.168.0.3 set protocols mpls label-switched-path lsp_to_pe2 to 192.168.0.3 set protocols mpls interface xe-0/0/0:1.0 set protocols ospf traffic-engineering set protocols ospf area 0.0.0.0 interface lo0.0 passive set protocols ospf area 0.0.0.0 interface xe-0/0/0:1.0 set protocols rsvp interface lo0.0 set protocols rsvp interface xe-0/0/0:1.0
A configuração completa para o dispositivo P.
set system host-name p set interfaces xe-0/0/0:0 description "Link from p-router to PE1" set interfaces xe-0/0/0:0 mtu 4000 set interfaces xe-0/0/0:0 unit 0 family inet address 10.1.23.2/24 set interfaces xe-0/0/0:0 unit 0 family mpls set interfaces xe-0/0/0:1 description "Link from p-router to PE2" set interfaces xe-0/0/0:1 mtu 4000 set interfaces xe-0/0/0:1 unit 0 family inet address 10.1.34.1/24 set interfaces xe-0/0/0:1 unit 0 family mpls set interfaces lo0 unit 0 family inet address 192.168.0.2/32 set protocols mpls interface xe-0/0/0:0.0 set protocols mpls interface xe-0/0/0:1.0 set protocols ospf traffic-engineering set protocols ospf area 0.0.0.0 interface lo0.0 passive set protocols ospf area 0.0.0.0 interface xe-0/0/0:0.0 set protocols ospf area 0.0.0.0 interface xe-0/0/0:1.0 set protocols rsvp interface lo0.0 set protocols rsvp interface xe-0/0/0:0.0 set protocols rsvp interface xe-0/0/0:1.0
A configuração completa para o dispositivo PE2.
set system host-name pe2 set interfaces xe-0/0/0:1 description "Link from PE2 to CE2 for L3vpn" set interfaces xe-0/0/0:1 unit 0 family inet address 172.16.2.2/30 set interfaces xe-0/0/0:0 description "Link from PE2 to p-router" set interfaces xe-0/0/0:0 mtu 4000 set interfaces xe-0/0/0:0 unit 0 family inet address 10.1.34.2/24 set interfaces xe-0/0/0:0 unit 0 family mpls set interfaces lo0 unit 0 family inet address 192.168.0.3/32 set routing-instances CE2_L3vpn protocols bgp group CE2 type external set routing-instances CE2_L3vpn protocols bgp group CE2 peer-as 65420 set routing-instances CE2_L3vpn protocols bgp group CE2 neighbor 172.16.2.1 set routing-instances CE2_L3vpn instance-type vrf set routing-instances CE2_L3vpn interface xe-0/0/0:1.0 set routing-instances CE2_L3vpn route-distinguisher 192.168.0.3:12 set routing-instances CE2_L3vpn vrf-target target:65412:12 set routing-options router-id 192.168.0.3 set routing-options autonomous-system 65412 set protocols bgp group ibgp type internal set protocols bgp group ibgp local-address 192.168.0.3 set protocols bgp group ibgp family inet-vpn unicast set protocols bgp group ibgp neighbor 192.168.0.1 set protocols mpls label-switched-path lsp_to_pe1 to 192.168.0.1 set protocols mpls interface xe-0/0/0:0.0 set protocols ospf traffic-engineering set protocols ospf area 0.0.0.0 interface lo0.0 passive set protocols ospf area 0.0.0.0 interface xe-0/0/0:0.0 set protocols rsvp interface lo0.0 set protocols rsvp interface xe-0/0/0:0.0
A configuração completa para o dispositivo CE2.
set system host-name ce2 set interfaces xe-0/0/0:0 description "Link from CE2 to PE2 for L3vpn" set interfaces xe-0/0/0:0 unit 0 family inet address 172.16.2.1/30 set interfaces lo0 unit 0 family inet address 172.16.255.2/32 set routing-options router-id 172.16.255.2 set routing-options autonomous-system 65420 set protocols bgp group PE2 type external set protocols bgp group PE2 export adv_direct set protocols bgp group PE2 peer-as 65412 set protocols bgp group PE2 neighbor 172.16.2.2 set policy-options policy-statement adv_direct term 1 from protocol direct set policy-options policy-statement adv_direct term 1 from route-filter 172.16.0.0/16 orlonger set policy-options policy-statement adv_direct term 1 then accept
Certifique-se de cometer as mudanças de configuração em todos os dispositivos quando estiver satisfeito com o seu trabalho. Parabéns por sua nova VPN de Camada 3 baseada em MPLS! Consulte a seção de verificação para saber as etapas necessárias para confirmar que sua VPN de Camada 3 está funcionando como esperado.
Configure o dispositivo PE local (PE1) para uma VPN de Camada 3 baseada em MPLS
Esta seção abrange as etapas necessárias para configurar o dispositivo PE1 para este exemplo. O foco nos dispositivos PE porque é onde a configuração de VPN está alojada. Consulte a seção configurações rápidas para as configurações de dispositivos CE e dispositivos P usadas neste exemplo.
Configure a linha de base MPLS (se necessário)
Antes de configurar uma VPN de Camada 3, certifique-se de que o dispositivo PE tem uma linha de base MPLS em funcionamento. Se você já tiver uma linha de base MPLS, você pode pular para o procedimento passo a passo para adicionar a VPN de Camada 3 aos dispositivos PE.
Configure o nome de host.
[edit] user@pe1# set system host-name pe1
Configure as interfaces de núcleo e loopback:
[edit] user@pe1# set interfaces xe-0/0/0:1 description "Link from PE1 to P-router" [edit] user@pe1# set interfaces xe-0/0/0:1 mtu 4000 [edit] user@pe1# set interfaces xe-0/0/0:1 unit 0 family inet address 10.1.23.1/24 [edit] user@pe1# set interfaces xe-0/0/0:1 unit 0 family mpls [edit] user@pe1# set interfaces lo0 unit 0 family inet address 192.168.0.1/32
Melhores práticas:Embora uma VPN de Camada 3 possa realizar a fragmentação na entrada PE, sua melhor prática é projetar a rede para que a CE possa enviar um quadro de tamanho máximo sem precisar de fragmentação. Para garantir que a fragmentação não ocorra, a rede do provedor deve oferecer suporte ao maior quadro que os dispositivos CE podem gerar depois que os rótulos MPLS e de roteamento e encaminhamento virtual (VRF) forem adicionados pelo dispositivo PE. Este exemplo deixa os dispositivos CE na unidade de transmissão máxima (MTU) padrão de 1500 byte, enquanto configura o núcleo do provedor para oferecer suporte a um MTU de 4000 byte. Isso garante que os dispositivos CE não possam exceder o MTU na rede do provedor, mesmo com a sobrecarga de encapsulamento MPLS e VRF.
Configure os protocolos:
Nota:A engenharia de tráfego tem suporte para LSPs sinalizados por RSVP, mas não é necessária para a implantação básica de MPLS ou VPN. A linha de base MPLS fornecida usa RSVP para sinalizar LSPs e permite a engenharia de tráfego para OSPF. No entanto, nenhuma restrição de caminho está configurada, então você espera que os LSPs sejam roteados pelo caminho mais curto do protocolo de gateway interior.
[edit] user@pe1# set protocols ospf area 0.0.0.0 interface lo0.0 passive [edit] user@pe1# set protocols ospf area 0.0.0.0 interface xe-0/0/0:1.0 [edit] user@pe1# set protocols ospf traffic-engineering [edit] user@pe1# set protocols mpls interface xe-0/0/0:1.0 [edit] user@pe1# set protocols rsvp interface lo0.0 [edit] user@pe1# set protocols rsvp interface xe-0/0/0:1.0
Defina o LSP para o endereço loopback do dispositivo PE remoto:
[edit] user@pe1# set protocols mpls label-switched-path lsp_to_pe2 to 192.168.0.3
A linha de base MPLS agora está configurada no dispositivo PE1. Continue configurando a VPN de Camada 3.
Procedimento
Procedimento passo a passo
Siga essas etapas para configurar o dispositivo PE1 para uma VPN de Camada 3.
Configure a interface voltada para o cliente:
Ponta:Você pode configurar uma VPN de Camada 2 baseada em MPLS e uma VPN de Camada 3 baseada em MPLS no mesmo dispositivo PE. No entanto, você não pode configurar a mesma interface voltada para a borda do cliente para oferecer suporte a uma VPN de Camada 2 e uma VPN de Camada 3.
[edit interfaces] user@pe1# set xe-0/0/0:0 description "Link from PE1 to CE1 for L3vpn" [edit] user@pe1# set xe-0/0/0:0 unit 0 family inet address 172.16.1.2/30
Configure um grupo BGP para o peering entre os dispositivos pe locais e remotos. Use o endereço loopback do dispositivo PE como endereço local e permita que a
inet-vpn unicastfamília de endereços suporte à troca de rotas VPN de Camada 3. Neste exemplo, não é necessária uma política de roteamento para BGP nos dispositivos PE. Por padrão, os dispositivos PE readvertem no IBGP as rotas que aprendem por meio do peering EBGP para o dispositivo CE.[edit protocols bgp] user@pe1# set group ibgp local-address 192.168.0.1 [edit protocols bgp] user@pe1# set group ibgp family inet-vpn unicast
Ponta:Você pode especificar outras famílias de endereços se a sessão de PE para PE IBGP precisar oferecer suporte à troca de rotas não VPN, como rotas IPv4 ou IPv6 regulares usando as famílias ou
inet6asinetfamílias, respectivamente.Configure o tipo de grupo BGP como interno.
[edit protocols bgp] user@pe1# set group ibgp type internal
Configure o endereço loopback do dispositivo PE remoto como um vizinho BGP.
[edit protocols bgp] user@pe1# set group ibgp neighbor 192.168.0.3
Configure o ID do roteador para combinar com seu endereço de loopback e defina o número do sistema autônomo BGP necessário para peering BGP.
[edit routing-options] user@pe1# set router-id 192.168.0.1 [edit routing-options] user@pe1# set autonomous-system 65412
Configure a instância de roteamento. Especifique um nome de CE1_L3vpninstância e configure um
instance-typedevrf.[edit routing-instances] user@pe1# set CE1_L3vpn instance-type vrf
Configure a interface voltada para o cliente do dispositivo PE para pertencer à instância de roteamento.
[edit routing-instances] user@pe1# set CE1_L3vpn interface xe-0/0/0:0.0
Configure o diferencial de rota da instância de roteamento. Essa configuração é usada para distinguir as rotas enviadas de um VRF específico em um determinado dispositivo PE. Ela deve ser única para cada instância de roteamento em cada dispositivo PE.
[edit routing-instances] user@pe1# set CE1_L3vpn route-distinguisher 192.168.0.1:12
Configure o alvo da rota de tabela de roteamento e encaminhamento virtual (VRF) da instância. A
vrf-targetdeclaração adiciona a tag da comunidade especificada a todas as rotas anunciadas e, ao mesmo tempo, iguala automaticamente o mesmo valor para a importação de rotas. Configurar alvos de rota correspondentes nos dispositivos PE que compartilham uma determinada VPN é necessário para uma troca de rotas adequada.[edit routing-instances] user@pe1# set CE1_L3vpn vrf-target target:65142:12
Nota:Você pode criar políticas mais complexas configurando explicitamente políticas de importação e exportação de VRF usando as opções de importação e exportação. Veja detalhes sobre a importação de vrf e a exportação de vrf .
Configure a instância de roteamento para oferecer suporte ao peering EBGP ao dispositivo CE1. O peering de interface direta para a extremidade CE1 do link VRF é usado, e o número do sistema autônomo ce1 é especificado corretamente com o
peer-asparâmetro.[edit routing-instances] user@pe1# set CE1_L3vpn protocols bgp group CE1 type external [edit routing-instances] user@pe1# set CE1_L3vpn protocols bgp group CE1 peer-as 65410 [edit routing-instances] user@pe1# set CE1_L3vpn protocols bgp group CE1 neighbor 172.16.1.1
Cometa suas alterações no dispositivo PE1 e retorne ao modo operacional CLI.
[edit] user@pe1# commit and-quit
Resultados
Exibir os resultados da configuração no dispositivo PE1. A saída reflete apenas a configuração funcional adicionada neste exemplo.
user@pe1> show configuration
interfaces {
xe-0/0/0:0 {
description "Link from PE1 to CE1 for L3vpn";
unit 0 {
family inet {
}
}
unit 0 {
family inet {
address 10.1.23.1/24;
}
family mpls;
}
ge-0/0/1 {
description "Link from PE1 to P-router";
mtu 4000;
unit 0 {
family inet {
address 10.1.23.1/24;
}
family mpls;
}
}
lo0 {
unit 0 {
family inet {
address 192.168.0.1/32;
}
}
}
}
routing-instances {
CE1_L3vpn {
protocols {
bgp {
group CE1 {
type external;
peer-as 65410;
neighbor 172.16.1.1;
}
}
}
instance-type vrf;
interface xe-0/0/0:0.0;
route-distinguisher 192.168.0.1:12;
vrf-target target:65412:12;
}
}
routing-options {
router-id 192.168.0.1;
autonomous-system 65412;
}
protocols {
bgp {
group ibgp {
type internal;
local-address 192.168.0.1;
family inet-vpn {
unicast;
}
neighbor 192.168.0.3;
}
}
mpls {
label-switched-path lsp_to_pe2 {
to 192.168.0.3;
}
interface xe-0/0/0:1.0;
}
ospf {
traffic-engineering;
area 0.0.0.0 {
interface lo0.0 {
passive;
}
interface xe-0/0/0:1.0;
}
}
rsvp {
interface lo0.0;
interface xe-0/0/0:1.0;
}
}
Configure o dispositivo PE remoto (PE2) para uma VPN de Camada 3 baseada em MPLS
Esta seção abrange as etapas necessárias para configurar o dispositivo PE1 para este exemplo. O foco nos dispositivos PE porque é onde a configuração de VPN está alojada. Consulte a seção configurações rápidas para as configurações de dispositivos CE e dispositivos P usadas neste exemplo.
Configure a linha de base MPLS (se necessário)
Antes de configurar uma VPN de Camada 3, certifique-se de que o dispositivo PE tem uma linha de base MPLS em funcionamento. Se você já tiver uma linha de base MPLS, você pode pular para o procedimento passo a passo para adicionar a VPN de Camada 3 aos dispositivos PE.
Configure o nome de host.
[edit] user@pe2# set system host-name pe2
Configure as interfaces de núcleo e loopback:
[edit] user@pe2# set interfaces xe-0/0/0:0 description "Link from PE2 to P-router" [edit] user@pe2# set interfaces xe-0/0/0:0 mtu 4000 [edit] user@pe2# set interfaces xe-0/0/0:0 unit 0 family inet address 10.1.34.2/24 [edit] user@pe2# set interfaces xe-0/0/0:0 unit 0 family mpls [edit] user@pe2# set interfaces lo0 unit 0 family inet address 192.168.0.3/32
Melhores práticas:Embora uma VPN de Camada 3 possa realizar a fragmentação na entrada PE, sua melhor prática é projetar a rede para que a CE possa enviar um quadro de tamanho máximo sem precisar de fragmentação. Para garantir que a fragmentação não ocorra, a rede do provedor deve oferecer suporte ao maior quadro que os dispositivos CE podem gerar depois que os rótulos MPLS e de roteamento e encaminhamento virtual (VRF) forem adicionados pelo dispositivo PE. Este exemplo deixa os dispositivos CE na unidade de transmissão máxima (MTU) padrão de 1500 byte, enquanto configura o núcleo do provedor para oferecer suporte a um MTU de 4000 byte. Isso garante que os dispositivos CE não possam exceder o MTU na rede do provedor, mesmo com a sobrecarga de encapsulamento MPLS e VRF.
Configure os protocolos:
Nota:A engenharia de tráfego tem suporte para LSPs sinalizados por RSVP, mas não é necessária para a implantação básica de MPLS ou VPN. A linha de base MPLS fornecida usa RSVP para sinalizar LSPs e permite a engenharia de tráfego para OSPF. No entanto, nenhuma restrição de caminho está configurada, então você espera que os LSPs sejam roteados pelo caminho mais curto do protocolo de gateway interior.
[edit] user@pe2# set protocols ospf area 0.0.0.0 interface lo0.0 passive [edit] user@pe2# set protocols ospf area 0.0.0.0 interface xe-0/0/0:0.0 [edit] user@pe2# set protocols ospf traffic-engineering [edit] user@pe2# set protocols mpls interface xe-0/0/0:0.0 [edit] user@pe2# set protocols rsvp interface lo0.0 [edit] user@pe2# set protocols rsvp interface xe-0/0/0:0.0
Defina o LSP para o endereço loopback do dispositivo PE remoto:
[edit] user@pe2# set protocols mpls label-switched-path lsp_to_pe1 to 192.168.0.1
A linha de base MPLS agora está configurada no dispositivo PE1. Continue configurando a VPN de Camada 3.
Procedimento
Procedimento passo a passo
Siga essas etapas para configurar o dispositivo PE2 para uma VPN de Camada 3.
Configure a interface voltada para o cliente:
Ponta:Você pode configurar uma VPN de Camada 2 baseada em MPLS e uma VPN de Camada 3 baseada em MPLS no mesmo dispositivo PE. No entanto, você não pode configurar a mesma interface voltada para a borda do cliente para oferecer suporte a uma VPN de Camada 2 e uma VPN de Camada 3.
[edit interfaces] user@pe2# set xe-0/0/0:1 description "Link from PE2 to CE2 for L3vpn" [edit] user@pe2# set xe-0/0/0:1 unit 0 family inet address 172.16.2.2/30
Configure um grupo BGP para o peering entre os dispositivos pe locais e remotos. Use o endereço loopback do dispositivo PE como endereço local e permita que a
inet-vpn unicastfamília de endereços suporte à troca de rotas VPN de Camada 3.[edit protocols bgp] user@pe1# set group ibgp local-address 192.168.0.1 [edit protocols bgp] user@pe1# set group ibgp family inet-vpn unicast
Ponta:Você pode especificar outras famílias de endereços se a sessão de PE para PE IBGP precisar oferecer suporte à troca de rotas não VPN, como rotas IPv4 ou IPv6 regulares usando as famílias ou
inet6asinetfamílias, respectivamente.Configure o tipo de grupo BGP como interno.
[edit protocols bgp] user@pe2# set group ibgp type internal
Configure o endereço de loopback do dispositivo PE1 como um vizinho BGP.
[edit protocols bgp] user@pe2# set group ibgp neighbor 192.168.0.1
Configure o ID do roteador para combinar com seu endereço de loopback e definir o número do sistema autônomo BGP.
[edit routing-options] user@pe2# set routing-options router-id 192.168.0.3 [edit routing-options] user@pe2# set autonomous-system 65412
Configure a instância de roteamento. Especifique um nome de CE2_L3vpninstância com um
instance-typedevrf.[edit routing-instances] user@pe2# set CE2_L3vpn instance-type vrf
Configure a interface voltada para o cliente do dispositivo PE para pertencer à instância de roteamento.
[edit routing-instances] user@pe2# set CE2_L3vpn interface xe-0/0/0:1.0
Configure o diferencial de rota da instância de roteamento. Essa configuração é usada para distinguir as rotas enviadas de um VRF específico em um determinado dispositivo PE. Ela deve ser única para cada instância de roteamento em cada dispositivo PE.
[edit routing-instances] user@pe2# set CE2_L3vpn route-distinguisher 192.168.0.3:12
Configure o alvo da rota de tabela de roteamento e encaminhamento virtual (VRF) da instância. A
vrf-targetdeclaração adiciona a tag da comunidade especificada a todas as rotas anunciadas e, ao mesmo tempo, iguala automaticamente o mesmo valor para a importação de rotas. Configurar alvos de rota correspondentes nos dispositivos PE que compartilham uma determinada VPN é necessário para uma troca de rotas adequada.[edit routing-instances] user@pe2# set CE2_L3vpn vrf-target target:65412:12
Nota:Você pode criar políticas mais complexas configurando explicitamente políticas de importação e exportação de VRF usando as opções de importação e exportação. Veja detalhes sobre a importação de vrf e a exportação de vrf .
Configure a instância de roteamento para oferecer suporte ao peering EBGP ao dispositivo CE2. O peering de interface direta para a extremidade CE2 do link VRF é usado, e o número do sistema autônomo ce2 é especificado corretamente com o
peer-asparâmetro.[edit routing-instances] user@pe2# set CE2_L3vpn protocols bgp group CE2 type external [edit routing-instances] user@pe2# set CE2_L3vpn protocols bgp group CE2 peer-as 65420 [edit routing-instances] user@pe2# set CE2_L3vpn protocols bgp group CE2 neighbor 172.16.2.1
Cometa suas alterações no dispositivo PE2 e retorne ao modo operacional CLI.
[edit] user@pe2# commit and-quit
Resultados
Exibir os resultados da configuração no dispositivo PE2. A saída reflete apenas a configuração funcional adicionada neste exemplo.
user@pe2> show configuration
interfaces {
xe-0/0/0:0 {
description "Link from PE2 to p-router";
mtu 4000;
unit 0 {
family inet {
address 10.1.34.2/24;
}
family mpls;
}
}
xe-0/0/0:1 {
description "Link from PE2 to CE2 for L3vpn";
unit 0 {
family inet {
address 172.16.2.2/30;
}
}
}
lo0 {
unit 0 {
family inet {
address 192.168.0.3/32;
}
}
}
}
routing-instances {
CE2_L3vpn {
protocols {
bgp {
group CE2 {
type external;
peer-as 65420;
neighbor 172.16.2.1;
}
}
}
instance-type vrf;
interface xe-0/0/0:1.0;
route-distinguisher 192.168.0.3:12;
vrf-target target:65412:12;
}
}
routing-options {
router-id 192.168.0.3;
autonomous-system 65412;
}
protocols {
bgp {
group ibgp {
type internal;
local-address 192.168.0.3;
family inet-vpn {
unicast;
}
neighbor 192.168.0.1;
}
}
mpls {
label-switched-path lsp_to_pe1 {
to 192.168.0.1;
}
interface xe-0/0/0:0.0;
}
ospf {
traffic-engineering;
area 0.0.0.0 {
interface lo0.0 {
passive;
}
interface xe-0/0/0:0.0;
}
}
rsvp {
interface lo0.0;
interface xe-0/0/0:0.0;
}
}
Verificação
Realize essas tarefas para verificar se a VPN de Camada 3 baseada em MPLS funciona corretamente:
- Verifique as adjacências e o intercâmbio de rotas do provedor OSPF
- Verifique as configurações da interface MPLS e RSVP
- Verifique os LSPs sinalizados por RSVP
- Verifique o status da sessão BGP
- Verifique as rotas de VPN de Camada 3 na tabela de roteamento
- Ping no dispositivo PE remoto usando a conexão VPN de Camada 3
- Verifique a operação de ponta a ponta dos dispositivos CE na VPN de Camada 3
Verifique as adjacências e o intercâmbio de rotas do provedor OSPF
Propósito
Confirme que o protocolo OSPF está funcionando corretamente na rede do provedor, verificando o status de adjacência e as rotas aprendidas do OSPF para os endereços de loopback dos dispositivos de provedor remoto. A operação adequada de IGP é essencial para o bem-sucedido estabelecimento de LSPs MPLS.
Ação
user@pe1> show ospf neighbor Address Interface State ID Pri Dead 10.1.23.2 xe-0/0/0:1.0 Full 192.168.0.2 128 37
user@pe1> show route protocol ospf | match 192.168 192.168.0.2/32 *[OSPF/10] 1w1d 23:59:43, metric 1 192.168.0.3/32 *[OSPF/10] 1w1d 23:59:38, metric 2
Significado
A saída mostra que o dispositivo PE1 estabeleceu uma adjacência de OSPF para o dispositivo P (192.168.0.2). Ele também mostra que os endereços de loopback de dispositivos P e PE remotos (192.168.0.2) e (192.168.0.3) são corretamente aprendidos via OSPF no dispositivo PE local.
Verifique as configurações da interface MPLS e RSVP
Propósito
Verifique se os protocolos RSVP e MPLS estão configurados para operar na interface voltada para o núcleo do dispositivo PE. Essa etapa também verifica se family mpls está configurada corretamente no nível de unidade da interface voltada para o núcleo do dispositivo PE.
Ação
user@pe1> show mpls interface Interface State Administrative groups (x: extended) xe-0/0/0:1.0 Up <none>
user@pe1> show rsvp interface
RSVP interface: 2 active
Active Subscr- Static Available Reserved Highwater
Interface State resv iption BW BW BW mark
lo0.0 Up 0 100% 0bps 0bps 0bps 0bps
xe-0/0/0:1.0 Up 1 100% 10Gbps 10Gbps 0bps 0bps
Significado
A saída mostra que MPLS e RSVP estão configurados corretamente nas interfaces de núcleo e loopback do dispositivo PE local.
Verifique os LSPs sinalizados por RSVP
Propósito
Verifique se os LSPs de entrada e saída sinalizados por RSVP estão corretamente estabelecidos entre os endereços de loopback do dispositivo PE.
Ação
user@pe1> show rsvp session Ingress RSVP: 1 sessions To From State Rt Style Labelin Labelout LSPname 192.168.0.3 192.168.0.1 Up 0 1 FF - 17 lsp_to_pe2 Total 1 displayed, Up 1, Down 0 Egress RSVP: 1 sessions To From State Rt Style Labelin Labelout LSPname 192.168.0.1 192.168.0.3 Up 0 1 FF 3 - lsp_to_pe1 Total 1 displayed, Up 1, Down 0 Transit RSVP: 0 sessions Total 0 displayed, Up 0, Down 0
Significado
A saída mostra que as sessões de RSVP de entrada e saída estão corretamente estabelecidas entre os dispositivos PE. Um estabelecimento LSP bem-sucedido indica que a linha de base MPLS está operacional.
Verifique o status da sessão BGP
Propósito
Verifique se a sessão do IBGP entre os dispositivos PE está corretamente estabelecida com suporte para informações de acessibilidade da camada de rede VPN (NLRI) da Camada 3. Nesta etapa, você também confirma que a sessão local de PE para CE EBGP está estabelecida e configurada corretamente para trocar rotas IPv4.
Ação
user@pe1> show bgp summary
Groups: 2 Peers: 2 Down peers: 0
Table Tot Paths Act Paths Suppressed History Damp State Pending
inet.0
0 0 0 0 0 0
bgp.l3vpn.0
2 2 0 0 0 0
Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped...
172.16.1.1 65410 26038 25938 0 0 1w1d 3:12:32 Establ
CE1_L3vpn.inet.0: 1/2/2/0
192.168.0.3 65412 19 17 0 0 6:18 Establ
CE1_L3vpn.inet.0: 2/2/2/0
bgp.l3vpn.0: 2/2/2/0
Significado
A saída mostra que a sessão do IBGP para o dispositivo PE remoto (192.168.0.3) foi corretamente estabelecida (Establ), e através do Up/Dwn campo, há quanto tempo a sessão está no estado atual (6:18). O flaps campo confirma que não ocorreram transições de estado (0), indicando que a sessão está estável. Observe também que as rotas de VPN de Camada 3 (NLRI) foram aprendidas com o PE remoto, conforme mostrado pela presença de uma bgp.l3vpn.0 tabela.
O display também confirma que a sessão de EBGP para o dispositivo CE1 local (172.16.1.1) está estabelecida e que as rotas IPv4 foram recebidas do dispositivo CE1 e instaladas na instância de roteamento de dispositivos CE1 (CE1_L3vpn.inet.0)
Essa saída confirma que o peering BGP entre os dispositivos PE e o dispositivo CE está funcionando corretamente para dar suporte à sua VPN de Camada 3.
Verifique as rotas de VPN de Camada 3 na tabela de roteamento
Propósito
Confirme que a tabela de roteamento do dispositivo PE1 é povoada com rotas VPN de Camada 3 anunciadas pelo PE remoto. Essas rotas são usadas para encaminhar o tráfego para o dispositivo CE remoto.
Ação
user@pe1> show route table bgp.l3vpn.0
bgp.l3vpn.0: 2 destinations, 2 routes (2 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
192.168.0.3:12:172.16.2.0/30
*[BGP/170] 00:22:45, localpref 100, from 192.168.0.3
AS path: I, validation-state: unverified
> to 10.1.23.2 via xe-0/0/0:1.0, label-switched-path lsp_to_pe2
192.168.0.3:12:172.16.255.2/32
*[BGP/170] 00:22:43, localpref 100, from 192.168.0.3
AS path: 65420 I, validation-state: unverified
> to 10.1.23.2 via xe-0/0/0:1.0, label-switched-path lsp_to_pe2
user@pe1> show route table CE1_L3vpn.inet.0
CE1_L3vpn.inet.0: 5 destinations, 6 routes (5 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
172.16.1.0/30 *[Direct/0] 1w1d 03:29:44
> via xe-0/0/0:0.0
[BGP/170] 1w1d 03:29:41, localpref 100
AS path: 65410 I, validation-state: unverified
> to 172.16.1.1 via xe-0/0/0:0.0
172.16.1.2/32 *[Local/0] 1w1d 03:29:44
Local via xe-0/0/0:0.0
172.16.2.0/30 *[BGP/170] 00:23:28, localpref 100, from 192.168.0.3
AS path: I, validation-state: unverified
> to 10.1.23.2 via xe-0/0/0:1.0, label-switched-path lsp_to_pe2
172.16.255.1/32 *[BGP/170] 1w1d 03:29:41, localpref 100
AS path: 65410 I, validation-state: unverified
> to 172.16.1.1 via xe-0/0/0:0.0
172.16.255.2/32 *[BGP/170] 00:23:26, localpref 100, from 192.168.0.3
AS path: 65420 I, validation-state: unverified
> to 10.1.23.2 via xe-0/0/0:1.0, label-switched-path lsp_to_pe2
Significado
O show route table bgp.l3vpn.0 comando exibe as rotas de VPN de Camada 3 que foram recebidas do dispositivo PE remoto. O show route table CE1_L3vpn.inet.0 comando lista todas as rotas que foram importadas para a CE1_L3vpn instância de roteamento. Essas entradas representam as rotas aprendidas com o peering EBGP local até o dispositivo CE1, além das rotas recebidas do dispositivo PE2 remoto com um alvo de rota correspondente.
Ambas as tabelas mostram que as rotas remotas de VPN de Camada 3 estão corretamente associadas ao lsp_to_pe2 LSP como um próximo salto de encaminhamento. As saídas confirmam que o dispositivo PE local aprendeu as rotas associadas à localização remota do CE2 a partir do dispositivo PE2. Ele também mostra que o PE local encaminhará o tráfego VPN de Camada 3 para o dispositivo PE2 remoto usando o transporte MPLS pela rede do provedor.
Ping no dispositivo PE remoto usando a conexão VPN de Camada 3
Propósito
Verifique a conectividade VPN de Camada 3 entre os dispositivos PE locais e remotos usando ping. Esse comando verifica o roteamento VPN de Camada 3 e a operação de encaminhamento MPLS entre os dispositivos PE.
Ação
user@pe1> ping routing-instance CE1_L3vpn 172.16.2.2 source 172.16.1.2 count 2 PING 172.16.2.2 (172.16.2.2): 56 data bytes 64 bytes from 172.16.2.2: icmp_seq=0 ttl=61 time=128.235 ms 64 bytes from 172.16.2.2: icmp_seq=1 ttl=61 time=87.597 ms --- 172.16.2.2 ping statistics --- 2 packets transmitted, 2 packets received, 0% packet loss round-trip min/avg/max/stddev = 87.597/107.916/128.235/20.319 m
Significado
A saída confirma que os planos de controle e encaminhamento de VPN de Camada 3 estão operando corretamente entre os dispositivos PE.
Verifique a operação de ponta a ponta dos dispositivos CE na VPN de Camada 3
Propósito
Verifique a conectividade VPN de Camada 3 entre os dispositivos CE. Esta etapa confirma que os dispositivos CE têm interfaces operacionais e estão devidamente configurados para conectividade de Camada 3 baseada em EBGP. Isso é feito verificando se o dispositivo CE1 local aprendeu as rotas remotas do dispositivo CE, e confirmando que os dispositivos CE são capazes de passar o tráfego de ponta a ponta entre seus endereços de loopback.
Ação
user@ce1> show route protocol bgp
inet.0: 12 destinations, 12 routes (12 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
172.16.2.0/30 *[BGP/170] 00:40:50, localpref 100
AS path: 65412 I, validation-state: unverified
> to 172.16.1.2 via xe-0/0/0:0.0
172.16.255.2/32 *[BGP/170] 00:40:49, localpref 100
AS path: 65412 65420 I, validation-state: unverified
> to 172.16.1.2 via xe-0/0/0:0.0
inet6.0: 1 destinations, 1 routes (1 active, 0 holddown, 0 hidden)
user@ce1> ping 172.16.255.2 source 172.16.255.1 size 1472 do-not-fragment count 2 PING 172.16.255.2 (172.16.255.2): 1472 data bytes 1480 bytes from 172.16.255.2: icmp_seq=0 ttl=61 time=79.245 ms 1480 bytes from 172.16.255.2: icmp_seq=1 ttl=61 time=89.125 ms --- 172.16.255.2 ping statistics --- 2 packets transmitted, 2 packets received, 0% packet loss round-trip min/avg/max/stddev = 79.245/84.185/89.125/4.940 ms
Significado
A saída mostra que a conectividade baseada em VPN de Camada 3 está funcionando corretamente entre os dispositivos CE. O dispositivo CE local aprendeu a interface VRF do dispositivo CE remoto e rotas de loopback através do BGP. O ping é gerado para o endereço de loopback do dispositivo CE remoto, e é originado do endereço loopback do dispositivo CE local usando o source 172.16.255.1 argumento. Adicionar os do-not-fragment switches e size 1472 confirmar que os dispositivos CE são capazes de passar pacotes de IP de 1500 byte sem evocar fragmentação no dispositivo PE local.
O size 1472 argumento adicionado ao ping comando gera 1472 bytes de dados eco. Mais 8 bytes do Protocolo de Mensagem de Controle de Internet (ICMP) e 20 bytes de cabeçalho ip são adicionados para levar o tamanho total da carga para 1500 bytes. A adição do do-not-fragment switch garante que os dispositivos CE e PE locais não possam realizar a fragmentação. Este método de ping confirma que a fragmentação não é necessária ao trocar quadros Ethernet de comprimento máximo padrão de 1500 byte entre os dispositivos CE.
Esses resultados confirmam que a VPN de Camada 3 baseada em MPLS está funcionando corretamente.