Activation de l’accès à Internet pour les VPN de couche 3

Junos OS prend en charge l’accès à Internet à partir d’un réseau privé virtuel (VPN) de couche 3. Vous devez également configurer l’instruction next-table au niveau de la [edit routing-instances routing-instance-name routing-options static route] hiérarchie. Lorsqu’elle est configurée, cette instruction peut faire pointer une route par défaut de la table VPN (instance de routage) vers la table de routage principale (instance par défaut) inet.0. La table de routage principale stocke toutes les routes Internet et est l’endroit où la résolution finale de l’itinéraire a lieu.

Les sections suivantes décrivent comment fournir un accès Internet à un routeur CE dans un VPN de couche 3 sans utiliser l’interface VRF (VPN routing and forwarding). Étant donné que ces méthodes contournent efficacement le VPN de couche 3, elles ne sont pas abordées en détail.

• Le routeur CE accède à Internet indépendamment du routeur PE
• Le routeur PE fournit un service Internet de couche 2

Le routeur CE accède à Internet indépendamment du routeur PE

Dans cette configuration, le routeur PE ne fournit pas l’accès à Internet. Le routeur CE envoie le trafic Internet soit à un autre fournisseur de services, soit au même fournisseur de services mais avec un routeur différent. Le routeur PE gère uniquement le trafic VPN de couche 3 (voir Figure 1).

Figure 1 : le routeur PE ne fournit pas d’accès à Internet

Le routeur PE fournit un service Internet de couche 2

Dans cette configuration, le routeur PE agit comme un périphérique de couche 2, fournissant une connexion de couche 2 (telle qu’une connexion croisée de circuits [CCC]) à un autre routeur doté d’un ensemble complet de routes Internet. Le routeur CE peut utiliser une seule interface physique et deux interfaces logiques pour le routeur PE, ou plusieurs interfaces physiques pour le routeur PE (voir Figure 2).

Figure 2 : un routeur PE se connecte à un routeur connecté à Internet

Dans ce scénario, les routeurs PE fournissent un accès Internet aux routeurs CE. Dans les exemples qui suivent, il est supposé que les routes Internet (ou les routes par défaut) sont présentes dans la table inet.0 des routeurs PE qui fournissent un accès Internet aux routeurs CE sélectionnés.

Lorsque vous accédez à Internet à partir d’un VPN, la traduction d’adresses réseau (NAT) doit être effectuée entre les adresses privées du VPN et les adresses publiques utilisées sur Internet, sauf si le VPN utilise l’espace d’adressage public. Cette section comprend plusieurs exemples de fourniture d’un accès Internet pour les VPN, dont la plupart nécessitent que les routeurs CE effectuent la traduction d’adresse. Toutefois, l’exemple Routage du trafic Internet via un périphérique NAT distinct nécessite toutefois que le fournisseur de services fournisse la fonctionnalité NAT à l’aide d’un périphérique NAT connecté au routeur PE.

Dans tous les exemples, le pool d’adresses IP publiques du VPN (dont les entrées correspondent aux adresses privées traduites) doit être ajouté à la table inet.0 et propagé aux routeurs Internet pour recevoir le trafic inverse des destinations publiques.

Dans cet exemple, le trafic VPN et le trafic Internet sont acheminés via des interfaces différentes. Le routeur CE envoie le trafic VPN via l’interface VPN et envoie le trafic Internet via une interface distincte qui fait partie de la table de routage principale sur le routeur PE1 (le routeur CE peut utiliser soit une interface physique avec deux unités logiques, soit deux interfaces physiques). Le NAT se produit également sur le routeur CE ( voir Figure 3).

Figure 3 : Routage du trafic VPN et Internet via différentes interfaces

Le routeur PE est configuré pour installer et publier le pool d’adresses IP publiques du VPN sur d’autres routeurs centraux (pour le trafic de retour). Le trafic VPN est acheminé normalement. La figure 4 illustre la configuration VPN du routeur PE.

Figure 4 : exemple de trafic Internet acheminé via des interfaces distinctes

La configuration de cet exemple présente les fonctionnalités suivantes :

• Le routeur PE1 utilise deux interfaces logiques pour se connecter au routeur CE1 à l’aide de l’encapsulation Frame Relay.

• Le protocole de routage entre le routeur PE1 et le routeur CE1 est EBGP.

• Le pool d’adresses IP publiques du routeur CE1 est 10.12.1.1 via 10.12.1.254 (10.12.1.0/24).

• Le next-hop-self paramètre est dérivé de l’instruction sur le fix-nh policy routeur PE1. Les routeurs PE sont forcés d’utiliser next-hop-self de manière à ce que la résolution du saut suivant ne soit effectuée que pour l’adresse de bouclage du routeur PE pour les routes non-VPN (par défaut, les routes VPN-Internet Protocol version 4 [IPv4] sont envoyées au moyen de next-hop-self).

Vous pouvez configurer le routeur CE1 avec une route statique par défaut pointant vers son interface publique pour tout le reste.

Les sections suivantes montrent comment acheminer le trafic VPN et Internet via différentes interfaces :

• Configuration des interfaces sur le routeur PE1
• Configuration des options de routage sur le routeur PE1
• Configuration des protocoles BGP, IS-IS et LDP sur le routeur PE1
• Configuration d’une instance de routage sur le routeur PE1
• Configuration des options de stratégie sur le routeur PE1
• Trafic acheminé par différentes interfaces : configuration résumée par routeur

Dans cet exemple, le routeur CE envoie le trafic VPN et Internet via la même interface, mais reçoit le trafic Internet de retour via une interface différente. Le routeur PE a une route par défaut dans la table VRF pointant vers la table de routage principale inet.0. Il achemine le pool d’adresses IP publiques du VPN (trafic Internet de retour) via une interface différente dans inet.0 (voir Figure 5). Le routeur CE continue d’exécuter les fonctions NAT.

Figure 5 : VPN et trafic Internet sortant acheminés via la même interface et trafic Internet retour acheminé via une interface différente

La section suivante montre comment acheminer le trafic VPN et Internet sortant via la même interface et le routage renvoie le trafic Internet via une interface différente :

Cette section montre comment configurer une interface logique unique pour gérer le trafic VPN et Internet en provenance et à destination d’Internet et du routeur CE. Cette interface peut gérer à la fois le trafic VPN et Internet tant qu’il n’y a pas d’adresses privées dans le VPN. Les routes VPN reçues du routeur CE sont ajoutées à la table de routage principale inet.0 au moyen de groupes de tables de routage. Cela permet au routeur PE d’attirer le trafic de retour d’Internet (voir Figure 6).

Figure 6 : interface configurée pour transporter à la fois le trafic Internet et le trafic VPN

Dans cet exemple, le routeur CE n’a pas besoin d’effectuer de NAT, car toutes les routes VPN sont publiques. Le routeur CE dispose d’une interface unique avec le routeur PE, vers laquelle il annonce les routes VPN. Le routeur PE a une route par défaut dans la table VRF pointant vers la table de routage principale inet.0. Le routeur PE importe également les routes VPN reçues du routeur CE dans inet.0 au moyen de groupes de tables de routage.

La configuration suivante pour le routeur PE1 utilise la même topologie que dans Routage du trafic VPN et Internet via différentes interfaces pour les VPN de couche 3. Cette configuration utilise une seule interface logique (au lieu de deux) entre le routeur PE1 et le routeur CE1.

Les sections suivantes montrent comment acheminer le trafic VPN et Internet via la même interface de manière bidirectionnelle (le VPN a des adresses publiques) :

• Configuration des options de routage sur le routeur PE1
• Configuration des protocoles de routage sur le routeur PE1
• Configuration de l’instance de routage sur le routeur PE1
• Trafic acheminé via la même interface de manière bidirectionnelle : Configuration résumée par routeur

L’exemple de cette section montre comment acheminer le trafic VPN et Internet via la même interface dans les deux sens (du routeur CE vers Internet et d’Internet vers le routeur CE). Dans cet exemple, le VPN a des adresses privées. Si vous pouvez configurer EBGP sur le routeur CE, vous pouvez configurer un routeur PE à l’aide de la configuration décrite dans Routage du trafic VPN et Internet via la même interface de manière bidirectionnelle (le VPN a des adresses publiques), même si le VPN a des adresses privées.

Dans l’exemple décrit dans cette section, le routeur CE utilise des communautés distinctes pour annoncer ses routes VPN et ses routes publiques. Le routeur PE importe de manière sélective uniquement les routes publiques dans la table de routage inet.0. Cette configuration garantit que le trafic de retour en provenance d’Internet utilise la même interface entre les routeurs PE et CE que celle utilisée par le trafic VPN à destination des adresses Internet publiques (voir Figure 7).

Figure 7 : Trafic VPN et Internet acheminés via la même interface

Dans cet exemple, le routeur CE dispose d’une interface et d’une session BGP avec le routeur PE, et il balise les routes VPN et Internet avec différentes communautés. Le routeur PE dispose d’une interface, importe de manière sélective les routes du pool d’adresses IP publiques du VPN dans inet.0 et dispose d’une route par défaut dans la table de routage VRF pointant vers inet.0.

Les sections suivantes montrent comment acheminer le trafic VPN et Internet via la même interface de manière bidirectionnelle (le VPN a des adresses privées) :

• Configuration des options de routage pour le routeur PE1
• Configuration d’une instance de routage pour le routeur PE1
• Configuration des options de stratégie pour le routeur PE1
• Trafic acheminé par la même interface de manière bidirectionnelle (le VPN a des adresses privées) : configuration résumée par routeur

Dans cet exemple, le routeur CE n’effectue pas de NAT. Il envoie le trafic VPN et Internet au routeur PE via la même interface. Le routeur PE est connecté à un appareil NAT au moyen de deux interfaces. Une interface est configurée dans la table VRF du routeur PE et pointe vers une interface VPN sur le périphérique NAT, qui peut acheminer le trafic Internet vers le VPN. L’autre interface se trouve dans une instance par défaut ; Par exemple, une partie de la table de routage publique inet.0. Il peut y avoir une seule connexion physique entre le routeur PE et le périphérique NAT et plusieurs connexions logiques (une pour chaque table VRF et une autre interface) dans le cadre de la table de routage globale ( voir Figure 8).

Figure 8 : trafic Internet acheminé via un périphérique NAT distinct

Cette section décrit plusieurs façons de configurer un routeur CE pour qu’il serve de site central pour l’accès à Internet. Le trafic Internet provenant d’autres sites (routeurs CE) est acheminé vers le routeur CE de la centrale (qui effectue également le NAT) à l’aide de l’interface VPN de ce routeur. Le routeur CE de la centrale transfère ensuite le trafic à un routeur PE connecté à Internet via une autre interface identifiée dans la table inet.0. Le routeur CE de la centrale peut annoncer un itinéraire par défaut aux routeurs CE en étoile. L’inconvénient de ce type de configuration est que tout le trafic doit passer par le routeur CE central avant d’aller sur Internet, ce qui entraîne des retards de réseau si ce routeur reçoit trop de trafic. Cependant, dans un réseau d’entreprise, le trafic peut devoir être acheminé vers un site central, car la plupart des réseaux d’entreprise séparent le VPN d’Internet au moyen d’un pare-feu unique.

Cette section comprend les exemples suivants :

• Routage du trafic Internet via un routeur Hub CE
• Routage du trafic Internet via plusieurs routeurs CE

Routage du trafic Internet via un routeur Hub CE

Dans cet exemple, le trafic Internet est acheminé via un routeur CE central. Le routeur CE de la centrale dispose de deux interfaces avec le routeur PE de la centrale : une interface VPN et une interface publique. Il effectue un NAT sur le trafic transféré du routeur PE du hub via l’interface VPN, puis transfère ce trafic de son interface publique vers le routeur PE du hub. Le routeur PE du hub a une route statique par défaut dans sa table VRF pointant vers l’interface VPN du routeur CE du hub. Il annonce cette route par défaut au reste du VPN, attirant tout le trafic non-VPN vers la route CE du hub. Le routeur PE du hub installe et distribue également l’espace d’adressage IP public du VPN (voir Figure 10).

Figure 10 : accès à Internet via un routeur CE central effectuant NAT

La configuration de cet exemple est presque identique à celle décrite dans Routage du trafic Internet via un périphérique NAT distinct. La différence réside dans le fait que le routeur PE1 est configuré pour annoncer une route statique par défaut vers les autres routeurs CE (voir Figure 11).

Figure 11 : accès à Internet fourni par le biais d’un routeur CE central

Les sections suivantes montrent comment configurer l’accès Internet centralisé en acheminant le trafic Internet via un routeur CE central :

• Configuration d’une instance de routage sur le routeur PE1
• Configuration des options de stratégie sur le routeur PE1
• Trafic Internet acheminé par un routeur CE central : configuration résumée par routeur

Configuration d’une instance de routage sur le routeur PE1

Configurez une instance de routage pour le routeur PE1. Dans le cadre de cette configuration, sous routing-options, configurez une route statique par défaut (route 0.0.0.0/0) à installer dans vpna.inet.0 et pointez la route vers l’interface VPN du routeur CE central (10.23.0.1). Configurez également BGP sous l’instance de routage pour exporter la route par défaut vers le routeur CE local :

Configuration des options de stratégie sur le routeur PE1

Configurez les options de stratégie sur le routeur PE1. Dans le cadre de cette configuration, le routeur PE1 doit exporter la route statique par défaut vers tous les routeurs PE distants dans vpna (configuré dans l’instruction policy-statement vpna-export ci-dessous term b) :

Trafic Internet acheminé par un routeur CE central : configuration résumée par routeur

Routeur PE1

La configuration du routeur PE1 est presque identique à celle de l’exemple de Routage du trafic Internet via un périphérique NAT distinct. La différence réside dans le fait que le routeur PE1 est configuré pour annoncer une route statique par défaut aux autres routeurs CE.

Instance de routage

Options de stratégie

Routage du trafic Internet via plusieurs routeurs CE

L’exemple de cette section est une extension de celui décrit dans Accès Internet centralisé via des VPN de couche 3. Cet exemple fournit différents points de sortie pour différents sites au moyen de plusieurs routeurs CE centraux qui remplissent des fonctions similaires. Chaque routeur CE de hub marque l’itinéraire par défaut avec une cible de route différente et permet aux routeurs CE spoke de sélectionner le site du hub qui doit être utilisé pour l’accès à Internet (voir Figure 12).

Figure 12 : deux concentrateurs CE gérant le trafic Internet et NAT

Cet exemple utilise deux routeurs CE centraux qui gèrent le trafic NAT et Internet :

• Balises 0/0 de routeur CE Hub1 avec communauté public-comm1 (cible : 1:111)

• Étiquettes 0/0 de routeur CE Hub2 avec communauté public-comm2 (cible : 1:112)

Dans cet exemple, le routeur spoke CE est configuré pour favoriser Hub2 pour l’accès à Internet.

Les sections suivantes décrivent comment configurer deux routeurs CE centraux pour gérer le trafic Internet et NAT :

• Configuration d’une instance de routage sur le routeur PE1
• Configuration des options de stratégie sur le routeur PE1
• Configuration d’une instance de routage sur le routeur PE3
• Configuration des options de stratégie sur le routeur PE3
• Routage du trafic Internet via plusieurs routeurs CE : configuration résumée par routeur

Configuration d’une instance de routage sur le routeur PE1

Configurer une instance de routage sur le routeur PE1 :

Configuration des options de stratégie sur le routeur PE1

Les options de stratégie pour le routeur PE1 sont les mêmes que dans Routage du trafic Internet via un routeur CE central, mais la configuration de cet exemple inclut une communauté supplémentaire, public-comm1, dans l’instruction export :

La configuration du routeur PE2 est identique à celle du routeur PE1, sauf que le routeur PE2 exporte l’itinéraire par défaut via la communauté public-comm2.

Configuration d’une instance de routage sur le routeur PE3

Configurer l’instance vpna de routage sur le routeur PE3 :

Configuration des options de stratégie sur le routeur PE3

Configurez la stratégie pour le vrf-import routeur PE3 afin de sélectionner le point de sortie Internet en fonction des communautés supplémentaires spécifiées dans Configuration des options de stratégie sur le routeur PE1 :

Routage du trafic Internet via plusieurs routeurs CE : configuration résumée par routeur

Routeur PE1

Cette configuration est une extension de l’exemple de Routage du trafic Internet via un routeur Hub CE. Il fournit différents points de sortie pour différents sites à l’aide de plusieurs routeurs CE centraux qui remplissent des fonctions similaires.

Instances de routage

Options de stratégie

Routeur PE2

La configuration du routeur PE2 est identique à celle du routeur PE1, sauf que le routeur PE2 exporte la route par défaut via la communauté public-comm2.

Routeur PE3

Instances de routage

Options de stratégie