ハブアンドスポーク方式VPN

ハブCE1の設定

ハブCE1を次のように設定します。

ハブPE1の設定

ハブPE1を次のように設定します。

P ルーターの設定

P ルーターを次のように設定します。

スポーク PE2 の設定

スポークPE2を次のように設定します。

スポークPE3の設定

スポーク PE3 を次のように設定します。

スポーク CE2 の設定

スポークCE2を次のように設定します。

スポーク CE3 の設定

スポークCE3を次のように設定します。

この設定例では、スポークCE2とハブCE1の間のトラフィック転送は次のようになります。

1. スポークCE2は、BGPを介してスポークPE2から学習したデフォルトルートを使用してトラフィックを転送します。

2. スポークPE2は、スポークVRFテーブルでルート検索を実行し、BGPで学習したデフォルトルートを使用して、トラフィックをハブPE1に(Pルーターを介して、PE2は2つのラベルをプッシュ)転送します。

3. ハブPE1は、vpnラベル 100336のmpls.0テーブルでルート検索を行います。

4. ハブPE1は、インターフェイス t3-0/0/0.0 からハブCE1にトラフィックを転送します。

この設定例では、ハブCE1とスポークCE2の間でトラフィック転送は次のようになります。

1. ハブCE1は、BGPで学習したルートを使用して、ハブPE1にトラフィックを転送します。

2. ハブPE1は、ハブVRFテーブルでルート検索を行い、トラフィックをスポークPE2に転送します(Pルーターを介して、PE1は2つのラベルをプッシュします)。

3. スポーク PE2 は、vpn ラベル 100352の mpls.0 テーブルでルート ルックアップを行います。

4. スポークPE2は、インターフェイス t1-0/1/2.0 からスポークCE2にトラフィックを転送します。

この設定例では、スポークCE2とスポークCE3の間でトラフィック転送が行われます:

1. スポークCE2は、BGPを介してスポークPE2から学習したデフォルトルートを使用してトラフィックを転送します。

2. スポークPE2は、スポークVRFテーブルでルート検索を行い、BGPで学習したデフォルトルートを使用して、トラフィックをハブPE1に(Pルーターを介して、PE2は2つのラベルをプッシュ)転送します。

3. ハブPE1は、VPNラベル 100336のmpls.0テーブルでルート検索を行います。

4. ハブPE1は、インターフェイス t3-0/0/0.0 からハブCE1にトラフィックを転送します。

5. ハブCE1は、BGPで学習したルーターを使用して、ハブPE1へトラフィックを転送します。

6. ハブPE1は、ハブVRFテーブルでルート検索を行い、トラフィックをスポークPE3に転送します(Pルーターを介して、PE1は2つのラベルをプッシュします)。

7. スポーク PE3 は、VPN ラベル 100128の mpls.0 テーブルでルート ルックアップを行います。

8. スポークPE3は、インターフェイス t3-0/0/0.0 からスポークCE3にトラフィックを転送します。

ハブ VRF ルーティングテーブルでの IP 転送ルックアップを必要とする出力機能がハブ PE で必要な場合は、 ハブ PE ルーターでの出力機能の有効化を参照してください。

ハブPEルーターでのエグレス機能の有効化

この例は、「 ハブアンドスポーク VPN トポロジーの設定:1 つのインターフェイス」と併せて提供されます。この例では、 図 1 に示すトポロジーも使用しています。

ハブ VRF ルーティングテーブルでの IP 転送ルックアップを必要とする出力機能がハブ PE で必要な場合、 ハブアンドスポーク VPN トポロジーの設定で 詳述されている設定: 1 つのインターフェイスは機能しません。ハブルーティング インスタンスに vrf-table-label ステートメントを適用すると、リモートスポークPEからのトラフィックがハブPEに転送され、IPルックアップが強制的に実行されます。特定のスポーク ルートはハブ VRF テーブルにあるため、トラフィックはハブ CE を介さずにスポーク PE に転送されます。

ハブPEは、VPNラベル1028を使用して、次のようにデフォルトルートをアドバタイズします。

受信トラフィックは、VPN ラベル 1028 を使用して転送されます。mpls.0 テーブルは、テーブル hub.inet.0 での IP ルックアップが必要であることを示しています。

ただし、ハブ VRF テーブル hub.inet.0 には、特定のスポーク ルートが含まれています。

このため、トラフィックはハブCEを介さずに直接スポークPEに転送されます。これを防ぐには、ハブPE1でダウンストリームトラフィックのセカンダリルーティング インスタンスを設定する必要があります。

ハブアンドスポーク方式 PE ルーターでの IGP の有効化

ハブアンドスポーク方式の PE ルーターがルーティング情報を交換できるようにするには、これらすべてのルーターで IGP を設定するか、スタティック ルートを設定する必要があります。IGPは、ルーティング インスタンス内(つまり、[edit routing-instances]階層レベルではなく)ではなく、ルーティングプロトコルプロセス(rpd)のプライマリインスタンス(つまり、[edit protocols]階層レベル)で設定します。

IGP は標準的な方法で設定します。この設定例には、設定のこの部分は含まれていません。

ハブアンドスポーク トポロジーのルート配布で、ハブ サイトの CE ルーターと PE ルーター間で使用されるプロトコルが BGP の場合、ハブ CE ルーターは、ハブ PE ルーターおよびスポーク ルーターから受信したすべてのルートを、ハブ PE ルーターおよびすべてのスポーク ルーターにアナウンスします。これは、ハブアンドスポークPEルーターがAS番号を含むルートを受信することを意味します。通常、ルートにこの情報が含まれている場合、ルーティングループが発生し、ルーターがルートを拒否したことを示しています。ただし、vpn 構成が機能するためには、ハブ PE ルーターとスポーク ルーターがこれらのルートを受け入れる必要があります。これを有効にするには、ハブPEルーターとすべてのスポークルーターの[edit routing-options]階層レベルでASを設定するときに、loopsオプションを含めます。この構成例では、値 1 を指定します。0 から 10 までの数値を指定できます。

ハブアンドスポーク PE ルーターでの LDP の設定

VPN に参加するハブアンドスポーク方式 PE ルーター間のインターフェイスで LDP を設定します。

ハブ PE ルーター D で、LDP を設定します。

スポーク PE ルーター E で、LDP を設定します。

スポークPEルータールーターFで、LDPを設定します。

PE ルーターでの IBGP の設定

ハブアンドスポーク PE ルーターで、以下のプロパティを使用して IBGP セッションを設定します。

• VPNファミリー—IBGPセッションがVPN用であることを示すには、 family inet-vpn ステートメントを含めます。

• ループバックアドレス—ローカルPEルーターのループバックアドレスを指定するlocal-addressステートメントを含めます。VPN の IBGP セッションは、ループバック アドレスを介して実行されます。また、[edit interfaces]階層レベルでlo0インターフェイスを設定する必要があります。この例では、ルーターの設定のこの部分は含まれていません。

• ネイバーアドレス— neighbor ステートメントを含めます。ハブ ルーターでは、各スポーク PE ルーターの IP アドレスを指定し、スポーク ルーターでは、ハブ PE ルーターのアドレスを指定します。

ハブ ルーターでは、各スポークとの IBGP セッションを設定し、各スポーク ルーターでは、ハブとの IBGP セッションを設定します。2つのスポークルーター間にIBGPセッションはありません。

ハブルーターDで、IBGPを設定します。最初の neighbor ステートメントは、スポーク ルーター E への IBGP セッションを設定し、2 番目のステートメントは、スポーク ルーター F へのセッションを設定します。

スポークルーターEで、ハブルーターへのIBGPセッションを設定します。

スポークルーターFで、ハブルーターへのIBGPセッションを設定します。

ハブアンドスポーク PE ルーターでの VPN ルーティング インスタンスの設定

ハブ PE ルーターがスポーク PE ルーターに着信するパケットと発信するパケットを区別できるようにするには、2 つのルーティング インスタンスで設定する必要があります。

• 1つのルーティング インスタンス(この例では Spokes-to-Hub-CE)は、ハブPEルーターからハブCEルーターにパケットを伝送するインターフェイス(この例ではインターフェイス ge-0/0/0.0)に関連付けられています。そのVRFテーブルには、スポークPEルーターとハブPEルーターからハブCEルーターに通知されるルートが含まれています。

• 2 番目のルーティング インスタンス(この例では Hub-CE-to-Spokes)は、ハブ CE ルーターからハブ PE ルーターにパケットを伝送するインターフェイス(この例ではインターフェイス ge-0/0/1.0)に関連付けられています。その VRF テーブルには、ハブ CE ルーターからハブアンドスポーク PE ルーターに通知されるルートが含まれています。

各スポーク ルーターで、1 つのルーティング インスタンスを設定する必要があります。

ルーティング インスタンスで以下を定義する必要があります。

• ルート識別子は、ある VPN のアドレスを別の VPN のアドレスと区別するために使用されます。

• PE ルーター上に VRF テーブルを作成する vrf のインスタンスタイプ。

• VPN の一部であり、PE ルーターを CE ルーターに接続するインターフェイス。

• VRF インポートおよびエクスポート ポリシー。どちらのインポートポリシーにも、コミュニティへの参照を含める必要があります。そうしないと、設定のコミットを試みると、コミットが失敗します。(ただし、インポートポリシーに then reject ステートメントしか含まれていない場合は例外です。VRF エクスポート ポリシーでは、スポーク PE ルーターはスポーク ターゲット コミュニティをアタッチします。

• PE ルーターと CE ルーター間のルーティング。PE ルーターが接続された CE ルーターとの間で VPN 関連のルートを配信するために必要です。ルーティングプロトコル(BGP、OSPF、またはRIP)を設定することも、スタティックルーティングを設定することもできます。

ハブアンドスポークトポロジーの場合、ハブCEルーター上の各ルーティング インスタンスで異なるポリシーを設定する必要があります。ハブ PE ルーターからハブ CE ルーターにパケットを伝送するインターフェイス(この例では Spokes-to-Hub-CE)に関連付けられたルーティング インスタンスでは、インポート ポリシーは、ハブアンドスポーク PE ルーター間の IBGP セッションで受信したすべてのルートを受け入れる必要があり、エクスポート ポリシーは、ハブ CE ルーターから受信したすべてのルートを拒否する必要があります。ハブ CE ルーターからハブ PE ルーターにパケットを伝送するインターフェイスに関連付けられたルーティング インスタンス(この例では Hub-CE-to-Spokes)では、インポート ポリシーはスポーク PE ルーターから受信したすべてのルートを拒否し、エクスポート ポリシーはすべてのスポーク ルーターにエクスポートする必要があります。

ハブPEルーターDでは、以下のルーティングインスタンスを設定します。ルーターDは、OSPFを使用してハブCEルーターとのルートを配信します。

スポークPEルーターEで、以下のルーティングインスタンスを設定します。ルーターEは、OSPFを使用して、スポークCEルーターCE1との間でルートを配布します。

スポークPEルーターFでは、以下のルーティングインスタンスを設定します。ルーターFは、OSPFを使用して、スポークCEルーターCE2との間でルートを配布します。

PE ルーターでの VPN ポリシーの設定

各ハブアンドスポーク型 PE ルーターで VPN インポートおよびエクスポート ポリシーを設定して、各 VPN 内でパケットを転送するために使用する VRF テーブルに適切なルートをインストールする必要があります。

スポークルーターでは、ハブルーターとルートを交換するためのポリシーを定義します。

ハブ ルーターでは、スポーク PE ルーターからルートを受け入れてハブ CE ルーターに配信する(またはその逆を行う)ポリシーを定義します。ハブ PE ルーターには、2 つの VRF テーブルがあります。

• スポークツーハブ VRF テーブル — スポーク ルーターから受信したルートを処理し、これらのルートをハブ CE ルーターにアナウンスします。この VRF テーブルでは、インポート ポリシーで、スポーク ターゲット名が存在すること、およびハブ PE とスポーク PE ルーター間の IBGP セッションからルートを受信したことを確認する必要があります。この VRF テーブルはルートをエクスポートしてはならないため、そのエクスポート ポリシーはすべてを拒否する必要があります。

• ハブツースポーク VRF テーブル — ハブ CE ルーターから受信したルートを処理し、スポーク ルーターにアナウンスします。この VRF テーブルでは、エクスポート ポリシーでハブ ターゲット コミュニティを追加する必要があります。この VRF テーブルはルートをインポートしてはならないため、インポート ポリシーはすべてを拒否する必要があります。

VPN ポリシーでは、VPN ターゲットコミュニティも設定します。

ハブ PE ルーター D で、VRF テーブルに適用する以下のポリシーを設定します。

• spoke—IBGP セッションから受信したルートを、そのセッションとコミュニティ ターゲット spokeを含むスポーク PE ルーターとの間で受信したルートを受け入れ、その他のルートをすべて拒否します。

• hub—OSPF(つまり、OSPF とハブ CE ルーター間のセッション)から受信したすべてのルートに、コミュニティ ターゲット ハブを追加します。その他のルートはすべて拒否します。

• null—すべてのルートを拒否します。

• redistribute-vpn—OSPF ルートをルーティング インスタンス内のネイバーに再配布します。

ルーター D に VRF ポリシーを適用するには、ルーティング インスタンスを設定する際に vrf-export および vrf-import ステートメントを含めます。

スポーク PE ルーター E とルーター F で、VRF テーブルに適用する以下のポリシーを設定します。

• hub—コミュニティターゲットhubを含むハブPEルーターとIBGPセッションとの間のIBGPセッションから受信したルートを受け入れ、その他のルートをすべて拒否します。

• spoke - OSPF から受信したすべてのルート(つまり、OSPF とハブ CE ルーター間のセッションから)にコミュニティ ターゲット スポークを追加し、それ以外のルートをすべて拒否します。

• redistribute-vpn—OSPF ルートをルーティング インスタンス内のネイバーに再配布します。

スポークPEルーターEとルーターFで、以下のVPNインポートおよびエクスポートポリシーを設定します。

スポーク ルーターに VRF ポリシーを適用するには、ルーティング インスタンスを設定する際に vrf-export および vrf-import ステートメントを含めます。

ルーター別に要約されたハブアンドスポークVPN設定

• ルーターD(ハブPEルーター)
• ルーターE(スポークPEルーター)
• ルーターF(スポークPEルーター)