ハブアンドスポーク VPN

ハブ CE1 の設定

ハブ CE1 を次のように設定します。

ハブ PE1 の設定

ハブ PE1 を次のように設定します。

P ルーターの設定

P ルーターを次のように設定します。

スポーク PE2 の設定

スポーク PE2 を次のように設定します。

スポーク PE3 の設定

スポーク PE3 を次のように設定します。

スポーク CE2 の設定

スポーク CE2 を次のように設定します。

スポーク CE3 の設定

スポーク CE3 を次のように設定します。

この設定例では、スポーク CE2 とハブ CE1 の間のトラフィック転送は次のとおりです。

1. スポーク CE2 は、スポーク PE2 からスポーク トラフィックに学習されたデフォルト ルートを使用してトラフィックBGP。

2. スポーク PE2 は、スポーク VRF テーブルでルート ルックアップを実行し、トラフィックをハブ PE2 に転送します(P ルーターから、PE2 は 2 つのラベルをプッシュします)。スポーク VRF テーブルから学習したデフォルト ルートを使用BGP。

3. ハブ PE1 は VPN ラベルの mpls.0 テーブルでルート ルックアップを実行します 100336 。

4. ハブ PE1 は、トラフィックをインターフェイスからハブ t3-0/0/0.0 CE1 に転送します。

この設定例では、ハブ CE1 とスポーク CE2 の間のトラフィック転送は次のとおりです。

1. ハブ CE1 は、ハブ PE1 から取得したルートを使用して、ハブ PE1 にトラフィックをBGP。

2. ハブ PE1 はハブ VRF テーブルでルート ルックアップを実行し、トラフィックをスポーク PE2 に転送します(P ルーターから、PE1 は 2 つのラベルをプッシュします)。

3. スポーク PE2 は、VPN ラベルの mpls.0 テーブルでルート ルックアップを実行します 100352 。

4. スポーク PE2 は、トラフィックをインターフェイスからスポーク t1-0/1/2.0 CE2 に転送します。

この設定例では、スポーク CE2 とスポーク CE3 の間のトラフィック転送は次のとおりです。

1. スポーク CE2 は、スポーク PE2 からスポーク トラフィックに学習されたデフォルト ルートを使用してトラフィックBGP。

2. スポーク PE2 は、スポーク VRF テーブルでルート ルックアップを実行し、トラフィックをハブ PE1(P ルーターから、PE2 が 2 つのラベルをプッシュ)に転送します。このテーブルから学習したデフォルト ルートを使用BGP。

3. ハブ PE1 は VPN ラベルの mpls.0 テーブルでルート ルックアップを実行します 100336 。

4. ハブ PE1 は、トラフィックをインターフェイスからハブ t3-0/0/0.0 CE1 に転送します。

5. ハブ CE1 は、ハブ PE1 から学習したルーターを使用して、トラフィックをハブ PE1 にBGP。

6. ハブ PE1 はハブ VRF テーブルでルート ルックアップを実行し、トラフィックをスポーク PE3 に転送します(P ルーターから、PE1 は 2 つのラベルをプッシュします)。

7. スポーク PE3 は VPN ラベルの mpls.0 テーブルでルート ルックアップを実行します 100128 。

8. スポーク PE3 はトラフィックをインターフェイスからスポーク t3-0/0/0.0 CE3 に転送します。

ハブ VRF ルーティング テーブル で IP 転送ルックアップが必要なハブ PE でエグレス機能が必要な場合は、 ハブ PE ルーターでのエグレス機能の有効化 を 参照してください。

ハブ PE ルーターでのエグレス機能の有効化

この例は、「ハブアンドスポーク VPN トポロジーの設定: 1 つのインターフェイス 」と 併せて提供されています。この例では、図 1 に示すトポロジー も使用しています。

ハブ VRF ルーティング テーブル で IP 転送ルックアップを必要とするハブ PE でエグレス機能が必要な場合、ハブアンドスポーク VPN トポロジーの設定 で詳しく説明された設定 : 1 つのインターフェイスは機能しません。ハブ ルーティング インスタンスにステートメントを適用すると、リモート スポーク PE からのトラフィックはハブ PE に強制的に転送され、IP ルックアップが vrf-table-label 実行されます。特定のスポーク ルートがハブ VRF テーブルにあるため、トラフィックはハブ トラフィックを通過せずにスポーク PE に転送CE。

ハブ PE は VPN ラベル 1028 を使用して、デフォルト ルートを次のようにアドバタイズします。

受信トラフィックは、VPNラベル1028を使用して転送されます。mpls.0 テーブルは、テーブルの hub.inet.0 で IP ルックアップが必要な場合を示しています。

ただし、ハブ VRF テーブル hub.inet.0 には、次に示す特定のスポーク ルートが含されています。

この理由で、トラフィックはハブ ネットワークを通過せずにスポーク PES に直接CE。これを防止するには、ハブ PE1 のダウンストリーム トラフィックにセカンダリ ルーティング インスタンスを設定する必要があります。

ハブアンドIGP PE ルーターの有効化

ハブアンドスポーク型 PE ルーターがルーティング情報を交換するには、これらのルーターすべてで IGP を設定する必要があります。静的ルートを設定する必要があります。ルーティング プロトコル プロセス(rpd)のプライマリ インスタンス(つまり、階層レベル)で、ルーティング インスタンス内ではなく(階層レベルではない)で IGP を設定 [edit protocols] [edit routing-instances] します。

標準的な方法IGP構成します。この設定例には、設定のこの部分は含めではありません。

ハブアンドスポーク型トポロジーでのルート配信では、ハブ サイトで CE ルーターと PE ルーター間で使用されるプロトコルが BGP である場合、ハブ CE ルーターは、ハブ PE ルーターとスポーク ルーターから受け取ったすべてのルートをハブ PE ルーターとすべてのスポーク ルーターにアナウンスします。これは、ハブアンドスポーク型 PE ルーターが、ネットワーク番号を含むルートを受信AS意味します。通常、ルートにこの情報が含まれている場合、ルーティング ループが発生し、ルーターがルートを拒否することを示します。ただし VPN 設定を機能するには、ハブ PE ルーターとスポーク ルーターがこれらのルートを受け入れる必要があります。これを有効にするには、ハブ PE ルーターとすべてのスポーク ルーター AS階層レベルで設定する際のオプション loops [edit routing-options] を含める必要があります。この設定例では、値 1 を指定します。0~10の数字を指定できます。

ハブアンドスポーク PE ルーターでの LDP の設定

VPN に参加するハブアンドスポーク PE ルーター間のインターフェイスで LDP を設定します。

ハブ PE ルーター D で、LDP を設定します。

スポーク PE ルーター E で、LDP を設定します。

スポーク PE ルーター ルーター F で、LDP を設定します。

PE ルーターでの IBGP の設定

ハブアンドスポーク型 PE ルーターで、次のプロパティを使用して IBGP セッションを設定します。

• VPN ファミリー —IBGP セッションが VPN 用と示す場合は、 ステートメントを含 family inet-vpn にします。

• ループバック アドレス — ローカル PE ルーターのループバック アドレスを指定 local-address するステートメントを含します。VPN の IBGP セッションは、ループバック アドレスを使用して実行されます。また、階層レベルで lo0 インターフェイスを [edit interfaces] 設定する必要があります。この例では、ルーターの設定のこの部分は含めではありません。

• ネイバー アドレス — ステートメントを含 neighbor します。ハブ ルーターで、各スポーク PE ルーターの IP アドレスを指定し、スポーク ルーターでハブ PE ルーターのアドレスを指定します。

ハブ ルーターについては、スポークごとに IBGP セッションを設定し、スポーク ルーターごとにハブで IBGP セッションを設定します。2 台のスポーク ルーター間に IBGP セッションはありません。

ハブ ルーター D で、IBGP を設定します。1 番目のステートメントでは、スポーク ルーター E に IBGP セッションを設定し、2 番目のステートメントではスポーク ルーター F へのセッション neighbor を設定します。

スポーク ルーター E で、ハブ ルーターへの IBGP セッションを設定します。

スポーク ルーター F で、ハブ ルーターへの IBGP セッションを設定します。

ハブアンドスポーク型 PE ルーターでの VPN ルーティング インスタンスの設定

ハブ PE ルーターがスポーク PE ルーターとの間でパケットの宛先を識別するには、2 つのルーティング インスタンスで設定する必要があります。

• 1 つのルーティング インスタンス(この例では)は、ハブ PE ルーターからハブ CE ルーター(この例ではインターフェイス)にパケットを転送するインターフェイスに関連 Spokes-to-Hub-CE 付けされています ge-0/0/0.0 。VRF テーブルには、スポーク PE ルーターによって発表されているルートとハブ PE ルーターからハブ PE ルーターへのルートがCEされています。

• 2 番目のルーティング インスタンス(この例では)は、ハブ CE ルーターからハブ PE ルーター(この例ではインターフェイス)にパケットを転送するインターフェイスに関連 Hub-CE-to-Spokes 付けされています ge-0/0/1.0 。VRF テーブルには、ハブ ルーターからハブアンドCE PE ルーターに対して発表されるルートが格納されています。

各スポーク ルーターで、1 つのルーティング インスタンスを設定する必要があります。

ルーティング インスタンスでは、以下を定義する必要があります。

• ルート識別:あるVPN内のアドレスと別のVPN内のアドレスを区別するために使用します。

• インスタンス タイプ vrf : PE ルーター上に VRF テーブルを作成します。

• VPNの一部であり、PEルーターをルーターのルーターに接続するインターフェイスCEです。

• VRF のインポート ポリシーとエクスポート ポリシー。両方のインポート ポリシーには、コミュニティへの参照を含める必要があります。そうしないと、設定をコミットするとコミットが失敗します。(例外は、インポート ポリシーにステートメントだけが含まれている then reject 場合です)。VRF エクスポート ポリシーでは、スポーク PE ルーターがスポーク ターゲット コミュニティを接続します。

• PE ルーターと PE ルーター CE間のルーティング(PE ルーターが接続されたルーターとの間で VPN 関連のルートを分散CEされます。ルーティング プロトコルの設定(ルーティング プロトコルのBGP設定OSPF RIP の設定や、スタティック ルーティングの設定が可能です。

ハブアンドスポーク型トポロジーでは、ハブアンドスポーク型ルーター上の各ルーティング インスタンスで異なるポリシー CE必要があります。ハブ PE ルーターからハブ CE ルーター(この例では)にパケットを転送するインターフェイスに関連付けられたルーティング インスタンスの場合、インポート ポリシーはハブアンドスポーク PE ルーター間の IBGP セッションで受信したルートすべて受け入れる必要があります。エクスポート ポリシーは、ハブ CE ルーターから受信したルートすべてを拒否する必要があります。 Spokes-to-Hub-CEハブ CE ルーターからハブ PE ルーター(この例では)にパケットを転送するインターフェイスに関連付けられたルーティング インスタンスの場合、インポート ポリシーはスポーク PE ルーターから受信したルートすべてで拒否する必要があります。また、エクスポート ポリシーをすべてのスポーク ルーターにエクスポートする必要があります。 Hub-CE-to-Spokes

ハブ PE ルーター D で、以下のルーティング インスタンスを設定します。ルーター D は、OSPF ルーター間でルートを分散するために、CEします。

スポーク PE ルーター E で、以下のルーティング インスタンスを設定します。ルーター E は、OSPF を使用して、スポーク間およびルーター CE1 間CE分散します。

スポーク PE ルーター F で、以下のルーティング インスタンスを設定します。ルーター F は、OSPFを使用して、スポーク間およびルーター CE2 CE分散します。

PE ルーターでの VPN ポリシーの設定

ハブアンドスポーク型 PE ルーターごとに VPN インポート ポリシーとエクスポート ポリシーを設定して、各 VPN 内でパケットを転送するために使用する VRF テーブルに適切なルートをインストールする必要があります。

スポーク ルーターでは、ハブ ルーターとルートを交換するポリシーを定義します。

ハブ ルーターでは、スポーク PE ルーターからルートを受け入れてハブ ルーターに配信するポリシーを定義し、その逆CEを定義します。ハブ PE ルーターには 2 つの VRF テーブルがあります。

• スポーク-to-ハブ VRF テーブル—スポーク ルーターから受信したルートを処理し、これらのルートをハブ ハブ ルーター CEします。この VRF テーブルでは、インポート ポリシーは、スポーク ターゲット名が存在し、ハブ PE ルーターとスポーク PE ルーター間の IBGP セッションからルートが受け取られたか確認する必要があります。この VRF テーブルはルートをエクスポートする必要はないので、そのルートのエクスポート ポリシーはすべて拒否する必要があります。

• ハブアンドスポーク型 VRF テーブル —ハブ ハブハブから受信したルートCE処理し、スポーク ルーターにアナウンスします。この VRF テーブルでは、エクスポート ポリシーでハブ ターゲット コミュニティを追加する必要があります。この VRF テーブルにルートをインポートする必要はないので、そのルートのインポート ポリシーですべてを拒否する必要があります。

VPN ポリシーでは、VPN ターゲット コミュニティも設定します。

ハブ PE ルーター D で、VRF テーブルに適用する以下のポリシーを設定します。

• spoke:IBGP セッションから受信したルートと、コミュニティ ターゲットを含むスポーク PE ルーターから受信したルートを受け入れ、その他すべてのルート spoke を拒否します。

• hub—コミュニティ ターゲット ハブを、OSPF から受け取ったすべてのルートに追加します(つまり、コミュニティ ターゲット ルーターとハブ ルーター間のセッションCEします。その他すべてのルートを拒否します。

• null—すべてのルートを拒否します。

• redistribute-vpn—ルーティング インスタンスOSPFネイバーに対してルートの分散を再分配します。

ルーター D に VRF ポリシーを適用するには、ルーティング インスタンスを設定する際に、 と ステートメント vrf-export vrf-import を含にします。

スポーク PE ルーター E とルーター F で、VRF テーブルに適用する以下のポリシーを設定します。

• hub:IBGP セッションから受信したルートと、コミュニティ ターゲットを含むハブ PE ルーターから受信したルートを受け入れ、その他すべてのルート hub を拒否します。

• spoke— OSPF から受信したルートすべて(ハブ CE ルーターとのセッションから)にコミュニティ ターゲット スポークを追加すると、その他のすべてのルートが拒否されます。

• redistribute-vpn—ルーティング OSPF内のネイバーにルートとルートを再分配します。

スポーク PE ルーター E およびルーター F で、次の VPN インポート ポリシーとエクスポート ポリシーを設定します。

スポーク ルーターに VRF ポリシーを適用するには、ルーティング インスタンスを設定する際に、 と ステートメント vrf-export vrf-import を含にします。

ハブアンドスポーク VPN 構成をルーター別にまとめ

• ルーター D(ハブ PE ルーター)
• ルーター E(スポーク PE ルーター)
• ルーター F(スポーク PE ルーター)