3.VPN实验 IPSecVPN高可用性技术-Work Blog

CISCO
CCSP VPN 实验
作者：现任明受教．．
明教荣誉出品
现任朋教教主 VPNN
IPSec
CCSPVPNT*
IPSec
• Reverse Route Injection RRI
• Dead Peer Detection DPO
ox
• Stateful Failover for IPSec (
ASA Stateful Failover IPSec
• ASA VPN load-balancing ( ffßk) VPNN
Reverse Route injection (RRI)
Reverse Route
CCSPVPNT* VPN 实验
Reverse Route injection （ RRI)
CCSPVPNI:* 现任明教教主出品
网络配置
1 1 ． 0 4
It
0 0 到 55 ．芒 S 00
尹 0 》以、 Zl 闐 00 冫瑟； 5 冫 5 ， 0
20z10 1 ．伊 24
00 梵弱心 LIZ 和 L10 是嗎 S ．噁 S 飞》
6 凵，血 4
0 、， 6112at1 萏 5 严 52 望． 0
0 ZZZI ， Z ．馭 0
、》 “ ：冫 2 》 0 0 ℃ ℃ 055 0@0 0
2.2 ． 024
0 冫 ℃ 0.0 ℃ 55 0 閨 0 0
注意： Site2 和 Inside 路山器没有 "Remote proxy 尾 en 地 s ” 的路山，需要通过 RR № 重分布来获取 Reverse Route injection (RRI)
crypE Éakm 10
autnonbcati«x pro-shxo
crypb E.akm key ceco address .
coo
crypkl Osec transfemn-set
crypE map 10
set 61.128'"
sot Yansform-set
match 101
crypta map Cisco
CCSPVPN"
crypE pdiCy 10
authonbcaton çn-*ara
crypE key 202.100.
permitip 2220
crypt' tra•vsftxm-set c*co espdes
crypE map Cisco 10
set 202
set
match 101 VPNN
Reverse Route injection (RRI)
CCSPVPNT*
crypto map cisco I O ipsec-isakmp
set reverse-route tag 10 10)
reverse-route (
route-map static-to-ospf permit 10
match tag 10
router ospf I
redistribute static subnets route-map static-to-ospf VPNN
Dead Peer Detection (DPO)
CCSPVPNT*
DPD Periodicæy
crypto isakmp keepalive Berlodi@
CO
crypto isakmp keepalive 10 periodic VPN 实验
刂链路各份）
CCSPVPNI:* 现任明教教主出品
高可用性 VPN （链路备份）
重分 0 氕身轟设
202 0 1 VPNN
h L" hftEVPN
fi(J
1. Dead Peer Detection
2. Reverse Route Injection
3. Default Pee! Configuration
4. Idle Timers (iiljt)
CCSPVPNT* 咼丐茳 VPN
CCSPVPNN 现任明教教主出品
、琏路各份）
基本网络配置（ 1 ）
0 ， - 202 0 」， 2 ， 25 ， 0
幽《 00000 ℃ 0 2 ，俯 1
0
0 ， “ 飞，．，．， 0 255 ． 05 550
0 幅嘿 “ 0 F 的丰 0 》 “ 两 0 的
0 狲、暫 “ 的， 37 5 ， 0 F25 、 0 VPN 实验
刂链路各份）
CCSPVPNI:* 现任明教教主出品
基本网络配置（ 2 ）
· 地 02 冫
甲劂 re 1 0 2 05 2 0
0 到 re 11 ， 00D 2 、 25 ， 2 ，孬 ℃
' 。以 “ c 卸 0
" 苤 1000 ℃ 000 》 55
短 0 嘁 0 0 呛呛 000D ℃ 和． 1 湖． 10 ·
0000 13700 ，， 1 2 、 50 ，、丿， 50
0 瑟 1 ， 1.1 ． 20 5 ， £ 55 ． 25 0
100 」 00 ． 0 姒《
0 0000000 地 13 8 ， 500
0
0 狲，戋@鲟 101 ．冫 55 》 55 ． 25s0
，头 0 * 2 220000 0 《 0 0
0 轟 0 、， 0 ， 00000 500 以 0 VPNN
h L" hftEVPN
CCSPVPNT*
(Active 2)
interface FastEthemet1/O
ip address 61.128.1.1 255.255.255.0
crypto map cisco
route-map s20 permit 10
match tag 10
router ospf 1
redistribute static subnets route-map s20
00 VPNN
h L" hftEVPN
CCSPVPNT*
BJfiJhl'M±VPNüllJijt
Branch/Dinq 2.2.2.2 so 1.1.1.1 re
T ype esc . sequence to abor t.
;q.f. , is 2 seconds:
Sending fiooo. 100-bvte ICHP Echos
Packet sent with a source address Of 1.1
Success rate is 82
trip - 88/200/556
Shutdown
iiFai10vergtnlQ VPNN
h L" hftEVPN
Active"sh cry en conn a
Crypto Engine Connectims
ID Interface T
RI ori thn
CCSPVPNT*
fi(J
Decrypt IP—nÜess
3 Fal/O
Fal/O
1002 Fal/Ø
DE!.MD5
IPsec DES.HDS
172
IKE SHR.DES
Rctive*sho« ip r@té
s
1.0.0.0/2' is 1 subnets
1.1.1.0 [1/01 via 202.100 A-I
Insideush
I.O.ø.O/2' is I subnets
U E2
1.1.1.Ø 1110/201 via 10.1 A.IU. dU:U2:",
172 61.128.1.1
0 61.128.1.1
0 61.128.1 A
FastEthernet3/e VPNN
h L" hftEVPN
StandbvNshoe crypto engine comections
Crypto Engine Connectims
CCSPVPNT*
3 Fa2/O
Fa2/O
1002 Fa2/Ø
Decry
ID Interface T
RI ori thn
t IP-ßÜess
DE!.MD5
67 137.78.5.1
IPsec DES.HDS
IKE SHR.DES
0 137.78.5.1
0 137.78.s.1
StandbvNshoe ip route
S
is 1 subnets
1.1.1.Ø 11/01 via 202.100.1.1
Inside"sh ip route
1.0.0.0/2' is subnetted. I subnets
OE2 1.1.1.Ø via 10.1.1.20. CCSPVPNN 现任明教教主出品
VPN 实驗
司用就 v 卩 N ！备各份）
高可用性 VPN （设备备份）示意图 VPNN
1.1.1.0/24
hostname Branch
interface LoopbækO
ipaddress 1.1-1.1
CCSPVPNT*
(1)
.10
a
O
xo
-255.0
ter
"plo
interface F astEthernetO/O
ip address 202.100.1.1 255.255.2550
no shutdown
route o.o.D.o C.O.OO 202.100.1.10
host-lame Internet
interface FastEthernetO/O
ip address 202.100.1.10 255255255.0
no shutdown
interface FastEthemet110
iP address 202.100.2.10 255255255.0
no shutdown VPN 实验
刂 hdtEVPN 备．各份）
基本网络配置（ 2 ）
CCSPVPNI:* 现任明教教主出品
' 0 “ o 卸 0
如 Z 如 00 还
0 》 ” ，地 00 到；， 5 ，的， 2 0
' 凶地 1
n 0 1 佚新 1 0 ℃ 对 5 、
地 ' 地湖） 1 ， ℃ 訃 5 ． 25 ， 255 ，
闱 1 ，，闻》 5505s2 阝， 0
， 0 了 0 2 《 1 伽． 1 ℃ 冫 55 々 55 ． 255 0 ，和 z10 VPNN
interface FastEthemet1/O
ip address 202.100.2.1 255.255.2550
standby 1 ip 202.100.2.100
standby 1 priority 105
standby 1 preempt
standby 1 name Redun.
interfacc FastEthcmet1 IC
ip address 202.100.2.2 255.255.ass.o
standby 1 ip 202.100.2100
standby preempt
standby name Redun.VPN
CCSPVPNT*
.2
n VPNN
CCSPVPNT*
Branch IPSec VPNæy
1 on
o
Crypb "km p
10
're-*varc
cryot' p cisco •tress m2.IM.2 100
Crygo Camp keeve •O (
'€1.1.00.102552.22.0000.255
cry•pb •sec transf«m-set Cisco æp-des ewmd5-hmac
cryob Cisco I O Vsec-is*rrv
set peer202'(n2AoO ( WHSRPiURstPSecVPN)
set Yensmn-set Cism
FastEthernetO,'O
ip address 202, 255.2%2550 $VPNN Redundancy VPN interface FastEthemet1/O ip address 202.100.2.1 255.255.255.os \ crypto map cisco redundancy Redun.VP CCSPVPNT* (Active 2) route-map s20 permit 10 match tag 10 router ospf 1 CO redistribute static subnets route-map s20$ $VPNN CCSPVPNT* Redundancy VPN (Standby 2) interface FastEthemet1/O ip address 202.100.2.2 255.255.255.os \ crypto map cisco redundancy Redun.VP route-map s20 permit 10 match tag 10 router ospf 1 CO redistribute static subnets route-map s20$ VPNN
Statetul Fanover for IPSec
CCSPVPNT*
Stateful Failoverfor IPSec VPNą:»
ASA StaterU1 Fallover IPSec
CCSPVPNI••
ASA Statefu( Pai over IPSec ccspvPNą:•
ASA Statetui Fallover IPSec
ASA Stateful Failover IPSeciĂ,ăs141
Active
Acta
22.20'24
Standby VPN 实验
CCSPVPNI:* 现任明教教主出品
ASA Statetui Fallover IPSec
基本网络配置（ 2 ）
Active
老 0 豳》湖如 1 凶， 20 2 ， 525 ，，， 0 00 到箩
20 冫，闐 22
7 孓 0 坷 0 ．莛．老 = 0
00 山 0 、．， 0-1. ， 0 ；，，凸， 2 ， 50
，《 0 ℃ 0 地 100 100
ad 伽 0 101000
' ～汾吓《 22 》 0 严 5 》
注：不冉需要动态路中协议和 RR | 了 VPNN
ASA Statetui Fallover IPSec
CCSPVPNT*
Failoveræy
failcs•« interlace FO E'wrAY2
taucv« key zsco
failover link FO EtherneW2
192.16B I.
no shutdom
Ian
taio« key
.1M.1.
34tFO
192.168.1.10 255155155t '92.'7.'
A ctive
Standby ccspvPNą:•
ASA Statetui Fallover IPSec
Active$LlStandby IPSec
in u.
sa lif•ti•
eso
in u. • (L ă.
«_m'_id
Sa kW
s lot ' a, crvpto-.v
in • 1171.
re•inim
sta nova
tP&c
382) ccspvPN"
VPN"
I ASA V PN
ASA VPYlpa -balancing VPNN
ASA VPN ioaa-oalancing
CCSPVPNT*
ASA VPN
ASAI
2-2.20'24
ASA2 VPNN
ASA VPN 》 0d0 a 《 a ng
CCSPVPNI:* 现任明教教主出品
基本网络配置
00 》 “ 冫 021 一 0 》們， E50
00 、。吼 10 ， 000
的 00 2000 2050j00
咩淞 0 10 ， 0 00 呛 0 冫，00@00 VPNN
ASA VPN ioaa-oalancing
ASA VPN
crypto Ybi0e
vpn iAi-baIar,ci»
mted•ce Outse
23
cluster
ven iaå-balancm
interlace
cluster N2.'m.I.
CCSPVPNT*
load-balancing
ASAI
ASA2 VPNN
ASA VPN ioaa-oalancing
CCSPVPNT*
EZI EZVPNjGåZiUlIJijt
EZ1#cry ipsec client ezvpn connect
*Mar 1 (Client)
User=ipsecuser Group=ipsecgroup Client
Server_public_addr=202.100 1.100
*Mar 1 (Client)
User=ipsecuser Group=ipsecgroup Client_public_addr=202.100.I.1
NEM Remote Subnets-1 1 1 0/255 255 255 0 VPNN
CCSPVPNT*
ASA VPN ioaa-oalancing
ASAMIoad-balancing'4)kÆ
ASAIH show vpn load—balahcing
Status:
enabl ed
Role:
Failover:
n/a
Encryption: enabl ed
Cluster IP:
Public IP
202.100.1.10
202.100.1.20
R o le•vrcyodel
10 RSA-551,ø
Backup 9 ASA-55'0
Load
IPSec
(Y.)
SSL
Sessi ons
IPSec SSL
1
vpn-sessiondb max-session-limit 2
vpn-sessiondb max-webvpn-session-limit 2 VPNN
ASA VPN ioaa-oalancing
CCSPVPNT*
ASAMIoad-balancing SA
„cess-list 1.2B permit
local i&nt (
.rxW25å.zss.zss.
i den t t
lus p. e
local cruoto r•ofe crypto endot . : 10.1.1.20
Nth •tu ISO. SS, "dia •tu
current outbomd
aun2S1 oøacs752a9)
IV size: 8 bytes
(813685901
in use settings •IL 21
slot: a. id: crvøto-•g:
I b-crvv to -no
IV size: 8 bvtes VPN 实验
CCSPVPNI:* 现任明教教主出品
间 L 刂用性 VPN 上悭推荐设计
高可用性 VPN 工程推荐设计
OMVPN
0
．． 004
注意：本设计主孌使用动态路由协议丈骁綾均衡和冗余各份
在本设计中没有必嘤使用 DPO 和 RR 丨术