Hallo! In meinem vorherigen Post Ich habe die Funktionsweise unseres MultiSIM-Services in Bezug auf Reservierung und Lastverteilung von Kanälen beschrieben. Wie bereits erwähnt, verbinden wir unsere Kunden über VPN mit dem Netzwerk, und heute möchte ich ein wenig mehr über VPN und unsere Möglichkeiten in diesem Bereich erzählen.
Zunächst einmal verfügen wir als Telekommunikationsanbieter über ein riesiges MPLS-Netz, das für Kunden mit festem Zugang in zwei Hauptsegmente unterteilt ist – eines, das direkt für den Zugang zum Internet verwendet wird, und das andere, das zur Schaffung isolierter Netzwerke dient – und genau durch dieses MPLS-Segment wird der IPVPN-Traffic (L3 OSI) und VPLAN (L2 OSI) für unsere Unternehmenskunden geleitet.
In der Regel erfolgt die Kundenanbindung wie folgt.
Eine Zugangsleitung wird bis zum Büro des Kunden von der nächstgelegenen Point of Presence (POP) des Netzwerks (Men-Knoten, FTTB usw.) verlegt, und danach wird der Kanal über das Transportnetz bis zum entsprechenden PE-MPLS-Router konfiguriert, wo wir ihn in ein speziell für den Kunden eingerichtetes VRF überführen, unter Berücksichtigung des für den Kunden benötigten Verkehrprofils (die Profil-Tags werden für jeden Zugangsport basierend auf den Werten der IP-Präferenz 0, 1, 3, 5 ausgewählt).
Falls wir aus irgendeinem Grund die letzte Meile beim Kunden nicht vollständig bereitstellen können, zum Beispiel weil sich das Büro des Kunden in einem Geschäftsgebäude befindet, in dem ein anderer Anbieter priorisiert wird, oder weil sich einfach kein Point of Presence in der Nähe befindet, mussten unsere Kunden früher mehrere IPVPN-Netzwerke bei verschiedenen Anbietern erstellen (was architektonisch nicht die kostengünstigste Lösung ist) oder selbst Lösungen für den Zugang zu ihrem VRF über das Internet finden.
Viele haben dies erreicht, indem sie einen IPVPN-Internetzugang eingerichtet haben – sie installierten einen Grenzrouter (hardwarebasiert oder eine Linux-basierte Lösung), schlossen diesen mit einem Port an den IPVPN-Kanal und mit einem anderen an den Internetkanal an und betrieben darauf ihren VPN-Server und verknüpften die Nutzer über ihr eigenes VPN-Gateway. Selbstverständlich bringt ein solches Setup auch Schwierigkeiten mit sich: Diese Infrastruktur muss eingerichtet werden, und was am unbequemsten ist – sie muss betrieben und weiterentwickelt werden.
Um das Leben unserer Kunden zu erleichtern, haben wir einen zentralisierten VPN-Hub eingerichtet und unterstützen Internet-Verbindungen über IPSec. Das bedeutet, dass unsere Kunden nur ihren Router für die Verbindung mit unserem VPN-Hub über den IPSec-Tunnel über das öffentliche Internet konfigurieren müssen, und wir leiten den Traffic dieses Kunden in sein VRF.
Für wen ist das nützlich
- Für diejenigen, die bereits über ein umfangreiches IPVPN-Netzwerk verfügen und schnell neue Verbindungen benötigen.
- Für alle, die aus bestimmten Gründen einen Teil des Traffics vom öffentlichen Internet in ein IPVPN verlagern möchten, jedoch zuvor auf technische Einschränkungen mit verschiedenen Dienstanbietern gestoßen sind.
- Für diejenigen, die derzeit mehrere unabhängige VPN-Netzwerke bei verschiedenen Anbietern haben. Es gibt Kunden, die erfolgreich IPVPN von Beeline, MegaFon und Rostelecom usw. eingerichtet haben. Um es einfacher zu machen, können sie sich nur auf unser einziges Netzwerk konzentrieren, VPN, während alle anderen Kanäle anderer Anbieter auf das Internet umgestellt werden, um sich dann über IPSec mit dem IPVPN von Beeline zu verbinden und das Internet von diesen Anbietern zu nutzen.
- Für diejenigen, die bereits über ein IPVPN-Netzwerk verfügen, das über das Internet gelegt ist.
Wenn Sie alles bei uns bereitstellen, erhalten die Kunden umfassenden VPN-Support, eine ernsthafte Infrastruktur-Redundanz sowie Standardkonfigurationen, die auf jedem vertrauten Router funktionieren (ob Cisco oder Mikrotik, Hauptsache, er unterstützt IPSec/IKEv2 mit standardisierten Authentifizierungsmethoden). Übrigens, zu IPSec — derzeit unterstützen wir nur dieses Protokoll, planen jedoch, auch OpenVPN und Wireguard einzuführen, damit die Kunden nicht von einem Protokoll abhängig sind und ihre Einstellungen noch einfacher zu uns migrieren können. Zudem möchten wir beginnen, auch Kunden von Computern und mobilen Geräten (integrierte OS-Lösungen, Cisco AnyConnect und strongSwan usw.) anzuschließen. Mit diesem Ansatz kann die Infrastruktur de facto dem Anbieter anvertraut werden, wobei lediglich die Konfiguration des CPE oder Hosts verbleibt.
So funktioniert der Verbindungsprozess im IPSec-Modus:
- Der Kunde reicht eine Anfrage bei seinem Manager ein, in der er die erforderliche Verbindungsgeschwindigkeit, das Verkehrsprofil und die IP-Adressierungsparameter für den Tunnel angibt (standardmäßig ein Subnetz mit der Maske /30) sowie die Art der Routing (statisch oder BGP). Um Routen zu den lokalen Netzwerken des Kunden im angebundenen Büro zu übertragen, werden die IKEv2-Mechanismen der IPSec-Protokollphase mit den entsprechenden Einstellungen am Kundenrouter genutzt, oder sie werden über BGP im MPLS aus dem vom Kunden in der Anfrage angegebenen privaten BGP-AS angekündigt. So hat der Kunde die vollständige Kontrolle über die Informationen zu den Routen seiner Netzwerke über die Einstellungen seines Routers.
- Vom Manager erhält der Kunde die Kontaktdaten für die Integration in sein VRF in folgender Form:
- IP-Adresse VPN-HUB
- Benutzername
- Authentifizierungspasswort
- Konfiguriert CPE; hier zwei Beispiele für die Basiskonfiguration:Variante für Cisco:
crypto ikev2 keyring BeelineIPsec_keyring
peer Beeline_VPNHub
address 62.141.99.183 – VPN-Konzentrator Beeline
pre-shared-key
!
Für die statische Routing-Option können die Routen zu den über Vpn-hub verfügbaren Netzwerken in den IKEv2-Einstellungen definiert werden, und sie erscheinen automatisch als statische Routen in der Routing-Tabelle des CE. Diese Einstellungen können auch auf die übliche Weise zur Definition statischer Routen vorgenommen werden (siehe unten).crypto ikev2 authorization policy FlexClient-author
Die Route zu den Netzwerken hinter dem CE-Router ist eine wesentliche Einstellung für die statische Routenbildung zwischen CE und PE. Die Übertragung der Routeninformationen an das PE erfolgt automatisch beim Aufbauen des Tunnels über das IKEv2-Interaktion.
route set remote ipv4 10.1.1.0 255.255.255.0 –Lokales Büro-Netzwerk
!
crypto ikev2 profile BeelineIPSec_profile
identity local
authentication local pre-share
authentication remote pre-share
keyring local BeelineIPsec_keyring
aaa authorization group psk list group-author-list FlexClient-author
!
crypto ikev2 client flexvpn BeelineIPsec_flex
peer 1 Beeline_VPNHub
client connect Tunnel1
!
crypto ipsec transform-set TRANSFORM1 esp-aes 256 esp-sha256-hmac
mode tunnel
!
crypto ipsec profile default
set transform-set TRANSFORM1
set ikev2-profile BeelineIPSec_profile
!
interface Tunnel1
ip address 10.20.1.2 255.255.255.252 –Tunnel-Adresse
tunnel source GigabitEthernet0/2 –Internet-Zugangsschnittstelle
tunnel mode ipsec ipv4
tunnel destination dynamic
tunnel protection ipsec profile default
!
Die Routen zu den privaten Netzen des Kunden, die über den Beeline VPN-Server verfügbar sind, können statisch festgelegt werden.ip route 172.16.0.0 255.255.0.0 Tunnel1
ip route 192.168.0.0 255.255.255.0 Tunnel1Option für Huawei (ar160/120):
ike local-name
#
acl name ipsec 3999
rule 1 permit ip source 10.1.1.0 0.0.0.255 –Lokales Büro-Netzwerk
#
aaa
service-scheme IPSEC
route set acl 3999
#
ipsec proposal ipsec
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
#
ike proposal default
encryption-algorithm aes-256
dh group2
authentication-algorithm sha2-256
authentication-method pre-share
integrity-algorithm hmac-sha2-256
prf hmac-sha2-256
#
ike peer ipsec
pre-shared-key simple
local-id-type fqdn
remote-id-type ip
remote-address 62.141.99.183 – VPN-Konzentrator Beeline
service-scheme IPSEC
config-exchange request
config-exchange set accept
config-exchange set send
#
ipsec profile ipsecprof
ike-peer ipsec
proposal ipsec
#
interface Tunnel0/0/0
ip address 10.20.1.2 255.255.255.252 –Tunnel-Adresse
tunnel-protocol ipsec
source GigabitEthernet0/0/1 –Internet-Zugangsschnittstelle
ipsec profile ipsecprof
#
Die Routen zu den privaten Netzen des Kunden, die über den Beeline VPN-Server verfügbar sind, können statisch festgelegt werden.ip route-static 192.168.0.0 255.255.255.0 Tunnel0/0/0
ip route-static 172.16.0.0 255.255.0.0 Tunnel0/0/0
Das resultierende Verbindungsschema sieht ungefähr so aus:
Wenn der Kunde keine Beispiele für die grundlegende Konfiguration hat, helfen wir in der Regel bei der Erstellung und machen sie für alle anderen verfügbar.
Es bleibt nur noch, das CPE mit dem Internet zu verbinden, einen Ping zur Gegenstelle des VPN-Tunnels und zu einem Host innerhalb des VPNs durchzuführen, und dann kann man sagen, dass die Verbindung hergestellt ist.
Im nächsten Artikel werden wir zeigen, wie wir dieses Schema mit IPSec und MultiSIM-Redundanz unter Verwendung von CPE Huawei kombiniert haben: Wir setzen unseren Kunden das CPE Huawei ein, das nicht nur einen kabelgebundenen Internetkanal nutzen kann, sondern auch zwei verschiedene SIM-Karten. Das CPE baut automatisch den IPSec-Tunnel entweder über das kabelgebundene WAN oder über Funk (LTE#1/LTE#2) auf und bietet hohe Ausfallsicherheit für den endgültigen Service.
Ein besonderes Dankeschön an unsere Kollegen aus der RnD-Abteilung für die Vorbereitung dieses Artikels (und an die Autoren dieser technischen Lösungen)!
Quelle: habr.com
