Ciao! In post precedente Ho descritto il funzionamento del nostro servizio MultiSIM in relazione a prenotazione e bilanciamento dei canali. Come è stato accennato, colleghiamo i clienti alla rete tramite VPN, e oggi parlerò un po' di più delle VPN e delle nostre capacità in questo ambito.
È importante iniziare con il fatto che noi, come operatori di telecomunicazioni, disponiamo di una grande rete MPLS, suddivisa in due segmenti principali per i clienti di accesso fisso: uno utilizzato per l'accesso a Internet e l'altro per la creazione di reti isolate — ed è proprio attraverso questo segmento MPLS che passa il traffico IPVPN (L3 OSI) e VPLAN (L2 OSI) per i nostri clienti aziendali.
Di solito, il collegamento del cliente avviene nel seguente modo.
Una linea di accesso viene stesa fino all'ufficio del cliente dalla più vicina Point of Presence della rete (nodo MEN, RRL, BSSS, FTTB, ecc.), e poi il canale viene instradato attraverso la rete di trasporto fino all'apposito router RE-MPLS, dove lo eseguiamo in un VRF creato appositamente per il cliente, tenendo conto del profilo di traffico necessario (le etichette dei profili vengono selezionate per ciascuna porta di accesso in base ai valori di ip precedence 0, 1, 3, 5).
Se per qualche motivo non possiamo organizzare adeguatamente l'ultima miglio per il cliente, ad esempio, se l'ufficio del cliente si trova in un centro affari dove è prioritario un altro fornitore, oppure non c'è un nostro punto di presenza nelle vicinanze, in passato i clienti dovevano creare più reti IPVPN con diversi fornitori (un'architettura non molto vantaggiosa economicamente) o risolvere autonomamente le questioni di accesso al proprio VRF tramite la rete Internet.
Molti lo facevano utilizzando un gateway IPVPN per Internet: installavano un router di confine (hardware o qualche soluzione basata su Linux), collegavano a esso un canale IPVPN con una porta e un canale Internet con un'altra, avviavano sullo stesso server VPN e collegavano gli utenti tramite il proprio gateway VPN. Naturalmente, tale schema presenta anche degli oneri: questa infrastruttura deve essere costruita con competenza e, cosa più scomoda, deve essere gestita e sviluppata.
Per semplificare la vita ai nostri clienti, abbiamo istituito un hub VPN centralizzato e organizzato il supporto per connessioni su internet utilizzando IPSec. Quindi ora i clienti devono solo configurare il proprio router per lavorare con il nostro hub VPN tramite un tunnel IPSec su qualsiasi internet pubblico, e noi rilasceremo il traffico di questo cliente nel suo VRF.
A chi può tornare utile
- A chi ha già una grande rete IPVPN e ha bisogno di nuove connessioni in tempi ristretti.
- A chi, per qualche motivo, desidera trasferire parte del traffico da internet pubblico a IPVPN, ma in passato ha affrontato limitazioni tecniche legate a diversi fornitori di servizi.
- A chi ha attualmente diverse reti VPN sparse tra diversi operatori di comunicazione. Ci sono clienti che hanno organizzato con successo sia IPVPN con Beeline, sia con MegaFon, sia con Rostelecom, ecc. Per semplificare, è possibile rimanere solo sulla nostra unica VPN, mentre tutti gli altri canali di altri operatori possono essere switchati a internet, dopo di che ci si può connettere a IPVPN Beeline tramite IPSec e internet da questi operatori.
- A chi ha già una rete IPVPN sovrapposta ad Internet.
Se si sviluppa tutto con noi, i clienti ottengono un supporto completo per VPN, un serio backup dell'infrastruttura e configurazioni standard che funzioneranno su qualsiasi router a loro famigliare (che sia un Cisco, un Mikrotik, l'importante è che supporti correttamente IPSec/IKEv2 con metodi di autenticazione standardizzati). A proposito di IPSec, attualmente supportiamo solo questo, ma abbiamo in programma di attivare anche OpenVPN e Wireguard, in modo che i clienti possano non dipendere da un singolo protocollo e trasferire facilmente tutto a noi. Inoltre, intendiamo iniziare a connettere i clienti da computer e dispositivi mobili (soluzioni integrate nel sistema operativo, come Cisco AnyConnect e strongSwan, e simili). Con questo approccio, si può tranquillamente delegare la costruzione dell'infrastruttura all'operatore, mantenendo solo la configurazione del CPE o dell'host.
Come avviene il processo di connessione per la modalità IPSec:
- Il cliente invia una richiesta al proprio manager specificando la velocità di connessione necessaria, il profilo del traffico e i parametri di indirizzamento IP per il tunnel (per impostazione predefinita, una sottorete con maschera /30) e il tipo di instradamento (statico o BGP). Per il trasferimento delle rotte verso le reti locali del cliente nell'ufficio connesso vengono utilizzati i meccanismi IKEv2 della fase del protocollo IPSec con le relative configurazioni sul router del cliente, oppure vengono annunciate tramite BGP in MPLS dal BGP AS privato specificato nella richiesta dal cliente. In questo modo, le informazioni sulle rotte delle reti dei clienti sono completamente controllate dal cliente attraverso le impostazioni del router.
- In risposta, il cliente riceve dal proprio manager i dati di contabilizzazione da integrare nel proprio VRF, del tipo:
- Indirizzo IP VPN-HUB
- Nome utente
- Password di autenticazione
- Configura il CPE, di seguito, per esempio due varianti di configurazione base:Opzione per Cisco:
crypto ikev2 keyring BeelineIPsec_keyring
peer Beeline_VPNHub
address 62.141.99.183 – Concentratore VPN Beeline
pre-shared-key
!
Per l'opzione con instradamento statico, le rotte verso le reti accessibili tramite il Vpn-hub possono essere specificate nella configurazione IKEv2 e appariranno automaticamente come rotte statiche nella tabella di instradamento CE. Queste impostazioni possono essere effettuate anche in modo standard per la definizione di rotte statiche (vedi sotto).crypto ikev2 authorization policy FlexClient-author
La rotta verso reti tramite il router CE è un'impostazione obbligatoria per l'instradamento statico tra CE e PE. La trasmissione dei dati di instradamento al PE avviene automaticamente al momento dell'apertura del tunnel tramite interazione IKEv2.
route set remote ipv4 10.1.1.0 255.255.255.0 – Rete locale dell'ufficio
!
crypto ikev2 profile BeelineIPSec_profile
identity local
authentication local pre-share
authentication remote pre-share
keyring local BeelineIPsec_keyring
aaa authorization group psk list group-author-list FlexClient-author
!
crypto ikev2 client flexvpn BeelineIPsec_flex
peer 1 Beeline_VPNHub
client connect Tunnel1
!
crypto ipsec transform-set TRANSFORM1 esp-aes 256 esp-sha256-hmac
mode tunnel
!
crypto ipsec profile default
set transform-set TRANSFORM1
set ikev2-profile BeelineIPSec_profile
!
interface Tunnel1
ip address 10.20.1.2 255.255.255.252 – Indirizzo del tunnel
tunnel source GigabitEthernet0/2 – Interfaccia di accesso a Internet
tunnel mode ipsec ipv4
tunnel destination dynamic
tunnel protection ipsec profile default
!
I percorsi verso le reti private del cliente, accessibili tramite il concentratore VPN Beeline, possono essere impostati staticamente.ip route 172.16.0.0 255.255.0.0 Tunnel1
ip route 192.168.0.0 255.255.255.0 Tunnel1Opzione per Huawei (ar160/120):
ike local-name
#
acl name ipsec 3999
rule 1 permit ip source 10.1.1.0 0.0.0.255 – Rete locale dell'ufficio
#
aaa
service-scheme IPSEC
route set acl 3999
#
ipsec proposal ipsec
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
#
ike proposal default
encryption-algorithm aes-256
dh group2
authentication-algorithm sha2-256
authentication-method pre-share
integrity-algorithm hmac-sha2-256
prf hmac-sha2-256
#
ike peer ipsec
pre-shared-key simple
local-id-type fqdn
remote-id-type ip
remote-address 62.141.99.183 – Concentratore VPN Beeline
service-scheme IPSEC
config-exchange request
config-exchange set accept
config-exchange set send
#
ipsec profile ipsecprof
ike-peer ipsec
proposal ipsec
#
interface Tunnel0/0/0
ip address 10.20.1.2 255.255.255.252 – Indirizzo del tunnel
tunnel-protocol ipsec
source GigabitEthernet0/0/1 – Interfaccia di accesso a Internet
ipsec profile ipsecprof
#
I percorsi verso le reti private del cliente, accessibili tramite il concentratore VPN Beeline, possono essere impostati staticamente.ip route-static 192.168.0.0 255.255.255.0 Tunnel0/0/0
ip route-static 172.16.0.0 255.255.0.0 Tunnel0/0/0
Lo schema di connessione risultante appare più o meno così:
Se il cliente non dispone di esempi di configurazione di base, di solito lo aiutiamo a crearli e li rendiamo disponibili per tutti gli altri.
È necessario collegare il CPE a Internet, effettuare un ping verso il tunnel VPN e un qualsiasi host all'interno della VPN, e così possiamo considerare che la connessione è avvenuta.
Nell'articolo successivo racconteremo come abbiamo combinato questo schema con IPSec e il MultiSIM Backup usando il CPE Huawei: installiamo il nostro CPE Huawei presso i clienti, che può utilizzare non solo un canale Internet cablato, ma anche 2 diverse SIM, e il CPE ristruttura automaticamente il tunnel IPSec tramite WAN cablato o radio (LTE#1/LTE#2), garantendo un'elevata affidabilità del servizio finale.
Un ringraziamento speciale ai colleghi del nostro RnD per la preparazione di questo articolo (e, in effetti, agli autori di queste soluzioni tecniche)!
Fonte: habr.com
