Два провайдера одновременно или Dual ISP with VRF на Cisco | Part 210.03.2017 17:48

Добрый день! На написание этого материала меня вдохновил HunterXXI в своей статье Два провайдера одновременно или Dual ISP with VRF на Cisco. Я заинтересовался, изучил вопрос и применил на практике. Хотел бы поделится своим опытом в реализации Dual ISP на Cisco с реальным использованием одновременно двух ISP и, даже, балансировкой нагрузки.

Демо схема:

Описание:

• Порты GigabitEthernet0/0 и GigabitEthernet0/1 задействованы для подключения ISP.
• Порты GigabitEthernet0/0/0 и GigabitEthernet0/0/1 сконфигурированы в TRUNK и подключены к коммутаторам.
• Для работы с локальной сетью используются VLAN интерфейсы.
• В данной схеме предусматривается три локальных IP сети 192.168.100.0/24 для VLAN 100, 192.168.101.0/24 VLAN 101 и 192.168.102.0/24 VLAN 102.
• В данном примере VLAN 100 и 101 будут иметь связь между собой, но 101 будет без доступа к Интернету, а VLAN 102 будет иметь выход только в интернет.

Оставшиеся физические порты не задействованы, но Вам ничто не мешает их использовать по собственному усмотрению.

interface GigabitEthernet0/0/0
 description TRUNK=>sw-access-1
 switchport mode trunk
 no ip address
end

interface GigabitEthernet0/0/1
 description TRUNK=>sw-access-2
 switchport mode trunk
 no ip address
end

Конфигурация VRF

Технология Cisco Express Forwarding (CEF) — должна быть включена для работы VRF.

Настройка VRF для ISP

ip vrf isp1
 description ISP1
 rd 65000:1
 route-target export 65000:1
 route-target import 65000:100
 route-target import 65000:102

ip vrf isp2
 description ISP2
 rd 65000:2
 route-target export 65000:2
 route-target import 65000:100
 route-target import 65000:102

Настройка VRF для VLAN

ip vrf 100
 description VLAN_Desktop
 rd 65000:100
 route-target export 65000:100
 route-target import 65000:1
 route-target import 65000:2
 route-target import 65000:101

ip vrf 101
 description VLAN_Voice
 rd 65000:101
 route-target export 65000:101
 route-target import 65000:100

ip vrf 102
 description VLAN_Wireless
 rd 65000:102
 route-target export 65000:102
 route-target import 65000:1
 route-target import 65000:2

На своём опыте я убедился, что название VRF для ISP удобно использовать как isp1 и isp2, название VRF для VLAN должно соответствовать номеру VLAN, всё что идентифицирует VRF — description. Это связано с тем, что если, например, у Вас поменяется один из провайдеров то вся реконфигурация сведется к изменению IP адреса интерфейса и description-а.

Конфигурация интерфейсов

WAN

interface GigabitEthernet0/0
 description ISP1
  ip vrf forwarding isp1
  ip address 198.51.100.1 255.255.255.252
  ip nat outside

interface GigabitEthernet0/1
 description ISP2
  ip vrf forwarding isp2
  ip address 203.0.113.1 255.255.255.252
  ip nat outside

LAN

interface Vlan100
 description VLAN_Desktop
 ip vrf forwarding 100
 ip address 192.168.100.254 255.255.255.0
 ip nat inside

interface Vlan101
 description VLAN_Voice
 ip vrf forwarding 101
 ip address 192.168.101.254 255.255.255.0
 ip nat inside

interface Vlan102
 description VLAN_Wireless
 ip vrf forwarding 102
 ip address 192.168.102.254 255.255.255.0
 ip nat inside

vlan 100
 name Desktop
 exit

vlan 101
 name Voice
 exit

vlan 102
 name Wireless
 exit

show vlan-switch
 VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                           active    
100  Desktop                           active    
101  Voice                             active    
102  Wireless                          active    

interface Vlan1
 shutdown

Конфигурация BGP

router bgp 65000
bgp log-neighbor-changes
 
address-family ipv4 vrf 100
 redistribute connected
 maximum-paths 2
 exit-address-family
 
address-family ipv4 vrf 101
 redistribute connected
 exit-address-family
 
address-family ipv4 vrf 102
 redistribute connected
 maximum-paths 2
 exit-address-family
 
address-family ipv4 vrf isp1
 redistribute connected
 redistribute static route-map BGP_Filter
 default-information originate
 exit-address-family
 
address-family ipv4 vrf isp2
 redistribute connected
 redistribute static route-map BGP_Filter
 default-information originate
 exit-address-family

Это будет выглядеть так:

show ip route vrf 100

B*    0.0.0.0/0 [20/0] via 203.0.112.2 (isp2), 0d01h
                [20/0] via 198.51.100.2 (isp1), 0d01h

В VRF isp1 и isp2 необходимо, помимо redistribute connected, разрешить redistribute static и default-information originate, что позволит передать шлюз по умолчанию в другие VRF. Вы можете заметить, что redistribute static делается через route-map BGP_Filter. Это происходит исключительно из соображений эстетического вида таблиц маршрутизации VRF определенных в локальную сеть, что бы маршруты к 8.8.8.8 и 80.80.80.80 не попадали в таблицы маршрутизации VRF 100 и 102.

Настройка маршрутизации

ip route vrf isp1 0.0.0.0 0.0.0.0 198.51.100.2 tag 100 track 100
ip route vrf isp2 0.0.0.0 0.0.0.0 203.0.112.2 tag 100 track 200

• tag — поможет нам отфильтровать для передачи в локальные VRF только эти маршруты
• track — указывает какой объект отвечает за работоспособность маршрута

route-map BGP_Filter permit 10
 description Fix BGP static redistribution
 match tag 100

ip route vrf isp1 8.8.8.8 255.255.255.255 198.51.100.2
ip route vrf isp1 80.80.80.80 255.255.255.255 198.51.100.2
ip route vrf isp2 8.8.8.8 255.255.255.255 203.0.112.2
ip route vrf isp2 80.80.80.80 255.255.255.255 203.0.112.2

Настройка NAT

Необходимо создать два route-map-а в которых определяются интерфейсы isp1 и isp2

route-map isp1 permit 10
 match interface GigabitEthernet0/0
 
route-map isp2 permit 10
 match interface GigabitEthernet0/1

ip nat inside source route-map isp1 interface GigabitEthernet0/0 vrf 100 overload
ip nat inside source route-map isp2 interface GigabitEthernet0/1 vrf 100 overload
ip nat inside source route-map isp1 interface GigabitEthernet0/0 vrf 102 overload
ip nat inside source route-map isp2 interface GigabitEthernet0/1 vrf 102 overload

ip access-list extended NAT
 permit ip 192.168.0.0 0.0.0.255 any
 
ip nat inside source list NAT interface GigabitEthernet0/0 overload

ip nat inside source GigabitEthernet0/0 interface GigabitEthernet0/0 overload in vrf 100

Настройка SLA

ip sla auto discovery

ip sla 10
 icmp-echo 198.51.100.2
 vrf isp1
 frequency 5
ip sla schedule 10 life forever start-time now

ip sla 11
 icmp-echo 8.8.8.8
 vrf isp1
 frequency 5
ip sla schedule 11 life forever start-time now

ip sla 12
 icmp-echo 80.80.80.80
 vrf isp1
 frequency 5
ip sla schedule 12 life forever start-time now


ip sla 20
 icmp-echo 203.0.112.2
 vrf isp2
 frequency 5
ip sla schedule 20 life forever start-time now

ip sla 21
 icmp-echo 8.8.8.8
 vrf isp2
 frequency 5
ip sla schedule 21 life forever start-time now

ip sla 22
 icmp-echo 80.80.80.80
 vrf isp2
 frequency 5
ip sla schedule 22 life forever start-time now

Настройка track

track 100 list boolean and
 object 101
 object 110
 
track 101 ip sla 10 reachability
 delay down 20 up 180
 
track 102 ip sla 11 reachability
 delay down 20 up 180
 
track 103 ip sla 12 reachability
 delay down 20 up 180
 
track 110 list boolean or
 object 102
 object 103
 
track 200 list boolean and
 object 201
 object 210
 
track 201 ip sla 20 reachability
 delay down 20 up 180
 
track 202 ip sla 21 reachability
 delay down 20 up 180
 
track 203 ip sla 22 reachability
 delay down 20 up 180
 
track 210 list boolean or
 object 202
 object 203
 
track 1000 stub-object

В таблице маршрутизации есть маршрут ip route vrf isp1 0.0.0.0 0.0.0.0 198.51.100.2 tag 100 track 100 который завязан на track 100.

• Если track 100 в состоянии UP то маршрут в таблице есть.
• Объект 100 это boolean and, что означает, что UP он будет считаться если все его объекты в состоянии UP.
• Если любой из объектов 100 DOWN то весть объект 100 будет DOWN.
• Он содержит объекты 101 и 110.
• Объект 101 соответствует SLA 10 — проверяет шлюз провайдера.
• Объект 110 объединяет 102 и 103 как boolean or, что означает, что он будет UP если хотя бы один из его объектов UP.
• Объекты 102 и 103 проверяют 8.8.8.8 и 80.80.80.80 соответственно, их нужно два для исключения ложных срабатываний.

track 1000

track 1000 stub-object
 default-state down

Настройка EEM

В нашем случае, когда один из ISP перестанет работать, он будет исключен из таблицы маршрутизации. Но правила трансляции NAT будут оставаться. Из-за этого, уже установленные пользовательские соединения зависнут до того момента пока трансляции NAT не очистится по тайм-ауту.

Для того, что бы ускорить этот процесс нам необходимо очистить таблицу NAT командой clear ip nat translation * и лучше всего сделать это автоматически.

event manager applet CLEANNAT-100
 event track 100 state down
 action 10 cli command "enable"
 action 20 cli command "clean ip nat translation *"
event manager applet CLEANNAT-200
 event track 200 state down
 action 10 cli command "enable"
 action 20 cli command "clean ip nat translation *"

tips and tricks

Например конфигурация NTP:

ntp server vrf isp1 132.163.4.103

ping vrf isp1 8.8.8.8

К преимуществам этой конфигурации я хотел бы отнести её гибкость. Можно с легкостью вывести один VLAN через одного ISP, а другой через второго.

К недостаткам, и это вопрос к уважаемой публике, когда отваливается один из ISP то команда clear ip nat translations * обрывает все соединения, включительно с работающим ISP. Как показала практика, в тех случаях когда отваливается провайдер — пользователи не замечают этот «обрыв» или он не является критичным.

Если кто-то знает как очищать таблицу трансляций частично — буду благодарен.

P.S>

ip access-list extended NO_NAT
deny ip any 192.168.0.0 0.0.255.255 
deny ip any 172.16.0.0 0.15.255.255 
deny ip any 10.0.0.0 0.255.255.255 
permit ip any any

route-map isp1 permit 10
 match ip address NO_NAT
 match interface GigabitEthernet0/0

Комментарии (1)

• cagami

  10 марта 2017 в 16:41

  0

  ↑

  ↓

  спасибо за статью
  , но мне не понятно, зачем для работы vrf cef?
  (или это фигура речи такая?)
  я понимаю что cef нужен для sla, track, но не для vrf
  если я не прав, поясните пожалуйста