Newsgroup: it.fan.marco-ditri
Titolo: tunnel contorti

Questa è la copia opportunamente censurata di un messaggio inviato al
mio cliente Xxxxx per descrivere la configurazione di una VPN tra la
loro colocation presso Yyyyyy e il loro fornitore Zzzzz (quello con la
passione per gli AS/400).
Spero che apprezzerete...
From: (io)
To: (il cliente)
Subject: configurazione della VPN ridondata
Lo scopo di questa email è chiarire i principi di funzionamento e
documentare i dettagli implementativi della VPN ridondata tra Zzzzz e
il rack nel nostro data center.
La stessa soluzione sarà applicabile al collegamento tra Xxxxx e il
rack, che ha requisiti analoghi.
Ricordo che questa configurazione è necessaria perché dal lato di Zzzzz
la ridondanza è garantita da due connessioni a Internet completamente
distinte: la SHDSL dedicata a questo servizio e la loro connettività
generica, che ha funzione di backup.
L'idea di base è di stabilire la VPN tra il rack e l'IP della rete di
Zzzzz assegnato al router (che corrisponde alla connettività di backup),
ma in condizioni normali "dirottare" questo traffico sulla SHDSL tramite
un tunnel GRE creato tra un IP della SHDSL assegnato al router e uno dei
router di Yyyyyy.
Nel caso la SHDSL non funzionasse anche il tunnel sarebbe down e quindi
il traffico non più deviato sarebbe libero di seguire il suo percorso
naturale (la rete di Zzzzz).
Il sistema è stato collaudato staccando la spina alla SHDSL.
Per questo scopo è stato installato presso Zzzzz un router Cisco 1841
collegato alle due connessioni a internet e alla rete interna di Zzzzz
tramite cui viene fornito il servizio, e che ha IP su ciascuna di
queste reti:
     (Internet)                    (Internet)
...====SHDSL=====+      +=====Connettività Zzzzz=====...
                 |S     |Fa0/0
               +----------+
               |  C 1841  |-----rete interna Zzzzz-----...
               +----------+Fa0/2
FastEthernet0/0: 80.x.y.153/27    [IP pubblico della rete di Zzzzz]
FastEthernet0/2: 
10.140.13.254/24
 [Rete interna di Zzzzz]
Loopback0:       77.x.y.249/32    [IP pubblico della SHDSL]
Dal lato Yyyyyy invece ci sono 90.x.y.56, l'altro lato della VPN e
90.x.y.140, l'altro lato del tunnel.
Ricapitolando:
   Zzzzz                  Yyyyyy
77.x.y.249   <===>   90.x.y.140   Tunnel GRE
80.x.y.153   <===>   90.x.y.56    VPN IPSEC
La magia di questa configurazione è concentrata in due punti: le route
statiche che indirizzano il traffico nella direzione giusta e l'uso
attivazione dei keepalive sul tunnel, in modo che la sua interfaccia
diventi down quando il tunnel non funziona per qualsiasi motivo.
! default route verso Internet-SHDSL
ip route 0.0.0.0 0.0.0.0 Serial0/0/0.1
! seconda default route con metrica più alta verso Internet-Zzzzz, che
! si attiva quando la precedente non funziona (non è necessaria per la
! ridondanza, ma è comoda per continuare a raggiungere il router tramite
! l'altro IP quando la SHDSL è down)
ip route 0.0.0.0 0.0.0.0 80.x.y.129 220
! invia sempre alla SHDSL il traffico del tunnel, anche se questa è down
ip route 90.x.y.140 255.255.255.255 Serial0/0/0.1 permanent
! invia verso il tunnel il traffico della VPN
ip route 90.x.y.56 255.255.255.255 Tunnel1
! se il tunnel è down, invece lo invia verso Internet-Zzzzz
ip route 90.x.y.56 255.255.255.255 80.x.y.129 220
! invia verso Internet-Zzzzz il traffico per il rack, che però invece
! che uscire direttamente sarà cifrato nella VPN
ip route 90.w.q.0 255.255.255.192 80.x.y.129
Ricapitolando, questi sono i passi del failover della connettività da
primaria a backup:
- per qualsiasi motivo si interrompe la connettività tra i due lati
  del tunnel
- i keepalive del tunnel non tornano più indietro, quindi la sua
  interfaccia va down
- il traffico della VPN si sposta verso la connessione a Internet di
  Zzzzz
Ho configurato i timer per intervenire dopo un minuto di assenza di
connettivita, ma si possono modificare.
Seguono i punti salienti della configurazione delle interfacce del
router:
interface Loopback0
 ip address 77.x.y.249 255.255.255.255
interface Tunnel1
 description verso Yyyyyy
 ip address 10.75.1.1 255.255.255.248
 keepalive 20 3
 tunnel source Loopback0
 tunnel destination 90.x.y.140
interface FastEthernet0/0
 description Internet Zzzzz
 ip address 80.x.y.153 255.255.255.224
 crypto map VPN-OUTSIDE
interface FastEthernet0/1
 description Rete interna Zzzzz
 ip address 10.140.13.254 255.255.255.0
interface Serial0/0/0.1 point-to-point
 description Internet SHDSL
-- 
ciao, | Those people who think they know everything
Marco | are a great annoyance to those of us who do. (Isaac Asimov)

 Spero che apprezzerete...
Rotfl, la saga continua...:-)