Введение
При использовании аппартных EoGRE в версиях ПО начиная с 1.4.1 на ESR1200/1700 требуется, что бы пакеты GRE попадали на роутер через физический интерфейс. Пакет GRE, распакованный из IPsec появится сразу в ядре, поэтому его надо выпустить и подать обратно на ESR через физичейский интерфейс. Для этого потребуется вынести терминацию IPsec в отдельный VRF, а затем, соединив петлёй интерфейсы, из которых GRE пакет будет выходить из VRF IPsec, передавться его в дефолтный VRF ESR.
В приведённой ниже конфигурации предполагается, что аплинком служит интерфейс te1/0/1, через который осуществляется взаимодействие с SoftWLC, подключение ТД OTT и выпуск клиентов в Интернет. Для разграничения IPsec трафика и подключения ТД OTT используется интерфейс te1/0/1.4092, po2, которые находятся в VRF ipsec. Затем интерфейс po2 подключается петлевым соединением (te1/0/2 в te1/0/6, te1/0/3 в te1/0/7) в интерфейс po1, который находится в дефолтном VRF. Важно, что бы подсеть терминации GRE пакетов находилась по отношению к VRF ipsec в таблице маршрутизации как connected подсеть.
Ниже рассмотрена конфигурация ESR, на примере адресации тестового стенда.
Описание адресации
Пример приведен для версии 1.6.2, с использованием BGP, для моделей ESR, имеющих аппартную поддержку EoGRE туннелей (ESR 1200/1700). В приведенном примере используется следующая адресация:
1) te1/0/1.4092: 10.12.20.3/28 - адрес, смотрящий в сеть Интеренет, для терминации IPsec, находится в VRF ipsec;
2) port-channel 2: 192.168.200.35./28 - адрес петлевого интерфейса, через который происходит выпуск GRE пакетов;
3) te1/0/1.4081: 10.255.255.6/30 - стыковый адрес, смотрящий в VRF backbone для связи с SoftWLC, DHCP и DNS серверами;
4) te1/0/1.4082: 10.255.255.10/30 - стыковый адрес, смотрящий в VRF nat для выпуска клиентов в сеть Интернет;
4) bridge 1: 192.168.200.33/28 и 192.168.200.34/28 - адреса терминации EoGRE от ТД, для туннелей управления и клиентского трафика соответсвенно;
5) bridge 3: 10.255.244.0/22 - подсеть адресов управления ТД. Адрес 10.255.244.1 используется в качестве адреса управления ESR со стороны SoftWLC;
6) bridge 10: 10.255.244.0/22 - подсеть клиентов ТД. Шлюз по умолчанию для клиентов - 10.255.244.1, DNS 100.123.0.2;
7) 172.31.0.0/21 - подсеть адресов, выдаваемых ТД по mode config, используюся для поднятия EoGRE со стороны ТД;
8) 100.110.123.0/24 - подсеть управления. 100.123.0.2 - адрес SoftWLC, DHCP, DNS.