Projet Universitaire : Accès Internet

Considérons maintenant l'accès Internet des différents bâtiments.

Je n'ai malheureusement pas de bonnes solutions à proposer .... Je vais vous expliquer pourquoi.

Plan A :

On pourrait concevoir une architecture comme celle-ci :

Le routeurs IPv6/IPv4 seraient les points d'entrée du réseau avec une configuration NAT et ZBF par exemple. Le problème ici est que IBGP et VRF ne fonctionnent correctement sur un routeur qu'à partir d'une version 15.4 d'IOS; en effet la commande neighbor internal-vpn-client est implémentée.
N'ayant qu’une version 15.2, je me retrouve bloqué ....

Voici le plan B : 

On considère que le service Internet provient d'une autre AS.
La configuration de BGP dans ce cas se fait bien .


Configuration de PE1 :

router bgp 4294
 bgp log-neighbor-changes
 no bgp default ipv4-unicast
.......
 neighbor 172.168.2.2 remote-as 4294
 neighbor 172.168.2.2 transport multi-session
 !
 address-family ipv4
 exit-address-family
 !
 address-family vpnv4
........
 exit-address-family
 !
 address-family vpnv6
.......
 exit-address-family
 !
 address-family ipv4 vrf INTERNET
  neighbor 172.168.2.2 remote-as 4295
  neighbor 172.168.2.2 transport multi-session
  neighbor 172.168.2.2 activate
  neighbor 172.168.2.2 next-hop-self
 exit-address-family

L'interface f1/1 étant configurée dans la CRF Internet, la désignation du neighbor distant va s'effectuer dans address-family ipv4 vrf INTERNET.


Configuration de IPv4/IPv6 :

 router bgp 4295
 bgp log-neighbor-changes
 neighbor 172.168.2.1 remote-as 4294
 neighbor 172.168.2.1 transport multi-session
 !
 address-family ipv4
  network 82.82.82.82 mask 255.255.255.255
  neighbor 172.168.2.1 activate
 exit-address-family

Dans le cas de ce routeur rien de particulier. J'ai créé une interface de loopback 82 pour pouvoir visualiser la propagation du réseau à travers le réseau MPLS.

Si on observer un CE comme Data Center :

      82.0.0.0/32 is subnetted, 1 subnets
D EX     82.82.82.82
           [170/2560002816] via 172.168.2.1, 00:20:30, FastEthernet0/0
      100.0.0.0/32 is subnetted, 1 subnets
D EX     100.100.100.100
           [170/2560002816] via 172.168.2.1, 00:20:30, FastEthernet0/0
      172.168.0.0/16 is variably subnetted, 2 subnets, 2 masks
C        172.168.2.0/30 is directly connected, FastEthernet0/0
L        172.168.2.2/32 is directly connected, FastEthernet0/0



La relation EBGP entre PE1 et IPv4/IPv6 est donc opérationnelle.
Cela amène néanmoins un problème. En effet, nos routeurs CE ne doivent pas contenir la totalité des tables de routage d'Internet ! Étant des machines limitées physiquement, il nous faut trouver une parade.

Nous configurons une route statique pointant vers PE2 sur le routeur A_S_A.

ip route 0.0.0.0 0.0.0.0 209.168.35.2

De plus, nous retirons la redistribution de protocole existante de BGP dans chaque process EIGRP.



Mais où configurer le NAT ?

Il n'y a ici pas le choix, il doit être configuré sur les CE. Cela implique un changement d'adresse, il faut en effet que celle ci soit publique entre le PE et le CE. J' ai expliqué précédemment que de part l'utilisation de VRF, cette adresse pouvait être identique sur toutes les liaisons PE-CE, ici avec le NAT ce ne sera plus le cas.

Par flemme, je ne vais reconfigurer qu'un nombre restreint de routeurs.

Voici la configuration de A_S_A :

interface FastEthernet0/0
 description Vers_PE2
 ip address 209.168.35.1 255.255.255.252
 ip nat outside
 ip virtual-reassembly in
 duplex full
!
interface FastEthernet1/0
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly in
 duplex full
 speed auto
!
router eigrp 20
 network 192.168.10.0
 network 209.168.35.0 0.0.0.3

!
ip nat inside source list NAT interface FastEthernet0/0 overload
ip route 0.0.0.0 0.0.0.0 209.168.35.2
!
ip access-list standard NAT
 permit 192.168.1.0 0.0.0.255

Pour résumer :

Dernier point de détail

Comme vous pouvez le voir dans la conf, le réseau du Lan du bâtiment (192.168.10.0/24) est annoncé sur MP-BGP. Pour éviter que celui-ci "sorte sur Le Net", nous filtrons les MAJ BGP de PE1 vers IPv4/IPv6.

router bgp 4294
 bgp log-neighbor-changes
.....
 !
 address-family ipv4

 !
 address-family vpnv
.......

 !
 address-family vpnv6
.........
 !
 address-family ipv4 vrf INTERNET
  neighbor 172.168.2.2 remote-as 4295
  neighbor 172.168.2.2 transport multi-session
  neighbor 172.168.2.2 activate
  neighbor 172.168.2.2 next-hop-self
  distribute-list LAN out
 exit-address-family
 !
 address-family ipv6 vrf INTERNET
......
!
ip access-list standard LAN
 deny   192.168.0.0 0.0.255.255
 permit any

On interdit aux réseaux LAN d'être annoncés à l'extérieur.

Du point de vue de IPv4/IPv6, on observe :

Gateway of last resort is not set

      82.0.0.0/32 is subnetted, 1 subnets
C        82.82.82.82 is directly connected, Loopback82
      172.168.0.0/16 is variably subnetted, 2 subnets, 2 masks
C        172.168.2.0/30 is directly connected, FastEthernet0/0
L        172.168.2.2/32 is directly connected, FastEthernet0/0
      209.168.35.0/30 is subnetted, 2 subnets
B        209.168.35.0 [20/0] via 172.168.2.1, 01:36:11
B        209.168.35.4 [20/0] via 172.168.2.1, 00:45:02
      211.12.1.0/24 is variably subnetted, 2 subnets, 2 masks
C        211.12.1.0/30 is directly connected, FastEthernet1/0
L        211.12.1.2/32 is directly connected, FastEthernet1/0

Seules les adresses RSO de NAT apparaissent
En vert : j'ai fais la même manip avec le routeur Data Center.


Test depuis Client 1

On test notre surf en pingant une adresse de loopback 82.82.82.82 :

Voilà pour cette "solution" Internet. Comme annoncé en début d'article, je n'en suis pas particulièrement content, le design étant selon moi un pourri.

Si jamais vous avez des idées .....

La prochaine fois nous clôturons cette série d'articles par la mise en place de tunnels VPN entre le routeur A_S_A et Data Center.


Architecture GNS3/Concepts généraux
Mise en place du Cloud MPLS
VRF
Routage, IPV6 et addess-familly
Mise en Place de MP-BGP
Les trucs qui fâchent



Bon clic à tous,