Estou no processo de re-IP endereçando um grande número de locais remotos, todos usando uma configuração Cisco GET VPN / GDOI para criptografia do tráfego. No processo, eu também queria revisar a configuração para garantir que seguimos as melhores práticas.
Estive no Guia de configuração e no Guia de implantação do Cisco GET VPN , mas não encontrei uma boa resposta para esta pergunta:
É uma prática recomendada usar uma interface de loopback ou física como a interface final do tráfego criptografado?
Atualmente, a configuração usa a interface Gig0 / 0 física para finalizar o tráfego criptografado. No entanto, para simplificar algumas das outras alterações envolvidas, eu gostaria de utilizar a interface Loopback0 para esse fim. No futuro, alguns desses sites estariam recebendo uplinks redundantes, e meu entendimento é que eu poderia usar a interface Loopback para terminar as duas conexões criptografadas.
Abaixo estão dois exemplos, a configuração existente e como eu entendo que precisaria configurar o roteador para usar o Loopback. Acredito que só precisaria adicionar o seguinte comando ao GM:
crypto map %MAPNAME local-address Loopback0
O endereço do GM também precisaria ser alterado no servidor principal; que eu saiba, essa é a única mudança no KS.
Uma amostra da confiuração existente:
!
crypto isakmp policy 10
encr aes
authentication pre-share
group 2
crypto isakmp key %KEY address 10.100.1.1
crypto isakmp key %KEY address 10.100.2.1
!
crypto ipsec df-bit clear
crypto gdoi group GDOI-MPLS-GROUP-10
identity number 10
server address ipv4 10.100.1.1
server address ipv4 10.100.2.1
!
crypto map CM-STATIC-MAP 10 gdoi
set group GDOI-MPLS-GROUP-10
!
interface Loopback0
ip address 10.129.110.125 255.255.255.252
!
interface GigabitEthernet0/0
description MPLS-Connection
ip address 10.101.44.2 255.255.255.248
ip virtual-reassembly
ip tcp adjust-mss 1300
duplex full
speed 100
no cdp enable
crypto map CM-STATIC-MAP
!
Uma amostra usando o loopback como a interface final:
!
crypto isakmp policy 10
encr aes
authentication pre-share
group 2
crypto isakmp key %KEY address 10.100.1.1
crypto isakmp key %KEY address 10.100.2.1
!
crypto ipsec df-bit clear
crypto gdoi group GDOI-MPLS-GROUP-10
identity number 10
server address ipv4 10.100.1.1
server address ipv4 10.100.2.1
!
crypto map CM-STATIC-MAP local-address Loopback0
crypto map CM-STATIC-MAP 10 gdoi
set group GDOI-MPLS-GROUP-10
!
interface Loopback0
ip address 10.129.110.101 255.255.255.252
!
interface GigabitEthernet0/0
description MPLS-Connection
ip address 10.101.24.2 255.255.255.248
ip tcp adjust-mss 1300
duplex full
speed 100
no cdp enable
crypto map CM-STATIC-MAP
!