Wdrożenie protokołu IPv6 w sieci MPLS v4 jako 6VPE

1. Wdrożenie protokołu IPv6 w sieci MPLSv4 jako 6VPE
Krzysztof Toczyski
Inżynier Sieciowy, KBTO Sp. z o.o.

2. www.plnog.pl
O mnie
• Inżynier/Administrator sieci WAN od ponad 10 lat
Specjalizacje:
• Protokoły: IP, MPLS, Routing (IS-IS, BGP)
• Obsługa systemów operacyjnych: głównie FreeBSD, trochę Linuxa
• Wirtualizacja: VMware
Sprzęt:
• Juniper
• Cisco
• Inne
Popełnione kiedyś certyfikaty:
• CCNA, CCSP, CCNP, CCIP, CCNP SP, CMNA

3. www.plnog.pl
Słownik
• IPv4 - Internet Protocol version 4
• IPv6 - Internet Protocol version 6
• MPLS - Multiprotocol Label Switching
• BGP - Border Gateway Protocol
• MP-BGP – Mulitiprotocol BGP
• 6VPE - IPv6 VPN Provider Edge Router
•VRF - Virtual routing and forwarding
• RR - Route Reflector
• RD - Route distinguisher
• PE - Provider Edge Router
• P - Provider Router
• LDP - Label Distribution Protocol

4. www.plnog.pl
O sieci IdM (część fizyczna)
W liczbach:
Ponad 3600km własnych światłowodów
5 ringów światłowodowych
6000 studni kablowych
Kilkaset punków dostępowych
Ok. 200 routerów szkieletowych
Podział na 2 szkielety
• 100G (A)
• 2 x 20G (2x10G) (B)

5. www.plnog.pl
O sieci IdM (część fizyczna) cd.
3 platformy sprzętowe dla sieci MPLS:
• Cisco ASR 9k
• Cisco ASR 9xx
• Juniper

6. www.plnog.pl
O sieci IdM (część logiczna)
Konfiguracja raczej standardowa ;)
Szkielet oparty na IPv4 (użyta adresacja prywatna)
Na tym uruchomiony:
• IS-IS
• MPLS
• BGP-MP
Do tego:
• MPLS-TE
• QoS
• L2VPN
• L3VPN

7. www.plnog.pl
O sieci IdM (część logiczna)
Podział jest na dwie sieci:
• CORE (dostaje full feed v4 i v6)
• Dystrybucja (dostaje defaulta v4 i v6)
Co jest innego:
Cały ruch Internetowy jest w osobnym VRFie, a nie w tablicy globalnej.
Wszystkie UPLINKi i klienci podpinani są do tego VRFa.

8. www.plnog.pl
Wybór rozwiązania
1. Przerobienie obecnego CORA na IPv6 + VRF
•Dużynakładpracyi konfiguracji
•v6będzie wosobnej tablicyniżv4
•Brakdualstack
•Koniecznośćoddawaniav6jakosubinterfejs
2. Przerobienie obecnego CORA na IPv6 + 4PE
•Dużynakładpracyi konfiguracji
•dualstack
3. Dodanie 6PE
•v6będzie wosobnej instancjiniżv4
•Brakdualstack
•Koniecznośćoddawaniav6jakosubinterfejs
•wykorzystanieobecnegocorav4
4. Dodanie 6VPE
•wykorzystanieobecnegocorav4
•wykorzystanieobecnegoVRFa
•dualstack
•prosta konfiguracja

9. www.plnog.pl
Trochę teorii o 6VPE
• Dla 6VPE RFC4659 (Wrzesień 2006)
• Dla 6PE RFC4798 (Luty 2007)

10. www.plnog.pl
Trochę teorii o 6VPE
IPv4 MPLS
VPNv4
VPNv4 VPNv4

11. www.plnog.pl
Trochę teorii o 6VPE
IPv4 MPLS
VPNv6
VPNv6 VPNv6

12. www.plnog.pl
Trochę teorii o 6VPE
• W 6VPE używamy 2 etykiet
1. Dla BGP VPN
2. Dla MPLS

13. www.plnog.pl
Trochę teorii o 6VPE
IPv4 MPLS
VPNv6 VPNv6
BGP VPN label MPLS label
MP-BGP
LDP LDP

14. www.plnog.pl
Trochę teorii o 6VPE
• Etykieta BGP VPN składa się z:
1. Prefiksu v6 z RD
2. Pola Next Hop w formacie ::FFFF:NH IPv4 (PE)
3. Etykiety

15. www.plnog.pl
Trochę teorii o 6VPE
IPv4 MPLS
VPNv6 VPNv6
BGP VPN label
MP-BGP
LDP LDP
RD:Prefix Next Hop Label

16. www.plnog.pl
Trochę teorii o 6VPE
• Etykieta MPLS składa się z:
1. Prefiksu (Next Hop PE)
2. Pola Next Hop (P/PE)
3. Etykiety

17. www.plnog.pl
Trochę teorii o 6VPE
IPv4 MPLS
VPNv6 VPNv6
MPLS label
MP-BGP
LDP LDP
Prefix Next Hop Label

18. www.plnog.pl
Trochę teorii o 6VPE
Dostajemy takie piękne połączenie 

19. www.plnog.pl
Trochę teorii o 6VPE
IPv4
IPv4 MPLS
VPNv6 VPNv6
MP-BGP
LDP LDP
BGP VPN label
RD:Prefix ::FFFF:PE Label 1
MPLS label
PE P/PE NH Label 99

20. www.plnog.pl
Trochę teorii o 6VPE
• Otrzymujemy prefiks CE/Uplink
• PE instaluje trasę w VRFie i dodaje etykietę VPN
• Router PE rozgłasza trasę via MP-BGP z next hopem swojego interfejsu Lo (IPv4).
Modyfikuje go do postaci ::FFFF:IPv4
• Router PE rozgłasza przez LDP/IGP etykietę dla osiągnięcia next hopa
• Po stronie zdalnej router PE instaluje prefiks w odpowiednim VRFie
• Po tym znamy już trasę do prefiksu

21. www.plnog.pl
Co potrzebujemy do wdrożenia
1. Adresację IPv6 
2. Skonfigurowane UPLINKI z innymi operatorami ISP
3. Skonfigurowane RR
4. Skonfigurowane routery PE

22. www.plnog.pl
Adresacja IPv6
Jak ją zdobyć?
• Jak jesteśmy LIRem wypełniamy wniosek na stronie RIPE i czekamy na pozytywną
odpowiedź .
„I am happy to confirm the approval of your request and that the RIPE NCC today
allocated the following prefix:
2001:db8::/32 to COMPANY (pl.COMPANY)”
• Jak nie jesteśmy LIRem to zgłaszamy się do swojego LIRa albo sami nim
zostajemy.

23. www.plnog.pl
UPLINKI
1. Zgłaszamy się do swoich dostawców łącz o
uruchomienie protokołu IPv6 na istniejących łączach
z protokołem BGP
2. Konfigurujemy IPv6 na naszych routerach

24. www.plnog.pl
Route Reflectory*
Co potrzebujemy:
1. Nowe polityki dla v6
2. Skonfigurować sesje BGP (AF INET v6) do
routerów PE
*PLNOG 15: BGP Route Reflector okiem praktyka by Łukasz Bromirski

25. www.plnog.pl
Route Reflectory: polityki dla CORE
Wejściowa:
route-policy RP_RR_VPNV6_IN
pass
end-policy
Wyjściowa:
route-policy RP_RR_VPNV6_OUT
pass
end-policy

26. www.plnog.pl
Route Reflectory: polityki dla DYSTRUBUCJI
Wyjściowa:
route-policy RP_RR_DEFAULT_VPNV6_OUT
if destination in PXS_DEFAULTV6_ONLY then
pass
else
drop
endif
end-policy
Prefiks lista:
prefix-set
PXS_DEFAULTV6_ONLY
::/0
end-set

27. www.plnog.pl
Konfiguracja BGP na RR
Dodanie do obecnej konfiguracji BGP (IOS XR)
#rouer bgp 64512 address-family vpnv6 unicast

28. www.plnog.pl
Konfiguracja BGP na RR
Dodanie do obecnej konfiguracji BGP 6VPE dla RR
• router bgp 64512 neighbor-group CORE-RR address-family vpnv6
unicast route-policy RP_RR_VPNV6_IN in
• router bgp 64512 neighbor-group CORE-RR address-family vpnv6
unicast route-policy RP_RR_VPNV6_OUT out
Dodanie address-family vpnv6 do istniejących sesji BGP powoduje ich
chwilowe rozpięcie !!!

29. www.plnog.pl
Weryfikacja BGP na RR
#sh bgp vpnv6 unicast neighbors 172.31.11.1
BGP neighbor is 172.31.11.1
Remote AS 64512, local AS 64512, internal link
Remote router ID 172.31.11.1
BGP state = Established, up for 6w2d
…
Neighbor capabilities:
Route refresh: advertised (old + new) and received (old + new)
Graceful Restart (GR Awareness): received
4-byte AS: advertised and received
Address family VPNv4 Unicast: advertised and received
Address family VPNv6 Unicast: advertised and received
…

30. www.plnog.pl
Weryfikacja BGP na RR
For Address Family: VPNv6 Unicast
BGP neighbor version 29229838
…
Policy for incoming advertisements is RP_RR_VPNV6_IN
Policy for outgoing advertisements is RP_RR_VPNV6_OUT
54476 accepted prefixes, 2 are bestpaths

31. www.plnog.pl
Konfiguracja BGP na RR
Dodanie do obecnej konfiguracji BGP 6VPE dla routerów CORE
• router bgp 64512 neighbor-group CORE address-family vpnv6 unicast
route-policy RP_RR_VPNV6_IN in
• router bgp 64512 neighbor-group CORE address-family vpnv6 unicast
route-reflector-client
• router bgp 64512 neighbor-group CORE address-family vpnv6 unicast
route-policy RP_RR_VPNV6_OUT out
Dodanie address-family vpnv6 do istniejących sesji BGP powoduje ich chwilowe rozpięcie !!!

32. www.plnog.pl
Weryfikacja BGP na RR
#sh bgp vpnv6 unicast neighbors 172.31.1.1
BGP neighbor is 172.31.1.1
Remote AS 64512, local AS 64512, internal link
Remote router ID 172.31.1.1
Cluster ID 172.31.5.1
BGP state = Established, up for 6w4d
…
Neighbor capabilities:
Route refresh: advertised (old + new) and received (old + new)
Graceful Restart (GR Awareness): received
4-byte AS: advertised and received
Address family VPNv4 Unicast: advertised and received
Address family VPNv6 Unicast: advertised and received
…

33. www.plnog.pl
Weryfikacja BGP na RR
For Address Family: VPNv6 Unicast
BGP neighbor version 29234199
Update group: 0.5 Filter-group: 0.2 No Refresh request being
processed
Route-Reflector Client
…
Policy for incoming advertisements is RP_RR_VPNV6_IN
Policy for outgoing advertisements is RP_RR_VPNV6_OUT
14477 accepted prefixes, 2 are bestpaths

34. www.plnog.pl
Konfiguracja BGP na RR
Dodanie do obecnej konfiguracji BGP 6VPE dla routerów Dystrybucyjnych
• router bgp 64512 neighbor-group DISTRIBUTION address-family vpnv6
unicast route-policy RP_RR_VPNV6_IN in
• router bgp 64512 neighbor-group DISTRIBUTION address-family vpnv6
unicast route-reflector-client
• router bgp 64512 neighbor-group DISTRIBUTION address-family vpnv6
unicast route-policy RP_RR_DEFAULT_VPNV6_OUT out
Dodanie address-family vpnv6 do istniejących sesji BGP powoduje ich chwilowe rozpięcie !!!

35. www.plnog.pl
Weryfikacja BGP na RR
#sh bgp vpnv6 unicast neighbors 172.31.51.8
BGP neighbor is 172.31.51.8
Remote AS 64512, local AS 64512, internal link
Remote router ID 172.31.51.8
Cluster ID 172.31.5.1
BGP state = Established, up for 7w4d
…
Neighbor capabilities:
Route refresh: advertised (old + new) and received (old + new)
Graceful Restart (GR Awareness): received
4-byte AS: advertised and received
Address family VPNv4 Unicast: advertised and received
Address family VPNv6 Unicast: advertised and received
…

36. www.plnog.pl
Weryfikacja BGP na RR
For Address Family: VPNv6 Unicast
BGP neighbor version 29235303
Update group: 0.5 Filter-group: 0.2 No Refresh request being
processed
Route-Reflector Client
…
Policy for incoming advertisements is RP_RR_VPNV6_IN
Policy for outgoing advertisements is RP_RR_DEFAULT_VPNV6_OUT
2 accepted prefixes, 1 are bestpaths

37. www.plnog.pl
Routery CORE: polityki dla RR
Wejściowa:
route-policy RP_RR_VPNV6_IN
pass
end-policy
Wyjściowa:
route-policy RP_RR_VPNV6_OUT
pass
end-policy

38. www.plnog.pl
Konfiguracja BGP na CORE
Dodanie do obecnej konfiguracji BGP 6VPE
• router bgp 64512 neighbor-group CORE-RR address-family
vpnv6 unicast route-policy RP_RR_VPNV6_IN in
• router bgp 64512 neighbor-group CORE-RR address-family
vpnv6 unicast route-policy RP_RR_VPNV6_OUT out
Dodanie address-family vpnv6 do istniejących sesji BGP powoduje ich
chwilowe rozpięcie !!!

39. www.plnog.pl
Weryfikacja BGP na CORE
#sh bgp vpnv6 unicast neighbors 172.31.5.1
BGP neighbor is 172.31.5.1
Remote AS 64512, local AS 64512, internal link
Remote router ID 172.31.5.1
BGP state = Established, up for 6w4d
…
Neighbor capabilities:
Route refresh: advertised (old + new) and received (old + new)
Graceful Restart (GR Awareness): received
4-byte AS: advertised and received
Address family VPNv4 Unicast: advertised and received
Address family VPNv6 Unicast: advertised and received
…

40. www.plnog.pl
Weryfikacja BGP na CORE
For Address Family: VPNv6 Unicast
BGP neighbor version 74496124
…
Policy for incoming advertisements is RP_RR_VPNV6_IN
Policy for outgoing advertisements is RP_RR_VPNV6_OUT
54478 accepted prefixes, 54476 are bestpaths

41. www.plnog.pl
Konfiguracja L3VPN na CORE
VRF
• vrf INTERNET address-family ipv6 unicast import route-target 64512:1
• vrf INTERNET address-family ipv6 unicast export route-target 64512:1
BGP
• router bgp 64512 vrf IDM-INTERNET address-family ipv6 unicast redistribute
connected
• router bgp 64512 vrf IDM-INTERNET address-family ipv6 unicast redistribute
static

42. www.plnog.pl
Weryfikacja L3VPN na CORE
VRF
#sh vrf INTERNET
VRF RD RT AFI SAFI
INTERNET 64512:3
import 64512:1 IPV4 Unicast
export 64512:1 IPV4 Unicast
import 64512:1 IPV6 Unicast
export 64512:1 IPV6 Unicast

43. www.plnog.pl
Weryfikacja L3VPN na CORE
BGP
BGP neighbor is 2001:db8::6:4513:0:45, vrf INTERNET
Remote AS 64513, local AS 64512, external link
Remote router ID 10.4.1.5
…
For Address Family: IPv6 Unicast
BGP neighbor version 72678402
Policy for incoming advertisements is RP_LX_AS64513 _GLOBAL_6_IN
Policy for outgoing advertisements is RP_LX_AS64513 _GLOBAL_6_OUT
37 accepted prefixes, 1 are bestpaths

44. www.plnog.pl
Konfiguracja BGP na DYSTRYBUCJI
Uruchomienie IPv6 na routerze
(config)#ipv6 unicast-routing
Dodanie do obecnej konfiguracji BGP 6VPE
router bgp 64512
address-family vpnv6
neighbor CORE-RR send-community extended
neighbor 172.31.5.1 activate
neighbor 172.31.11.1 activate
Dodanie address-family vpnv6 do istniejących sesji BGP powoduje ich chwilowe rozpięcie !!!

45. www.plnog.pl
Weryfikacja BGP na DYSTRYBUCJI
#show bgp vpnv6 unicast all neighbors 172.31.11.1
BGP neighbor is 172.31.11.1, remote AS 64512, internal link
Fall over configured for session
BFD is configured. BFD peer is Up. Using BFD to detect fast fallover (multi-hop).
Member of peer-group CORE-RR for session parameters
BGP version 4, remote router ID 172.31.11.1
BGP state = Established, up for 6w2d
…
Neighbor capabilities:
Route refresh: advertised and received(new)
Four-octets ASN Capability: advertised and received
Address family VPNv4 Unicast: advertised and received
Address family VPNv6 Unicast: advertised and received

46. www.plnog.pl
Konfiguracja L3VPN na DYSTRYBUCJI
VRF
vrf definition INTERNET
rd 64512:1
...
address-family ipv6
route-target export 64512:1
route-target import 64512:1

47. www.plnog.pl
Weryfikacja L3VPN na DYSTRYBUCJI
VRF
#sh vrf INTERNET
Name Default RD Protocols
Interfaces
INTERNET 64512:1 ipv4,ipv6

48. www.plnog.pl
Konfiguracja L3VPN na DYSTRYBUCJI
BGP
router bgp 64512
!
address-family ipv6 vrf INTERNET
redistribute connected
redistribute static

49. www.plnog.pl
Jak to wygląda w tablicy routingu na CORE
#sh route vrf INTERNET ipv6
B 2001::/32
[200/0] via ::ffff:172.31.6.1 (nexthop in vrf default), 5w5d
B 2001:4:112::/48
[200/0] via ::ffff:172.31.6.1 (nexthop in vrf default), 3w5d
B 2001:5:8::/48
[200/0] via ::ffff:172.31.6.1 (nexthop in vrf default), 01:07:15

50. www.plnog.pl
Jak to wygląda w tablicy routingu na DYSTRYBUCJI
#sh ipv6 route vrf INTERNET
B ::/0 [200/0]
via 172.31.14.1%default, indirectly connected

51. www.plnog.pl
Napotkane problemy
1. BUG? na ASR 9K (SNMP, BFD)
2. Grupy BGP na PE do RR

52. www.plnog.pl
Materiały
•RFC4659
•Cisco Press: Deploying IPv6 Networks
•Cisco Press: MPLS Fundamentals

53. Q&A
Wdrożenie protokołu IPv6 w sieci MPLSv4 jako 6VPE
Krzysztof Toczyski
Inżynier Sieciowy, KBTO Sp. Z o.o.