IP LOCAL POLICY

[Daniel Ordóñez Flores]

Hace algunos días alguien preguntó como unir la conexión de Internet de dos proveedores diferentes en un solo router, la respuesta de todos fue que este no era posible pero también muchas personas respondieron que podia utilizar un PBR para dividir su tráfico y tener dos enlaces activos y así, poder hacer que ciertos segmentos de red salieran un por un enlace de internet y otros segmentos por el otro. Hoy veremos ese ejemplo.

Comenzaremos con la configuración de nuestro equipos que hará la función de CPE (Equipo del Cliente)

interface Ethernet0/0
 description CONEXION CON ISP PRINCIPAL
 ip address 202.202.202.1 255.255.255.0
!
interface Ethernet0/1
 description CONEXION CON ISP SECUNDARIO
 ip address 203.203.203.1 255.255.255.0
!
interface Ethernet0/2
 description CONEXION CON RED LAN
 no ip address
!
interface Ethernet0/2.10
 encapsulation dot1Q 10
 ip address 192.168.10.254 255.255.255.0
!
interface Ethernet0/2.20
 description VOZ
 encapsulation dot1Q 20
 ip address 192.168.20.254 255.255.255.0
!
interface Ethernet0/2.30
 description SERVIDORES
 encapsulation dot1Q 30
 ip address 192.168.30.254 255.255.255.0
!
interface Ethernet0/2.40
 description CRITICOS
 encapsulation dot1Q 40
 ip address 192.168.40.254 255.255.255.0
!
interface Ethernet0/2.50
 description DIRECTORES
 encapsulation dot1Q 50
 ip address 192.168.50.254 255.255.255.0
!

Como podemos observar nuestro CPE tiene un par de conexiones:
interface Ethernet0/0 CONEXION CON ISP PRINCIPAL
interface Ethernet0/1 CONEXION CON ISP RESPALDO

El CPE tiene diferentes segmentos de red. Supongamos que nuestros directores necesitan un servicio de internet dedicado, para ello, utilizaremos a nuestro proveedor de Respaldo para que solo el segmento de red de nuestros directores salga a la red.

Configuremos los parámetros necesarios para establecer la sesión de BGP y el anuncio de redes.

router bgp 65001
 bgp log-neighbor-changes
 network 192.168.10.0
 network 192.168.20.0
 network 192.168.30.0
 network 192.168.40.0
 network 192.168.50.0
 neighbor 202.202.202.2 remote-as 65101
 neighbor 203.203.203.2 remote-as 65102

Una vez que nuestra sesión de BGP se ha establecido lo primero que vamos a configurar será una lista de acceso la cual permitirá el segmento de red de los Directores.

access-list 10 permit 192.168.50.0 0.0.0.255

Después vamos a crear un route-map el cual llamaremos “DIRECTORES”

route-map DIRECTORES permit 10
match ip address 10
set ip next-hop 203.203.203.2

El route map que utilizamos consta de 3 partes:
1. En la primer linea creamos nuestro route map y le asignamos un nombre.
2. En la segunda linea le indicamos que al route map que deberá hacer match con la lista de acceso 10.
3. En la tercera linea indicamos que el siguiente salto para el segmento de red que esta dentro de nuestra lista de acceso será la IP de nuestro ISP secundario, es decir, 203.203.203.2

Una vez que hemos creado nuestro route-map es necesario aplicarlo y para ello lo haremos en la sub-interface que le corresponde al segmento de DIRECTORES, es decir, en la Ethernet0/2.50

interface Ethernet0/2.50
description DIRECTOR
encapsulation dot1Q 50
ip address 192.168.50.254 255.255.255.0
ip policy route-map DIRECTORES

Ahora bien, para poder probar nuestro route-map he creado en cada ISP un loopback 100 y ambos anuncian la misma dirección IP 100.100.100.100 Veamos la tabla de ruteo del CPE:

 CPE#show ip route 100.100.100.100
Routing entry for 100.100.100.0/24
  Known via "bgp 65001", distance 20, metric 0
  Tag 65101, type external
  Last update from 202.202.202.2 00:04:10 ago
  Routing Descriptor Blocks:
  * 202.202.202.2, from 202.202.202.2, 00:04:10 ago
      Route metric is 0, traffic share count is 1
      AS Hops 1
      Route tag 65101
      MPLS label: none

Como podemos observar la ip 100.100.100.100 es conocida por nuestro ISP Principal 202.202.202.2
Ahora, realizaremos una traza y verificaremos que el segmento de Directores salga por nuestro enlace de respaldo.

CPE#traceroute 100.100.100.100 source ethernet 0/2.50 numeric 
Type escape sequence to abort.
Tracing the route to 100.100.100.100
VRF info: (vrf in name/id, vrf out name/id)
  1 202.202.202.2 [AS 65101] 1 msec *  0 msec
CPE#

Cómo podemos percatarnos nuestro segmento de Directores sigue saliendo por el enlace principal. ¿No funciona nuestro PBR? ¿Esta mal configurado o aplicado el route-map? ¿Es la lista de acceso el problema?

La razón por la cual el PBR áun no funciona es por qué necesitamos agregar un comando: “ip local policy route-map DIRECTORES”

Este comando nos permite utilizar nuestro route-map para tráfico que es generado por el propio CPE, es decir, el tráfico se genera desde las sub-interfaces del router. Si por ejemplo, el tráfico proviniera de un Switch CORE entonces bastará con lo ya configurado previamente.
Bien, apliquemos el comando en el contexto de configuración global.

CPE(config)#ip local policy route-map DIRECTORES

Ahora, probaremos si es que ya funciona.

CPE#traceroute 100.100.100.100 source ethernet 0/2.50 numeric 
Type escape sequence to abort.
Tracing the route to 100.100.100.100
VRF info: (vrf in name/id, vrf out name/id)
  1 203.203.203.2 [AS 65101] 2 msec *  1 msec
CPE#

Ahora podemos verificar que la red de Directores se encuentra saliendo por el enlace de Respaldo.