← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-wan / configuration / third-party

Cisco Meraki MX (statické směrování)

Tento návod obsahuje podrobné pokyny ke konfiguraci zařízení Cisco Meraki MX pro vytvoření tunelů IPsec VPN do Cloudflare WAN. Je určen síťovým administrátorům, kteří se orientují ve správě Cisco Meraki a mají aktivní předplatné Cloudflare WAN.

Všechny názvy objektů a IP adresy v následujících příkladech nahraďte tak, aby odpovídaly vašemu prostředí.

Po vytvoření tunelu získejte identitu IKE a předsdílený klíč:

Po vytvoření tunelu získejte identitu IKE a předsdílený klíč:

Režim: Routed

• Požadavek na firmware: Minimální požadovaný firmware pro tuto konfiguraci je MX 19.2.7.
• Kompatibilita hardwaru: Starší hardware Meraki nemusí být fyzicky schopen provozu verze 19.2.7. Pro tuto architekturu je vyžadována podpora Route-Based VPN. Podívejte se na Omezení firmwaru produktu ↗ určit, zda vaše platforma MX podporuje verzi firmwaru 19.2.7 nebo novější.
• Konfigurace Active/Standby: Redundantní tunely přidružené k připojením Non-Meraki VPN fungují v režimu Active/Standby. Oba tunely jsou navázány, ale Meraki směruje provoz pouze přes primárního partnera IPsec VPN a na základě sond sledování tunelu dynamicky přepíná na sekundárního partnera IPsec VPN.
  • Redundance Anycast a tunelů: I přes charakter Active/Standby tunelů IPsec VPN na platformě MX zůstává vysoká dostupnost zachována na síťové vrstvě. Vzdálené endpointové IP adresy Cloudflare se totiž inzerují prostřednictvím BGP anycast napříč globální sítí Cloudflare, což zajišťuje přirozenou geografickou i logickou redundanci.
• Podpora Route-Based VPN: Ačkoli se verze 19.2.7 často spojuje s konkrétními cloudovými integracemi, obecně podporuje Route-Based IPsec VPN i pro zařízení třetích stran, včetně Cloudflare WAN.
• Redundance a Multi-Uplink: Tato dokumentace se zabývá konkrétně konfiguracemi tunelu Active/Standby.
  • Multi-Uplink IPsec VPN: Meraki Multi-Uplink IPsec VPN ↗ funkce přesahuje rámec tohoto návodu.
• Ochrana anti-replay: Cloudflare doporučuje zakázání Anti-Replay Protection pro optimální výkon s Cloudflare WAN. Platforma Cisco Meraki MX neumožňuje administrátorům tuto funkci zakázat.
  • Jedná se o známé omezení platformy Meraki.
  • V prostředích s vysokým jitterem nebo doručováním paketů mimo pořadí na underlay (síti ISP) to může na straně MX tunelů IPsec VPN způsobovat občasné zahazování paketů.
• Omezování MSS: Cloudflare doporučuje konkrétní hodnotu Maximum Segment Size (MSS) clamping hodnoty, které zohledňují režii IPsec a zabraňují fragmentaci.
  • Meraki Dashboard neposkytuje uživatelsky přístupné pole pro úpravu hodnoty MSS clamping u tunelů VPN třetích stran.
  • Zákazníci musí kontaktovat technickou podporu Meraki a požádat o ruční úpravu hodnoty MSS na backendu (přibližně 1360, hodnota se může lišit) pro konkrétní síť nebo tunel.
• Rozsah ISP: Uvedená konfigurace je ověřená pro jednoho poskytovatele internetových služeb (ISP). Tuto logiku lze rozšířit i na redundantní poskytovatele ISP, ale konfigurace s více připojeními (multihoming) přesahuje rámec tohoto návodu.

• Tato konfigurace vyžaduje Unified Routing dataplane pro podporu Automatic Return Routing.
• V Cloudflare dashboardu jste již nakonfigurovali tunely IPsec a statické trasy.
• Pomocí Cloudflare dashboardu jste získali místní identifikátor (FQDN/název hostitele) a vygenerovali předsdílený klíč pro každý tunel IPsec.
• Rozumíte důležitosti omezování MSS a upravíte ji podle toků provozu procházejících tunely Cloudflare WAN IPsec.

Než budete pokračovat konfigurací Meraki, budete potřebovat následující údaje z konfigurace Cloudflare:

• Hodnoty adres rozhraní IPv4 (v notaci Classless Inter-Domain Routing (CIDR))
• Anycast IP adresy Cloudflare
• Lokální ID (FQDN/název hostitele)
• Pre-shared keys
• Vzdálené podsítě

V platformě MX označuje pojem „Private subnets“ vzdálené sítě, které zařízení MX směruje přes tunely IPsec.

Tento dokument předpokládá, že následující podsítě jsou vzdálené podsítě:

• 172.16.10.0/24
• 172.16.11.0/24

Platforma MX používá sledování tunelu k umožnění failoveru mezi primárním a sekundárním tunelem IPsec VPN. Sledování tunelu zjišťuje konektivitu přes tunely (u tunelů s podporou BGP není podporováno). Sledování tunelu funguje nezávisle na Dead Peer Detection, které určuje stav tunelů IPsec.

Sondy stavu tunelu se používají spolu s Dead Peer Detection ke zjištění celkové dostupnosti prostředků na vzdálené straně tunelů IPsec.

Meraki si vyhrazuje IP adresu 192.0.2.3/32 (součást TEST-NET-1, definováno v RFC 5737 ↗) jako zdrojovou IP adresu pro sondy monitorování tunelu. Přečtěte si Primární a sekundární tunely IPsec ↗ s podrobnostmi.

Jako 192.0.2.3/32 se vymyká tradičnímu RFC 1918 ↗ adresní prostor, musíte ho přidat do Unified Routing dataplane přiřazenou k vašemu účtu Cloudflare.

Kontaktujte Cloudflare a požádejte o pomoc s přidáním internal_authorized_prefixes možnost k vašemu účtu, s 192.0.2.3/32 součástí.

Definujte Zásada HTTP a povolit, aby zdrojová IP adresa monitorovací sondy tunelu mohla dosáhnout dané IP adresy/URL (HTTP, port 80/tcp).

V Cloudflare dashboardu přejděte na Zero Trust > Zásady provozu > Zásady brány firewall > HTTP.

1. Přidejte nové pravidlo.
2. Pro Název zásady, zadejte Meraki Tunnel Health Checks - HTTP Policy.
3. Sestavit výraz typu Provoz.
4. Pro Selektor, zadejte Source Internal IP is 192.0.2.3.
5. Pro Akce, vyberte Do Not Inspect.

Umístěte tuto zásadu na začátek nebo blízko začátku sady pravidel pro zásady HTTP.

Následující diagram znázorňuje tok provozu z vyhrazené IP adresy pro monitorování tunelu (192.0.2.3/32) při průchodu tunely IPsec do Cloudflare WAN a poté přes Cloudflare Gateway, když požadavky opouštějí síť směrem do internetu. Cesta odpovědi je zcela symetrická.

flowchart LR
accTitle: Meraki tunnel monitoring with Cloudflare WAN
accDescr: Traffic flow from the tunnel monitoring source IP through the Meraki MX, IPsec tunnels, Cloudflare WAN, and Cloudflare Gateway to an HTTP target on the public internet.
 subgraph CPE["Cisco Meraki (CPE) Active/Standby Model"]
    direction TB
        FW["Cisco Meraki MX
        WAN: 203.0.113.100/24
        ---
        LAN: 192.168.125.1/24
        ---
        LAN Subnet: 192.168.125.0/24"]
        L7_Health_Check["L7 Health Check
        ---
        Internal Src IP: 192.0.2.3/32"]
  end
 subgraph T1["Active - IPsec Tunnel 1"]
    direction LR
        T1_CPE["CPE VTI 1
        Internal to MX"]
        T1_CF["Cloudflare VTI 1
        169.254.250.0/31"]
  end
 subgraph T2["Standby - IPsec Tunnel 2"]
    direction LR
        T2_CPE["CPE VTI 2
        Internal to MX"]
        T2_CF["Cloudflare VTI 2
        169.254.250.2/31"]
  end
 subgraph CF["Cloudflare WAN"]
    direction TB
        EP1["Anycast Endpoint 1
        162.159.135.1"]
        EP2["Anycast Endpoint 2
        172.64.135.1"]
  end
 subgraph CF_GW["Cloudflare Gateway"]
    direction TB
        GW["Policy
        Src IP 192.0.2.3
        Allow"]
  end
    L7HCT["HTTP Target"]

    T1_CPE === T1_CF
    T2_CPE === T2_CF
    FW <==> T1_CPE & T2_CPE
    T1_CF <==> EP1
    T2_CF <==> EP2

    L7_Health_Check -.-> FW
    FW -.-> T1_CPE
    FW -.-> T2_CPE
    T1_CPE -.-> T1_CF
    T2_CPE -.-> T2_CF
    T1_CF -.-> EP1
    T2_CF -.-> EP2
    EP1 -.-> GW
    EP2 -.-> GW
    GW -.-> L7HCT
    FW@{ shape: stadium}
    T1_CPE@{ shape: stadium}
    T1_CF@{ shape: stadium}
    T2_CPE@{ shape: stadium}
    T2_CF@{ shape: stadium}
    EP1@{ shape: stadium}
    EP2@{ shape: stadium}
    GW@{ shape: stadium}

Správa konfigurace Meraki je postavena na dvouúrovňové hierarchii. Objekty a jejich přidružená nastavení se definují jedním z těchto způsobů:

• V rámci celé organizace: Globální objekty definované jednou pro celý tenant.
• Specifické pro síť: Nastavení použitá pro jednotlivou pobočku nebo zařízení.

Konfigurace Non-Meraki VPN je objekt úrovně Organization. Odesílá se na konkrétní zařízení MX ve chvíli, kdy se přiřadí k odpovídajícímu Network Tag. Tento model dědičnosti je klíčovým faktorem: tag určuje, který fyzický hardware se pokusí navázat tunely ke Cloudflare.

Orbital Path Ventures je fiktivní společnost, na kterou konfigurace v celém textu odkazuje a která představuje organizaci definovanou v Meraki Dashboard.

Společnost spravuje jedno zařízení Meraki MX ve své pobočce v Austinu v Texasu, které je přiřazeno k síti s názvem Orbital Path Ventures - Austin TX.

Network Tag s označením Orbital_Path_AUS_Office souvisí s Orbital Path Ventures - Austin TX Síť.

Přejděte na Síť > Sítě, poté vyberte Organizaci.

• Orbit Path Ventures (nahraďte svým Organization name).
• Síť: Orbit Path Ventures - Austin TX (nahraďte svým Network name).
• Štítek: Orbital_Path_AUS_Office (nahraďte hodnotou Tag přiřazenou k danému Network name).

Při integraci s Cloudflare WAN určuje Meraki Network Tag, která zařízení zdědí konfiguraci tunelu Cloudflare.

Konfigurace Non-Meraki VPN je globální objekt: každé zařízení MX s přiřazeným Network Tag se pokusí navázat tunely ke Cloudflare pomocí stejných partnerů IPsec VPN.

Aby byly toky provozu předvídatelné a nedocházelo ke konfliktům směrování, Cloudflare doporučuje následující osvědčené postupy:

• Přísná korelace tunelů: Udržujte mapování 1:1 mezi redundantními páry tunelů IPsec definovanými v Cloudflare a konkrétním zařízením MX, které tyto tunely inicializuje.
• Síťové značky specifické pro pobočku: Použijte podrobné značky specifické pro danou pobočku (například Orbital_Path_AUS_Office) místo obecných širokých štítků, aby konfiguraci tunelu zdědilo jen zamýšlené MX.
• Jedinečné objekty IPsec VPN peer: Na úrovni Organization vytvořte samostatné objekty Non-Meraki VPN peer pro jednotlivé fyzické geografické lokality. Použijte Dostupnost možnost pro vytvoření mapování 1:1.

Zpětný provoz z Cloudflare WAN se směruje podle tabulky směrování virtuální sítě Cloudflare (viz Řízení provozu pro podrobnosti). Trasy se určují na základě prefixu MX LAN a odpovídajících tunelů IPsec.

Source-Based Default Routing ↗ umožňuje administrátorovi vytvořit výchozí trasu založenou na zdroji a určit další přechod jako bezpečnostní zařízení přes Auto VPN nebo na zařízení v síti LAN.

Source-Based Default Routing nelze použít společně s endpointy Non-Meraki VPN, včetně Cloudflare WAN.

Definujte privátní podsítě v konfiguraci IPsec VPN peeru, abyste určili, jak zařízení MX směrují provoz přes jednotlivé tunely.

O tom, jaký provoz se směruje přes primární a sekundární tunely VPN, rozhodují předpony IP definované jako privátní podsítě v konfiguraci peeru IPsec VPN. Najdete je ve směrovací tabulce příslušného zařízení MX appliance.

Tento dokument uvažuje tři topologie tras:

1. Pouze East/west:
   • Privátní provoz přes Cloudflare WAN.
   • Internet přes místní internetové připojení.
2. Internet pouze přes Cloudflare Gateway:
   • Provoz do internetu směrujte pouze přes Cloudflare WAN.
3. Veškerý provoz přes Cloudflare WAN a Gateway:
   • Provoz East/west a internetový provoz směrovaný přes Cloudflare WAN.

Všechny tři topologie jsou popsané v Partneři IPsec VPN sekce.

Přejděte na Zabezpečení a SD-WAN > Site-to-site VPN.

Vyberte Hub (Mesh).

Zapněte režim VPN pro lokální síť za zařízeními MX.

Od:

Postup:

Přejděte na Zabezpečení a SD-WAN > Site-to-site VPN > Organization Wide Settings.

Nakonfigurujte HTTP sondu kontroly stavu na vrstvě 7, kterou platforma MX používá ke zjištění dostupnosti prostředků prostřednictvím tunelů IPsec VPN:

1. Vyberte Nakonfigurujte kontroly stavu.

2. Zadejte následující hodnoty:

   Název	Endpoint
   Google	http://www.google.com

3. Vyberte OK.

Konfigurace partnerů IPsec VPN jsou k dispozici pro následující topologie:

• Pouze provoz East/west
• Internet pouze přes Cloudflare Gateway
• Veškerý provoz přes Cloudflare WAN a Gateway

Směrování provozu east-west přes Cloudflare WAN vyžaduje:

• Trasy Cloudflare zadané pro podsíť LAN za zařízením MX (192.168.125.0/24) přes CF_WAN_TUN_01 a CF_WAN_TUN_02.
• Vzdálené podsítě (172.16.10.0/24 a 172.16.11.0/24) zadané jako privátní podsítě na primárním a sekundárním IPsec VPN peeru Meraki.
• Prefixy adres rozhraní IPv4 zadané na obou CF_WAN_TUN_01 a CF_WAN_TUN_02 (169.254.250.0/31 a 169.254.250.2/31) zadané jako privátní podsítě na primárním a sekundárním IPsec VPN peeru Meraki.

Tím je zajištěno, že:

• Provoz směřující do podsítě LAN za zařízením MX Cloudflare směruje přes CF_WAN_TUN_01 a CF_WAN_TUN_02.
• Zařízení MX explicitně směruje provoz určený pro vzdálené podsítě (172.16.10.0/24 a 172.16.11.0/24) přes primárního a sekundárního peera IPsec VPN.
• Zařízení MX explicitně směruje pakety ICMP Reply související s kontrolami stavu tunelu Cloudflare na IPv4 adresy rozhraní (169.254.250.0/31 a 169.254.250.2/31) zadané na CF_WAN_TUN_01 a CF_WAN_TUN_02 prostřednictvím primárního, respektive sekundárního partnera IPsec VPN.
• Internetový provoz z podsítě LAN za zařízením MX se směruje přes uplink WAN.
• Zařízení MX naváže tunely IPsec ke Cloudflare endpointům (162.159.135.1 a 172.64.135.1) přes uplink WAN.

Nakonfigurujte následující:

Tunely Cloudflare IPsec, automatické zpětné směrování:

Trasy Cloudflare:

Soukromé podsítě Meraki:

1. Vyberte + Add a peer.

2. Zadejte následující hodnoty:

   Attribute	Hodnota
   Název	cf-wan-tun-01
   Verze IKE	IKEv2
   Veřejná IP nebo hostitelský název	162.159.135.1
   Lokální ID	bf6c493d03<REDACTED>.ipsec.cloudflare.com
   Remote ID	,
   Sdílený tajný klíč	Cloudflare-WAN-T1-PSK-1234!
   Směrování	Statický
   Privátní podsítě	169.254.250.0/31, 169.254.250.2/31, 172.16.10.0/24, 172.16.11.0/24
   Dostupnost	Orbital_Path_AUS_Office
   Tunnel Monitoring	Google Health Check
   Failover přímo na internet	,
   IPsec Policy	,
   Preset	Custom
   Phase 1, Encryption	AES 256
   Phase 1, Authentication	SHA256
   Phase 1, Pseudo-Random Function	SHA256
   Phase 1, Diffie-Hellman group	14
   Phase 1, Lifetime (sec)	28800
   Phase 2, Encryption	AES256
   Phase 2, Authentication	SHA256
   Phase 2, PFS Group	14
   Phase 2, Lifetime (sec)	28800

3. Vyberte Save.

1. Vyberte --- ikonu ve sloupci nastavení.

2. Vyberte + Add secondary peer.

3. Nevybírejte Zdědit konfigurace primárního peeru. Tím se zajistí Veřejná IP nebo hostitelský název, Lokální ID, Remote ID, a Sdílený tajný klíč jsou nakonfigurovány s nastavením potřebným k úspěšnému sjednání tunelu IPsec CF_WAN_TUN_02.

4. Zadejte následující hodnoty:

   Attribute	Hodnota
   Název	cf-wan-tun-02
   Verze IKE	IKEv2 (zděděno)
   Veřejná IP nebo hostitelský název	172.64.135.1
   Lokální ID	0287844e9d<REDACTED>.ipsec.cloudflare.com
   Remote ID	172.64.135.1
   Sdílený tajný klíč	Cloudflare-WAN-T2-PSK-1234!
   Směrování	Statická (zděděná)
   Privátní podsítě	169.254.250.0/31, 169.254.250.2/31, 172.16.10.0/24, 172.16.11.0/24 (zděděno)
   Dostupnost	Orbital_Path_AUS_Office (Zděděno)
   Tunnel Monitoring	Google Health Check
   Failover přímo na internet	,
   IPsec Policy	,
   Preset	Custom
   Phase 1, Encryption	AES 256
   Phase 1, Authentication	SHA256
   Phase 1, Pseudo-Random Function	SHA256
   Phase 1, Diffie-Hellman group	14
   Phase 1, Lifetime (sec)	28800
   Phase 2, Encryption	AES256
   Phase 2, Authentication	SHA256
   Phase 2, PFS Group	14
   Phase 2, Lifetime (sec)	28800

5. Vyberte Save.

Ověřte, že tabulka tras zařízení MX obsahuje trasy pro privátní podsítě definované v konfiguraci primárního a sekundárního partnera IPsec VPN.

Přejděte na Zabezpečení a SD-WAN > Sledovat > Směrovací tabulka.

Směrovací tabulka Meraki zobrazuje trasy přes cf-wan-tun-01 a cf-wan-tun-02 následovně:

Meraki používá sledování tunelu k tomu, aby určilo, kdy má automaticky přejít na sekundárního partnera IPsec VPN. Meraki pomocí Dead Peer Detection zjišťuje celkový stav tunelů IPsec.

VPN peers jiné než Meraki podporují model Active/Standby. Provoz je odesílán přes cf-wan-tun-01 dokud nedojde k failoveru, po kterém cf-wan-tun-02 se stane aktivní. Provoz se dynamicky vrátí zpět na cf-wan-tun-01 jakmile se jeho tunel znovu připojí.

Testování failoveru ukazuje, že provoz může být na několik sekund přerušen. Cloudflare zaznamenal případy failoveru trvající 15 až 20 sekund, tyto případy jsou ale vzácné.

Kontroly stavu Cloudflare tunelu hlásí u tunelu označeného jako záložní (standby) 100% selhání. Tím je zajištěno, že provoz je směrován pouze přes aktivní tunel.

Pomocí Meraki Dashboard zjistěte stav tunelů IPsec:

1. Přejděte na Zabezpečení a SD-WAN > Sledovat > VPN Status.
2. Přejděte k Přehled sekce.
3. Vyberte filtr s označením 2 IPsec peery.

Aktivní tunel: cf-wan-tun-01:

Aktivní tunel: cf-wan-tun-02:

Aktivní tunel: cf-wan-tun-01:

Aktivní tunel: cf-wan-tun-02:

Aktivní tunel: cf-wan-tun-01:

Aktivní tunel: cf-wan-tun-02:

Zkontrolujte směrovací tabulku MX a zjistěte, jaký provoz je směrován přes tunely IPsec ve srovnání s přímým směrováním do internetu.

Přejděte na Zabezpečení a SD-WAN > Sledovat > Směrovací tabulka.

VPN Status hlásí, že kontroly stavu selhávají na obou tunelech:

Zkontrolujte protokoly a zásadu Cloudflare Gateway a zjistěte, zda požadavky HTTP pocházející z 192.0.2.3/32 jsou blokovány.

Pokud jsou blokovány, vytvořte pravidlo pro obnovení HTTP požadavků monitorování tunelu. Přečtěte si HTTP zásada Cloudflare Gateway s podrobnostmi.

Dostupné v:

• Log Explorer
• Logpush > Protokoly IPsec

Protokoly IPsec mohou pomoci diagnostikovat řadu problémů souvisejících s tunely IPsec, například:

• Používání nepodporovaného šifrování nebo nastavení integrity ve fázi 1 nebo fázi 2: hledejte zprávy indikující No proposal chosen.
  • Ověřte, že definované hodnoty šifrování nebo integrity pro fázi 1 a fázi 2 podporuje Cloudflare WAN.
  • Viz Podporované konfigurační parametry.
• IKE/IPsec identita: místní nebo vzdálená identita není definována nebo má nesprávné hodnoty.
  • Viz Průvodce integrací třetí strany Palo Alto pro příklad lokální identifikace založené na FQDN.
• Selhání ověřování: nesprávný předsdílený klíč.

Viz Konfigurace koncových bodů tunelu pro další podrobnosti.

Ujistěte se, že kontroly stavu tunelu pro obě CF_WAN_TUN_01 a CF_WAN_TUN_02 jsou nakonfigurovány s následujícím nastavením:

• Monitorování připojení pro WAN failover ↗
• Chování směrování MX ↗
• Organization Overview ↗
• Primární a sekundární tunely IPsec VPN ↗
• Site-to-Site VPN ↗