In modernen Enterprise- und Service-Provider-Netzen spielt die Kombination von Routing und VPN eine zentrale Rolle für Sicherheit, Isolation und Traffic-Steuerung. Insbesondere IPsec-VPNs über Virtual Tunnel Interfaces (VTI) oder klassische Crypto Maps haben direkte Auswirkungen auf die Routing-Table. Ein tiefes Verständnis der Interaktionen zwischen VPN-Bindungen, Routing-Entscheidungen und Forwarding ist entscheidend, um Blackholes, Routing-Konflikte oder unerwartetes Verhalten zu vermeiden.
Grundlagen: VTI vs. Crypto Map
Virtual Tunnel Interface (VTI)
VTIs abstrahieren IPsec-Tunnels als logische Layer-3-Schnittstellen, die direkt in die Routing-Table integriert werden. Dadurch können dynamische Routing-Protokolle wie OSPF oder BGP innerhalb des Tunnels betrieben werden.
interface Tunnel1
ip address 10.10.10.1 255.255.255.252
tunnel source 192.0.2.1
tunnel destination 198.51.100.1
tunnel mode ipsec ipv4
tunnel protection ipsec profile VPN_PROFILE
Crypto Map
Die klassische Crypto Map bindet IPsec-Tunnels an physische Interfaces und filtert Traffic anhand von Access Lists. Die Routing-Table sieht den Tunnel nicht als eigene Schnittstelle; Routing-Entscheidungen basieren weiterhin auf dem physischen Interface.
access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
crypto isakmp policy 10
encr aes
authentication pre-share
group 2
crypto ipsec transform-set VPN_TRANS esp-aes esp-sha-hmac
crypto map VPN_MAP 10 match address 100
crypto map VPN_MAP 10 set peer 198.51.100.1
crypto map VPN_MAP interface GigabitEthernet0/1
Interaktionen mit der Routing-Table
VTI und dynamisches Routing
- VTIs erscheinen als echte Layer-3-Schnittstellen in der Routing-Table.
- Dynamische Routing-Protokolle wie OSPF oder BGP können direkt über die VTI laufen.
- Next-Hop wird über das Tunnel-Interface gesetzt, was die Forwarding-Entscheidungen vereinfacht.
Crypto Map und statisches Routing
- Crypto Map-Traffic wird über physische Interfaces geleitet, ohne dass eine eigene Tunnel-Schnittstelle in der Routing-Table erscheint.
- Routing muss statisch oder über dynamisches Routing am physischen Interface erfolgen.
- Fehlkonfigurationen können zu asymmetrischem Routing oder Blackholes führen.
Best Practices für Routing-Integration
VTI
- Bevorzugen, wenn dynamisches Routing innerhalb des Tunnels benötigt wird.
- Next-Hop automatisch über Tunnel-Interface, daher weniger Fehlerquellen.
- Ermöglicht einfache Failover-Szenarien mit IGP/BGP.
Crypto Map
- Geeignet für einfache, statische IPsec-Verbindungen ohne dynamisches Routing.
- Access-Listen sorgfältig pflegen, um nur gewünschten Traffic zu verschlüsseln.
- Statische Routen oder Policy-Based Routing oft nötig, um Traffic korrekt zu lenken.
Häufige Fehlerquellen
- Asymmetrisches Routing bei Crypto Map ohne korrekt gesetzte Return-Routen.
- Routen auf physischem Interface übersehen, was zu Blackholes führt.
- IGP-Broadcasts oder BGP-Nachbarn über Crypto Map nicht erreichbar, wenn Next-Hop nicht korrekt gesetzt ist.
- Fehlende MTU- oder Fragmentierungseinstellungen, insbesondere bei VTIs über WAN.
Operational Considerations
Monitoring
- VTI:
show ip route,show ip ospf neighbor,show bgp summary - Crypto Map:
show crypto ipsec sa,show crypto isakmp sa, Traffic-Matches via ACL prüfen
Change Management
- Testumgebung nutzen, um Routing- und Tunnel-Interaktionen zu validieren.
- Dokumentation aller Tunnel-IPs, ACLs, Transform-Sets und Routing-Policies.
- Rollback-Plan: Statische Backup-Routen oder temporäre VTI-Konfigurationen.
Fazit
Die Wahl zwischen VTI und Crypto Map hat direkten Einfluss auf die Routing-Table, Forwarding-Entscheidungen und die Operational Complexity. VTIs sind ideal für dynamisches Routing, vereinfachen Failover und reduzieren Blackhole-Risiken. Crypto Maps eignen sich für einfache statische Tunnel, erfordern jedoch sorgfältige Routen- und ACL-Planung. Eine bewusste Design-Entscheidung basierend auf Use Case, Skalierbarkeit und Wartbarkeit minimiert Technical Debt und erhöht die Netzstabilität.
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)
Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.
Was ich (je nach Paket) umsetze
-
Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)
-
Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)
-
Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation
-
Optional Security: Basic ACLs und SSH-Hardening
-
Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)
Sie erhalten
-
✅ Packet Tracer .pkt Datei
-
✅ Saubere Konfigurations-Notizen pro Gerät
-
✅ Verifikations-Checkliste + erwartete Outputs
-
✅ Kurze Dokumentation (wie die Topologie funktioniert)
Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.
Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.