المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

نظرة عامة على Cisco Umbrella SIG

تحديد النطاق الترددي لنفق Umbrella SIG Tunnel

الحصول على معلومات بوابة Cisco Umbrella

الحصول على المفتاح والمفتاح السري

الحصول على معرف المؤسسة

إنشاء أنفاق Umbrella SIG باستخدام سيناريو النسخ الاحتياطي/النشط

الخطوة 1. قم بإنشاء قالب ميزة بيانات اعتماد SIG.

الخطوة 2. إنشاء قالب ميزة SIG.

الخطوة 3. حدد موفر SIG الخاص بك للنفق الأساسي.

الخطوة 4. إضافة النفق الثانوي.

الخطوة 5. إنشاء زوج واحد عالي التوفر.

الخطوة 6. تحرير قالب VPN من جانب الخدمة لإدخال مسار خدمة.

تكوين موجه WAN Edge للسيناريو النشط/الاحتياطي

إنشاء أنفاق Umbrella SIG باستخدام سيناريو نشط/نشط

الخطوة 1. قم بإنشاء قالب ميزة بيانات اعتماد SIG.

الخطوة 2. قم بإنشاء واجهتي إسترجاع لربط أنفاق SIG.

الخطوة 3. إنشاء قالب ميزة SIG.

المقدمة

يوضح هذا المستند كيفية التكوين Cisco Umbrella Secure Internet Gateway (SIG) أنفاق مع IPsec في كلا  Active/Active  و Active/Standby.

المتطلبات الأساسية

المتطلبات

توصي Cisco بمعرفة الموضوعات التالية:

- Cisco Umbrella

- تفاوض IPsec

- شبكة المنطقة الواسعة المعرفة من برنامج Cisco (SD-WAN)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- Cisco vManage الإصدار 20.4.2

- موجه Cisco WAN Edge C1117-4PW*، الإصدار 17.4.2

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

نظرة عامة على Cisco Umbrella SIG

Cisco Umbrella عبارة عن خدمة أمان يتم توصيلها عبر السحابة تعمل على الجمع بين الوظائف الأساسية.

Umbrella يوحد بوابة الويب الآمنة وأمان DNS وجدار الحماية الذي يتم تسليمه عبر السحابة ووظائف وسيط أمان الوصول إلى السحابة واستخبارات التهديدات.

إن الفحص والرقابة العميقين يضمنان الامتثال لسياسات الويب ذات الاستخدام المقبول، ويحميان من تهديدات الإنترنت.

يمكن دمج موجهات SD-WAN مع بوابات الإنترنت الآمنة (SIG) التي تقوم بمعظم المعالجة لتأمين حركة مرور بيانات المؤسسة.

عند إعداد SIG، تتم إعادة توجيه جميع حركة مرور العملاء، استنادا إلى المسارات أو النهج، إلى SIG.

تحديد النطاق الترددي لنفق Umbrella SIG Tunnel

كل نفق IPsec IKEv2 إلى Umbrella تقتصر ميزة "طرف الرأس" على 250 ميجابت في الثانية تقريبا، لذلك إذا تم إنشاء عدة أنفاق وتوازن أحمال حركة المرور، فإنها تتغلب على هذه القيود في حالة الحاجة إلى نطاق ترددي أكبر.

ما يصل إلى أربعة High Availability يمكن إنشاء أزواج الأنفاق.

الحصول على معلومات بوابة Cisco Umbrella

من أجل المضي قدما في عملية تكامل SIG، Umbrella يلزم وجود حساب مزود بحزمة SIG Essentials.

الحصول على المفتاح والمفتاح السري

يمكن إنشاء المفتاح والمفتاح السري في اللحظة التي تحصل فيها على Umbrella Management API KEY (هذا المفتاح ضمن "المفاتيح القديمة"). إذا لم تذكر المفتاح السري أو لم تقم بحفظه، انقر فوق تحديث.

تحذير: في حالة النقر فوق الزر "تحديث"، يلزم تحديث هذه المفاتيح على جميع الأجهزة، لا يوصى بالتحديث في حالة وجود أجهزة قيد الاستخدام.

الحصول على معرف المؤسسة

يمكن الحصول على معرف المؤسسة بسهولة عند تسجيل الدخول إلى Umbrella من شريط عناوين المستعرض.

إنشاء أنفاق Umbrella SIG باستخدام سيناريو النسخ الاحتياطي/النشط

ملاحظة: توجيه النفق عبر بروتوكول IPsec/GRE وموازنة الحمل باستخدام بروتوكول ECMP: تتوفر هذه الميزة في الإصدار vManage 20.4.1 وفيما بعد، وهي تسمح لك باستخدام قالب SIG لتوجيه حركة مرور التطبيقات إلى Cisco Umbrella أو مزود SIG من جهة خارجية

ملاحظة: دعم الإمداد التلقائي ل Zscaler: تتوفر هذه الميزة على vManage 20.5.1 وفيما بعد، وتقوم هذه الميزة بأتمتة إمداد الأنفاق من موجهات Cisco SD-WAN إلى Zscaler، باستخدام بيانات اعتماد واجهة برمجة التطبيقات (API) الخاصة بشريك Zscaler.

لتكوين الأنفاق التلقائية ل SIG، يلزم إنشاء/تحديث بعض القوالب:

- قم بإنشاء قالب ميزة بيانات اعتماد SIG.

- قم بإنشاء واجهتي إسترجاع لربط أنفاق SIG (ينطبق فقط على أكثر من واحد Active في الوقت نفسه - Active/Active السيناريو).

- إنشاء قالب ميزة SIG.

- تحرير قالب VPN من جانب الخدمة لإدخال Service Route.

ملاحظة: تأكد من السماح بمنافذ UDP 4500 و 500 من أي جهاز للتحميل.

تتغير تكوينات القالب باستخدام Active/Backup و Active/Active السيناريوهات التي يتم من خلالها شرح السيناريوهين وكشفهما بشكل منفصل.

الخطوة 1. قم بإنشاء قالب ميزة بيانات اعتماد SIG.

انتقل إلى قالب الميزة وانقر فوق Edit.

بموجب قسم من Additional templates,انقر Cisco SIG Credentials. يظهر الخيار في الصورة.

قم بإعطاء اسم ووصف للقالب.

الخطوة 2. إنشاء قالب ميزة SIG.

انتقل إلى قالب الميزة، وتحت القسم Transport & Management VPN حدد قالب ميزة عبارة الإنترنت الآمنة من Cisco.

قم بإعطاء اسم ووصف للقالب.

الخطوة 3. حدد موفر SIG الخاص بك للنفق الأساسي.

انقر Add Tunnel.

تكوين التفاصيل الأساسية والاحتفاظ Data-Center ك Primary، ثم انقر Add.

الخطوة 4. أضف النفق الثانوي.

إضافة تكوين نفق ثان، إستخدام Data-Center ك Secondary هذه المرة، واسم الواجهة هو IPSec2.

يظهر تكوين vManage كما هو موضح هنا:

الخطوة 5. إنشاء زوج واحد عالي التوفر.

داخل High Availability أختر القسم ipSec1 على أنه نشطونفق IPSec2 على أنه نسخ إحتياطي.

ملاحظة: ما يصل إلى 4 High Availability يمكن إنشاء أزواج من الأنفاق بحد أقصى من 4 أنفاق نشطة في نفس الوقت.

الخطوة 6. تحرير قالب VPN من جانب الخدمة لإدخال مسار خدمة.

انتقل إلى Service VPN و، ضمن Service VPN القالب، انتقل إلى المقطع Service Route وإضافة 0.0.0.0 مع SIG Service Route. ل هذا وثيقة، ال VRF/VPN 10 استعملت.

يتم عرض مسار 0.0.0.0 SIG كما هو موضح هنا.

ملاحظة: للخروج الفعلي لحركة مرور الخدمة، يجب تكوين NAT في واجهة WAN.

قم بإرفاق هذا القالب بالجهاز واضغط على التكوين:

تكوين موجه WAN Edge للسيناريو النشط/الاحتياطي

system

host-name             <HOSTNAME>

system-ip             <SYSTEM-IP>

overlay-id            1

site-id               <SITE-ID>

sp-organization-name  <ORG-NAME>

organization-name     <SP-ORG-NAME>

vbond <VBOND-IP> port 12346

!

secure-internet-gateway

umbrella org-id <UMBRELLA-ORG-ID>

umbrella api-key <UMBRELLA-API-KEY-INFO>

umbrella api-secret <UMBRELLA-SECRET-INFO>

!

sdwan

service sig vrf global

ha-pairs

interface-pair Tunnel100001 active-interface-weight 1 Tunnel100002 backup-interface-weight 1

!

!

interface GigabitEthernet0/0/0

tunnel-interface

encapsulation ipsec weight 1

no border

color biz-internet

no last-resort-circuit

no low-bandwidth-link

no vbond-as-stun-server

vmanage-connection-preference 5

port-hop

carrier                       default

nat-refresh-interval          5

hello-interval                1000

hello-tolerance               12

allow-service all

no allow-service bgp

allow-service dhcp

allow-service dns

allow-service icmp

no allow-service sshd

no allow-service netconf

no allow-service ntp

no allow-service ospf

no allow-service stun

allow-service https

no allow-service snmp

no allow-service bfd

exit

exit

interface Tunnel100001

tunnel-options tunnel-set secure-internet-gateway-umbrella tunnel-dc-preference primary-dc source-interface GigabitEthernet0/0/0

exit

interface Tunnel100002

tunnel-options tunnel-set secure-internet-gateway-umbrella tunnel-dc-preference secondary-dc source-interface GigabitEthernet0/0/0

exit

appqoe

no tcpopt enable

!

security

ipsec

rekey               86400

replay-window       512

authentication-type sha1-hmac ah-sha1-hmac

!

!

service tcp-keepalives-in

service tcp-keepalives-out

no service tcp-small-servers

no service udp-small-servers

hostname <DEVICE-HOSTNAME>

username admin privilege 15 secret 9 <SECRET-PASSWORD>

vrf definition 10

rd 1:10

address-family ipv4

route-target export 1:10

route-target import 1:10

exit-address-family

!

address-family ipv6

exit-address-family

!

!

vrf definition Mgmt-intf

description Transport VPN

rd          1:512

address-family ipv4

route-target export 1:512

route-target import 1:512

exit-address-family

!

address-family ipv6

exit-address-family

!

!

ip sdwan route vrf 10 0.0.0.0/0 service sig

no ip http server

no ip http secure-server

no ip http ctc authentication

ip nat settings central-policy

vlan 10

exit

interface GigabitEthernet0/0/0

no shutdown

arp timeout 1200

ip address dhcp client-id GigabitEthernet0/0/0

no ip redirects

ip dhcp client default-router distance 1

ip mtu    1500

load-interval 30

mtu           1500

exit

interface GigabitEthernet0/1/0

switchport access vlan 10

switchport mode access

no shutdown

exit

interface GigabitEthernet0/1/1

switchport mode access

no shutdown

exit

interface Vlan10

no shutdown

arp timeout 1200

vrf forwarding 10

ip address <VLAN-IP-ADDRESS> <MASK>

ip mtu 1500

ip nbar protocol-discovery

exit

interface Tunnel0

no shutdown

ip unnumbered GigabitEthernet0/0/0

no ip redirects

ipv6 unnumbered GigabitEthernet0/0/0

no ipv6 redirects

tunnel source GigabitEthernet0/0/0

tunnel mode sdwan

exit

interface Tunnel100001

no shutdown

ip unnumbered GigabitEthernet0/0/0

ip mtu     1400

tunnel source GigabitEthernet0/0/0

tunnel destination dynamic

tunnel mode ipsec ipv4

tunnel protection ipsec profile if-ipsec1-ipsec-profile

tunnel vrf multiplexing

exit

interface Tunnel100002

no shutdown

ip unnumbered GigabitEthernet0/0/0

ip mtu     1400

tunnel source GigabitEthernet0/0/0

tunnel destination dynamic

tunnel mode ipsec ipv4

tunnel protection ipsec profile if-ipsec2-ipsec-profile

tunnel vrf multiplexing

exit

clock timezone UTC 0 0

logging persistent size 104857600 filesize 10485760

logging buffered 512000

logging console

no logging rate-limit

aaa authentication log in default local

aaa authorization exec default local

aaa session-id common

mac address-table aging-time 300

no crypto ikev2 diagnose error

crypto ikev2 policy policy1-global

proposal p1-global

!

crypto ikev2 profile if-ipsec1-ikev2-profile

no config-exchange request

dpd 10 3 on-demand

dynamic

lifetime 86400

!

crypto ikev2 profile if-ipsec2-ikev2-profile

no config-exchange request

dpd 10 3 on-demand

dynamic

lifetime 86400

!

crypto ikev2 proposal p1-global

encryption aes-cbc-128 aes-cbc-256

group 14 15 16

integrity sha1 sha256 sha384 sha512

!

crypto ipsec transform-set if-ipsec1-ikev2-transform esp-gcm 256

mode tunnel

!

crypto ipsec transform-set if-ipsec2-ikev2-transform esp-gcm 256

mode tunnel

!

crypto ipsec profile if-ipsec1-ipsec-profile

set ikev2-profile if-ipsec1-ikev2-profile

set transform-set if-ipsec1-ikev2-transform

set security-association lifetime kilobytes disable

set security-association lifetime seconds 3600

set security-association replay window-size 512

!

crypto ipsec profile if-ipsec2-ipsec-profile

set ikev2-profile if-ipsec2-ikev2-profile

set transform-set if-ipsec2-ikev2-transform

set security-association lifetime kilobytes disable

set security-association lifetime seconds 3600

set security-association replay window-size 512

!

no crypto isakmp diagnose error

no network-clock revertive

إنشاء أنفاق Umbrella SIG باستخدام سيناريو نشط/نشط

الخطوة 1. قم بإنشاء قالب ميزة بيانات اعتماد SIG.

انتقل إلى قالب الميزة وانقر فوق Edit

بموجب قسم من  Additional templates، حدد Cisco SIG Credentials. يظهر الخيار على الصورة.

قم بإعطاء اسم ووصف للقالب.

الخطوة 2. قم بإنشاء واجهتي إسترجاع لربط أنفاق SIG.

ملاحظة: إنشاء واجهة إسترجاع لكل نفق SIG تم تكوينه في الوضع النشط، يلزم ذلك لأن كل نفق يحتاج إلى معرف IKE فريد.

ملاحظة: هذا السيناريو نشط/نشط، لذلك يتم إنشاء استعراضين.

قم بتكوين اسم الواجهة وعنوان IPv4 للاسترداد.

ملاحظة: عنوان IP الذي تم تكوينه لإعادة الاسترجاع هو عنوان وهمي.

قم بإنشاء قالب الاسترجاع الثاني وإرفاقه بقالب الجهاز. يجب أن يحتوي قالب الجهاز على إثنين من قوالب الاسترجاع المرفقة:

الخطوة 3. إنشاء قالب ميزة SIG.

انتقل إلى قالب ميزة SIG، وتحت القسم Transport & Management VPN تحديد Cisco Secure Internet Gateway قالب الميزة.

الخطوة 4. حدد موفر SIG للنفق الأساسي.

انقر Add Tunnel.

تكوين التفاصيل الأساسية والاحتفاظ Data-Center ك Primary.

ملاحظة: معلمة واجهة مصدر النفق هي الاسترجاع (ل هذا المستند الاسترجاع1) وبوصفها مسار النفق عبر الواجهة المادية (ل هذا المستند GigabitEthernet0/0/0)

الخطوة 5. أضف النفق الثانوي.

إضافة تكوين نفق ثان، إستخدام Data-Center ك Primary كذلك، واسم الواجهة هو IPSec2.

يظهر تكوين vManage كما هو موضح هنا:

الخطوة 6. إنشاء إثنين من أزواج التوفر العالي.

داخل High Availability قسم، إنشاء إثنان High Availability أزواج.

- في زوج HA الأول، حدد IPSec1 كنشاط وحدد  None  للنسخ الاحتياطي.

- في زوج HA الثاني، حدد IPSec2 كتحديد نشط  None  ومشان الدعم.

تكوين vManage ل High Availability يظهر كما هو موضح:

يحتوي قالب الجهاز على كلا القالبين Loopback وقالب ميزة SIG المرفق أيضا.

الخطوة 7. تحرير قالب VPN من جانب الخدمة لإدخال مسار خدمة.

انتقل إلى Service VPN انتقل إلى القسم وضمن شبكة VPN الخاصة بقالب الخدمة Service Route وإضافة 0.0.0.0 مع SIGService Route

يظهر مسار 0.0.0.0 SIG كما هو موضح هنا.

ملاحظة: للخروج الفعلي لحركة مرور الخدمة، يجب تكوين NAT في واجهة WAN.

قم بإرفاق هذا القالب بالجهاز واضغط على التكوين.

تكوين موجه WAN Edge لسيناريو نشط/نشط

system

host-name <HOSTNAME>

system-ip <SYSTEM-IP>

overlay-id 1

site-id <SITE-ID>

sp-organization-name <ORG-NAME>

organization-name <SP-ORG-NAME>

vbond <VBOND-IP> port 12346

!

secure-internet-gateway

umbrella org-id <UMBRELLA-ORG-ID>

umbrella api-key <UMBRELLA-API-KEY-INFO>

umbrella api-secret <UMBRELLA-SECRET-INFO>

!

sdwan

service sig vrf global

ha-pairs

interface-pair Tunnel100001 active-interface-weight 1 None backup-interface-weight 1

interface-pair Tunnel100002 active-interface-weight 1 None backup-interface-weight 1

!

interface GigabitEthernet0/0/0

tunnel-interface

encapsulation ipsec weight 1

no border

color biz-internet

no last-resort-circuit

no low-bandwidth-link

no vbond-as-stun-server

vmanage-connection-preference 5

port-hop

carrier default

nat-refresh-interval 5

hello-interval 1000

hello-tolerance 12

allow-service all

no allow-service bgp

allow-service dhcp

allow-service dns

allow-service icmp

no allow-service sshd

no allow-service netconf

no allow-service ntp

no allow-service ospf

no allow-service stun

allow-service https

no allow-service snmp

no allow-service bfd

exit

exit

interface Tunnel100001

tunnel-options tunnel-set secure-internet-gateway-umbrella tunnel-dc-preference primary-dc source-interface Loopback1

exit

interface Tunnel100002

tunnel-options tunnel-set secure-internet-gateway-umbrella tunnel-dc-preference primary-dc source-interface Loopback2

exit

appqoe

no tcpopt enable

!

security

ipsec

rekey 86400

replay-window 512

authentication-type sha1-hmac ah-sha1-hmac

!

!

service tcp-keepalives-in

service tcp-keepalives-out

no service tcp-small-servers

no service udp-small-servers

hostname <DEVICE HOSTNAME>

username admin privilege 15 secret 9 <secret-password>

vrf definition 10

rd 1:10

address-family ipv4

route-target export 1:10

route-target import 1:10

exit-address-family

!

address-family ipv6

exit-address-family

!

!

vrf definition Mgmt-intf

description Transport VPN

rd 1:512

address-family ipv4

route-target export 1:512

route-target import 1:512

exit-address-family

!

address-family ipv6

exit-address-family

!

no ip source-route

ip sdwan route vrf 10 0.0.0.0/0 service sig

ip nat inside source list nat-dia-vpn-hop-access-list interface GigabitEthernet0/0/0 overload

ip nat translation tcp-timeout 3600

ip nat translation udp-timeout 60

ip nat settings central-policy

vlan 10

exit

interface GigabitEthernet0/0/0

no shutdown

arp timeout 1200

ip address dhcp client-id GigabitEthernet0/0/0

no ip redirects

ip dhcp client default-router distance 1

ip mtu 1500

ip nat outside

load-interval 30

mtu 1500

exit

interface GigabitEthernet0/1/0

switchport access vlan 10

switchport mode access

no shutdown

exit

interface Loopback1

no shutdown

arp timeout 1200

ip address 10.20.20.1 255.255.255.255

ip mtu 1500

exit

interface Loopback2

no shutdown

arp timeout 1200

ip address 10.10.10.1 255.255.255.255

ip mtu 1500

exit

interface Vlan10

no shutdown

arp timeout 1200

vrf forwarding 10

ip address 10.1.1.1 255.255.255.252

ip mtu 1500

ip nbar protocol-discovery

exit

interface Tunnel0

no shutdown

ip unnumbered GigabitEthernet0/0/0

no ip redirects

ipv6 unnumbered GigabitEthernet0/0/0

no ipv6 redirects

tunnel source GigabitEthernet0/0/0

tunnel mode sdwan

exit

interface Tunnel100001

no shutdown

ip unnumbered Loopback1

ip mtu 1400

tunnel source Loopback1

tunnel destination dynamic

tunnel mode ipsec ipv4

tunnel protection ipsec profile if-ipsec1-ipsec-profile

tunnel vrf multiplexing

tunnel route-via GigabitEthernet0/0/0 mandatory

exit

interface Tunnel100002

no shutdown

ip unnumbered Loopback2

ip mtu 1400

tunnel source Loopback2

tunnel destination dynamic

tunnel mode ipsec ipv4

tunnel protection ipsec profile if-ipsec2-ipsec-profile

tunnel vrf multiplexing

tunnel route-via GigabitEthernet0/0/0 mandatory

exit

clock timezone UTC 0 0

logging persistent size 104857600 filesize 10485760

logging buffered 512000

logging console

no logging rate-limit

aaa authentication log in default local

aaa authorization exec default local

aaa session-id common

mac address-table aging-time 300

no crypto ikev2 diagnose error

crypto ikev2 policy policy1-global

proposal p1-global

!

crypto ikev2 profile if-ipsec1-ikev2-profile

no config-exchange request

dpd 10 3 on-demand

dynamic

lifetime 86400

!

crypto ikev2 profile if-ipsec2-ikev2-profile

no config-exchange request

dpd 10 3 on-demand

dynamic

lifetime 86400

!

crypto ikev2 proposal p1-global

encryption aes-cbc-128 aes-cbc-256

group 14 15 16

integrity sha1 sha256 sha384 sha512

!

crypto ipsec transform-set if-ipsec1-ikev2-transform esp-gcm 256

mode tunnel

!

crypto ipsec transform-set if-ipsec2-ikev2-transform esp-gcm 256

mode tunnel

!

crypto ipsec profile if-ipsec1-ipsec-profile

set ikev2-profile if-ipsec1-ikev2-profile

set transform-set if-ipsec1-ikev2-transform

set security-association lifetime kilobytes disable

set security-association lifetime seconds 3600

set security-association replay window-size 512

!

crypto ipsec profile if-ipsec2-ipsec-profile

set ikev2-profile if-ipsec2-ikev2-profile

set transform-set if-ipsec2-ikev2-transform

set security-association lifetime kilobytes disable

set security-association lifetime seconds 3600

set security-association replay window-size 512

!

ملاحظة: على الرغم من أن هذا المستند يركز على Umbrella، إلا أن السيناريوهات نفسها تنطبق على أنفاق Azure و SIG الخاصة بالطرف الثالث.

التحقق من الصحة

التحقق من السيناريو النشط/الاحتياطي

في vManage، من الممكن مراقبة حالة أنفاق SIG IPSec. انتقل إلى Monitor > Network, حدد جهاز حافة WAN المطلوب.

انقر فوق Interfaces على الجانب الأيسر، يتم عرض قائمة بجميع الواجهات في الجهاز. ويتضمن ذلك واجهات IPSec1 و IPSec2.

توضح الصورة أن نفق IPSec1 يقوم بإعادة توجيه حركة مرور البيانات ولا يقوم IPSec2 بتمرير حركة مرور البيانات.

من الممكن أيضا التحقق من الأنفاق على Cisco Umbrella المداخل ظاهرة في الصورة.

أستخدم show sdwan secure-internet-gateway tunnels أمر على ال CLI in order to عرضت النفق معلومة.

C1117-4PWE-FGL21499499#show sdwan secure-internet-gateway tunnels

API   LAST

TUNNEL IF                                                                         HTTP  SUCCESSFUL     TUNNEL

NAME          TUNNEL ID  TUNNEL NAME                         FSM STATE            CODE  REQ            STATE

---------------------------------------------------------------------------------------------------------------

Tunnel100001  540798313  SITE10SYS10x10x10x10IFTunnel100001  st-tun-create-notif  200   create-tunnel  -

Tunnel100002  540798314  SITE10SYS10x10x10x10IFTunnel100002  st-tun-create-notif  200   create-tunnel  -

أستخدم show endpoint-tracker و show ip sla summary أوامر على واجهة سطر الأوامر (CLI) لعرض المعلومات حول أجهزة التعقب التي تم إنشاؤها تلقائيا ووحدات التحكم في الوصول (SLAs).

cEdge_Site1_East_01#show endpoint-tracker

Interface              Record Name            Status          RTT in msecs    Probe ID        Next Hop

Tunnel100001           #SIGL7#AUTO#TRACKER    Up              8               14              None

Tunnel100002           #SIGL7#AUTO#TRACKER    Up              2               12              None

cEdge_Site1_East_01#show ip sla summary

IPSLAs Latest Operation Summary

Codes: * active, ^ inactive, ~ pending

All Stats are in milliseconds. Stats with u are in microseconds

ID           Type        Destination       Stats       Return      Last

Code        Run

-----------------------------------------------------------------------

*12          http        10.10.10.10       RTT=6       OK          8 seconds ago

*14          http        10.10.10.10       RTT=17      OK          3 seconds ago

التحقق من السيناريو النشط/النشط

من الممكن أن يراقب vManage حالة أنفاق SIG IPSec. انتقل إلى Monitor > Network, حدد جهاز حافة WAN المطلوب.

انقر فوق Interfaces علامة التبويب على الجانب الأيسر - ويتم عرض قائمة بجميع الواجهات في الجهاز. ويتضمن ذلك واجهات IPSec1 و IPSec2.

توضح الصورة أن كلا من نفقي IPSec1 و IPSec2 يؤديان إلى إعادة توجيه حركة مرور البيانات.

أستخدم show sdwan secure-internet-gateway tunnels أمر على ال CLI in order to عرضت النفق معلومة.

C1117-4PWE-FGL21499499#show sdwan secure-internet-gateway tunnels

API   LAST

TUNNEL IF                                                                         HTTP  SUCCESSFUL     TUNNEL

NAME          TUNNEL ID  TUNNEL NAME                         FSM STATE            CODE  REQ            STATE

---------------------------------------------------------------------------------------------------------------

Tunnel100001  540798313  SITE10SYS10x10x10x10IFTunnel100001  st-tun-create-notif  200   create-tunnel  -

Tunnel100002  540798314  SITE10SYS10x10x10x10IFTunnel100002  st-tun-create-notif  200   create-tunnel  -

أستخدم show endpoint-tracker و show ip sla summary أوامر على واجهة سطر الأوامر (CLI) لعرض المعلومات حول أجهزة التعقب التي تم إنشاؤها تلقائيا ووحدات التحكم في الوصول (SLAs).

cEdge_Site1_East_01#show endpoint-tracker

Interface              Record Name            Status          RTT in msecs    Probe ID        Next Hop

Tunnel100001           #SIGL7#AUTO#TRACKER    Up              8               14              None

Tunnel100002           #SIGL7#AUTO#TRACKER    Up              2               12              None

cEdge_Site1_East_01#show ip sla summary

IPSLAs Latest Operation Summary

Codes: * active, ^ inactive, ~ pending

All Stats are in milliseconds. Stats with u are in microseconds

ID           Type        Destination       Stats       Return      Last

Code        Run

-----------------------------------------------------------------------

*12          http        10.10.10.10       RTT=6       OK          8 seconds ago

*14          http        10.10.10.10       RTT=17      OK          3 seconds ago

معلومات ذات صلة

- تمتع بدمج أجهزتك مع بوابات الإنترنت الآمنة - الإصدار 17.x من Cisco IOS® XE

- http://Network Tunnel Configuration - Umbrella SIG

- بدء تشغيل Umbrella

- الدعم التقني والمستندات - Cisco Systems