المقدمة
يوضح هذا المستند كيف أن بروتوكول وقت الشبكة (NTP) يعد أمرا بالغ الأهمية للحفاظ على مزامنة الوقت بدقة عبر الأجهزة الموجودة في بنية SD-WAN.
الخلفية
بدون مزامنة الوقت المناسبة، قد تفشل العمليات الهامة مثل الاتصال الآمن والتحقق من صحة الشهادة والتسجيل. SD-WAN هو حل شبكة قائم على الشهادة وآمن ويستند إلى السياسات. تعد مزامنة الوقت باستخدام بروتوكول وقت الشبكة (NTP) قاعدة أساسية للحفاظ على تكامل بنية SD-WAN وأمنها ووظائفها.
المتطلبات الأساسية
المتطلبات
cisco يوصي أن يتلقى أنت معرفة من cisco برمجية يعرف مساحة شبكة واسعة (SDWAN) حل.
المكونات المستخدمة
تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج التالية:
- C8000V الإصدار 17.15.03a
- vManage الإصدار 20.15.03.1
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
أهم الأسباب
- تستخدم شبكة WAN الخاصة ببروتوكول SD ترخيصا رقميا لمصادقة الجهاز. تحتوي هذه الشهادات على تواريخ صلاحية من وانتهاء صلاحية. إذا كانت ساعة الجهاز غير دقيقة، يمكن أن تعتقد أن الشهادة إما منتهية الصلاحية أو غير صالحة بعد.
vbond-west# show orchestrator connections-history
PEER PEER PEER SITE DOMAIN PEER PRIVATE PEER PUBLIC REPEAT
INSTANCE TYPE PROTOCOL SYSTEM IP ID ID PRIVATE IP PORT PUBLIC IP PORT REMOTE COLOR STATE LOCAL/REMOTE COUNT DOWNTIME
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0 vmanage dtls 10.1.1.7 101019 0 10.1.2.190 12646 192.168.2.190 12646 default tear_down CRTVERFL/CRTVERFL
Crtverfl - فشل التحقق من شهادة النظير
في هذه الحالة، حيث أن الوقت يقع خارج تاريخ صلاحية الشهادة، يفشل التحقق من حدوث خطأ في شهادة النظير.
- تعتمد أنفاق DTLS/TLS بين موجه الحافة ووحدات التحكم على المصادقة المستندة إلى الشهادة. قد يتسبب عدم تطابق الوقت في حدوث حالات فشل في مصافحة الاتصال مما يؤدي إلى قطع اتصال التحكم.
- تم ختم السجلات الموجودة على أجهزة ووحدات التحكم الطرفية بختم الوقت. إذا كان الوقت خارج نطاق المزامنة، فسوف تتم محاذاة السجلات الواردة من أجهزة مختلفة مما يجعل إرتباط الحدث واستكشاف الأخطاء وإصلاحها أمرا صعبا.
- تعتمد أدوات مثل vAnalytics وأنظمة المراقبة الخارجية على الطوابع الزمنية الدقيقة لمراقبة إتفاقية مستوى الخدمة وتقارير الأداء والعلاقة المتبادلة بين الأحداث.
التكوين
يوضح هذا المستند كيفية تكوين NTP باستخدام قالب الميزات ومجموعات التكوين و CLI.
https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/system-interface/vedge-20-x/systems-interfaces-book/systems-interfaces.html#c-NTP-12298
https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/system-interface/ios-xe-17/systems-interfaces-book-xe-sdwan/m-02system-and-interfaces.html#ntp-server-cg
التكوين المرجعي
ضابط
system
ntp
keys
authentication 1001 md5 $4$KXLzYT9k6M8zj4BgLEFXKw==
authentication 1002 md5 $4$KXLzYTxk6M8zj4BgLEFXKw==
authentication 1003 md5 $4$KXLzYT1k6M8zj4BgLEFXKw==
trusted 1001 1002
!
server 192.168.15.243
key 1001
vpn 512
version 4
exit
server 192.168.15.242
key 1002
vpn 512
version 4
exit
server us.pool.ntp.org
vpn 512
version 4
exit
!
!
موجه Cisco Edge
cEdge_DC1_West_R01#show running-config | sec ntp
ntp server time.google.com prefer
ntp server pool.ntp.org
cEdge_DC1_West_R01#show sdwan running-config ntp
ntp server pool.ntp.org version 4
ntp server time.google.com prefer version 4
If Mgmt VRF is used:
ntp server vrf Mgmt-intf pool.ntp.org version 4
ملاحظة: إذا تم إستخدام شبكة VPN 0 لتكوين NTP، فيجب السماح بخدمة NTP على واجهة النفق. إذا تم إستخدام مضيفي FQDN لخوادم NTP، فيجب أن يكون لدى الجهاز DNS تم تكوينه ليكون قادرا على حل FQDN إلى عنوان IP.
استكشاف الأخطاء وإصلاحها
يمكن إستخدام هذا المستند للتحقق من بروتوكول وقت الشبكة (NTP) وفهم المراحل المختلفة لمزامنة بروتوكول وقت الشبكة (NTP) لاستكشاف أخطاء وحدات التحكم وأجهزة الحافة وإصلاحها:
وحدات التحكم:
https://www.cisco.com/c/en/us/support/docs/routers/sd-wan/221015-understand-ntp-association-codes-in-sd-w.html
vEdge:
https://www.cisco.com/c/en/us/support/docs/routers/vedge-router/220330-troubleshoot-network-time-protocol-ntp.html
cEdge:
https://www.cisco.com/c/en/us/support/docs/ip/network-time-protocol-ntp/116161-trouble-ntp-00.html