Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Netzwerkdiagramm

Konfigurationen

Überprüfen

Fehlerbehebung

Einführung

In diesem Dokument wird beschrieben, wie eine bestimmte Schnittstelle für den direkten Internetzugriff (DIA) mithilfe der vSmart-Datenrichtlinie bevorzugt wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse des SD-WAN-Richtlinien-Frameworks zu verfügen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf dem vEdge-Router und dem vSmart-Controller.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfigurieren

Netzwerkdiagramm

Konfigurationen

Der vEdge-Router verfügt über zwei Uplink-Schnittstellen mit einfacher Underlay- und Overlay-Konfiguration. Das Hauptziel besteht darin, die ge0/1-Schnittstelle für den gesamten Datenverkehr zum Internet-Host mit der Adresse 203.0.113.137 des lokalen Subnetzes 192.0.2.0/24 zu bevorzugen.

vEdge-Router-Konfiguration:

interface ge0/1

ip address 192.168.109.104/24

nat

!

tunnel-interface

encapsulation ipsec

color biz-internet

!

interface ge0/2

ip address 192.168.110.104/24

nat

!

tunnel-interface

encapsulation ipsec

color public-internet

!

!

ip route 0.0.0.0/0 192.168.109.10

ip route 0.0.0.0/0 192.168.110.10

!

vpn 40

ip route 0.0.0.0/0 vpn 0

vSmart Controller-Konfiguration:

policy

lists

data-prefix-list SOURCE_PREFIX

ip-prefix 192.0.2.0/24

!

data-prefix-list DESTINATION_PREFIX

ip-prefix 203.0.113.137/32

!

site-list branch40

site-id 40

!

!

policy

data-policy FORCE_GE0_1

vpn-list VPN_40

sequence 100

match

source-data-prefix-list SOURCE_PREFIX

destination-data-prefix-list DESTINATION_PREFIX

!

action accept

nat use-vpn 0

set

local-tloc color biz-internet encap ipsec

!

!

!

default-action accept

!

!

apply-policy

site-list branch40

data-policy FORCE_GE0_1 from-service

!

!

Überprüfen

In diesem Abschnitt überprüfen Sie, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Vor Anwendung der Richtlinie:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6

Next Hop: Remote

Remote IP: 192.168.110.10, Interface ge0/2 Index: 6

Aktivieren Sie anschließend die vSmart-Richtlinie, und stellen Sie sicher, dass die vSmart-Richtlinie auf vEdge angewendet wird:

vedge1# show policy from-vsmart

from-vsmart data-policy FORCE_GE0_1

direction from-service

vpn-list VPN_40

sequence 100

match

source-data-prefix-list      SOURCE_PREFIX

destination-data-prefix-list DESTINATION_PREFIX

action accept

nat use-vpn 0

no nat fallback

set

local-tloc color biz-internet

local-tloc encap ipsec

default-action accept

from-vsmart lists vpn-list VPN_40

vpn 40

from-vsmart lists data-prefix-list DESTINATION_PREFIX

ip-prefix 203.0.113.137/32

from-vsmart lists data-prefix-list SOURCE_PREFIX

ip-prefix 192.0.2.0/24

Nach Anwendung der Richtlinie:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6

Next Hop: Remote

Remote IP: 192.168.109.10, Interface ge0/1 Index: 5

Eine Verbindung wird auch in der NAT-Übersetzungstabelle angezeigt:

vedge1# show ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 40 protocol tcp 192.0.2.222 203.0.113.137

ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 1 protocol tcp 192.0.2.222 203.0.113.137 61213 443

public-source-address 192.168.109.104

public-dest-address 203.0.113.137

public-source-port 61213

public-dest-port 443

filter-state established

idle-timeout 0:00:54:11

outbound-packets 12593

outbound-octets 1186104

inbound-packets 16601

inbound-octets 4576423

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.