Resolución de problemas de tunelización automática SD-WAN

Introducción

Este documento describe cómo funciona la tunelización automática SD-WAN.

Overview

Este artículo explica cómo funciona la tunelización automática del router SD-WAN.

Se encuentra disponible una guía de configuración y requisitos previos:

• Guía de Configuración de Seguridad SD-WAN de Cisco, Cisco IOS XE Release 17.x
• Guía de configuración de seguridad para routers vEdge, Cisco SD-WAN Release 20

Detalles

Una vez completada la configuración en Cisco vManage, la plantilla se envía al router SD-WAN:

• El router SD-WAN realiza una llamada API (a management.api.umbrella.com con Key + Secret) para crear el túnel en Umbrella Dashboard 
• A continuación, el router SD-WAN (anterior a v17.5) resuelve el FQDN codificado y determina el DC más cercano:
  • global-a.vpn.sig.umbrella.com
  • global-b.vpn.sig.umbrella.com
• En v17.5 o posterior, vManage proporciona la opción de elegir el DC de túnel de paraguas. Esto es útil cuando el FQDN codificado se resuelve en un DC de túnel de paraguas no deseado.

       screenshot.png

• El router SD-WAN inicia la conexión IPsec al centro distribuidor Umbrella VPN

Resolución de problemas y preguntas frecuentes

A: ¿Qué sucede si no puedo ver el registro del túnel en el panel de Umbrella?

R: Compruebe si la clave y el secreto de la API de Umbrella Management son correctos.  Asegúrese de que no haya nada que bloquee la conexión a management.api.umbrella.com a través de TCP 443

A: ¿Por qué el túnel automático IPSec se conecta al DC fuera de la región?

R: Esta es la lista de Umbrella Tunnel DC: Conéctese a Cisco Umbrella a través del túnel. Umbrella utiliza la tecnología Anycast para determinar el DC más cercano. Es posible que el DC elegido no esté geográficamente más cerca.

Si el DC del túnel Umbrella conectado no es ideal, actualice el router SD-WAN a v17.5 o utilice el método manual: cEdge vEdge

A: ¿Qué sucede si cambio el nombre del túnel en el panel de Umbrella para reflejar el sitio de un cliente?

R: No se recomienda porque en determinadas condiciones (como el reinicio del router), el router SD-WAN realiza una llamada API al panel de Umbrella para comprobar si existe un túnel o si se requiere una nueva provisión de túnel. Si se ha cambiado el nombre del túnel predeterminado, las llamadas de la API aprovisionan un nuevo túnel y el cliente necesita asociar el nuevo túnel con la política adecuada.