Table des matières

Aperçu

Détails

Dépannage et FAQ

Aperçu

Cet article explique le fonctionnement de la tunnellisation automatique du routeur SD-WAN.

Prérequis et guide de configuration disponibles :

- Guide de configuration de la sécurité Cisco SD-WAN, Cisco IOS XE version 17.x

- Guide de configuration de la sécurité pour les routeurs vEdge, Cisco SD-WAN version 20

Détails

Une fois la configuration terminée sur Cisco vManage, le modèle est poussé vers le bas vers le routeur SD-WAN :

- Le routeur SD-WAN effectue un appel API (vers management.api.umbrella.com avec Key + Secret) pour créer le tunnel sur Umbrella Dashboard

- Ensuite, le routeur SD-WAN (antérieur à v17.5) résout le FQDN codé en dur et détermine le DC le plus proche :

- global-a.vpn.sig.umbrella.com

- global-b.vpn.sig.umbrella.com

- Sur v17.5 ou version ultérieure, vManage offre la possibilité de choisir le contrôleur de domaine Umbrella Tunnel. Cela est utile lorsque le nom de domaine complet codé en dur se résout en un contrôleur de domaine de tunnel de parapluie indésirable.

screenshot.png

- Le routeur SD-WAN initie une connexion IPsec à la tête de réseau VPN Umbrella

Dépannage et FAQ

Q : Que se passe-t-il si je ne vois pas le registre de tunnel sur le tableau de bord Umbrella ?

A : Vérifiez si la clé et le secret de l'API de gestion Umbrella sont corrects.  Assurez-vous que rien ne bloque la connexion à management.api.umbrella.com sur TCP 443

Q : Pourquoi le tunnel automatique IPSec se connecte-t-il au data center en dehors de la région ?

A : Voici la liste du contrôleur de domaine du tunnel de parapluie : Connectez-vous à Cisco Umbrella via le tunnel. Umbrella utilise la technologie Anycast pour déterminer le DC le plus proche. Le data center choisi n'est peut-être pas géographiquement proche.

Si le contrôleur de domaine Umbrella Tunnel connecté n'est pas idéal, mettez à niveau le routeur SD-WAN vers v17.5 ou utilisez la méthode manuelle : cEdge vEdge

Q : Que se passe-t-il si je renomme le nom du tunnel sur le tableau de bord Umbrella pour refléter le site du client ?

A : Il n'est pas recommandé car, dans certaines conditions (comme le redémarrage du routeur), le routeur SD-WAN effectue un appel d'API au tableau de bord Umbrella pour vérifier si un tunnel existe ou si une nouvelle configuration de tunnel est requise. Si le nom de tunnel par défaut a été renommé, les appels API provisionnent un nouveau tunnel et le client doit associer le nouveau tunnel à la stratégie appropriée.