Risoluzione dei problemi dei tunnel dinamici su richiesta SD-WAN

Aggiornato:5 ottobre 2023

ID documento:221045

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Introduzione

Prerequisiti

Componenti usati

Premesse

Scenario di lavoro

Topologia utilizzata

Attiva attivazione tunnel su richiesta

Scenari comuni

Topologia utilizzata

Scenario 1: percorso di backup attraverso l'hub considerato non valido e non risolto dagli spoke

Sintomo

Risoluzione dei problemi

Soluzione

Scenario 2: le sessioni BFD tra gli spoke rimangono attive

Sintomo

Risoluzione dei problemi

Soluzione

Scenario 3: nessuna route di backup dall'hub appresa o installata in spoke

Sintomo

Risoluzione dei problemi

Soluzione

Comandi utili

Introduzione

Questo documento descrive i comandi per la risoluzione dei problemi che possono essere usati quando si configura o si controlla un problema relativo ai tunnel dinamici su richiesta SD-WAN.

Prerequisiti

Componenti usati

Questo documento si basa sulle seguenti versioni software e hardware di riferimento della configurazione:

vManage versione 20.9.3
Edge Router ISR4K versione 17.9.3
Tutti i dispositivi sono stati configurati per stabilire tunnel dinamici su richiesta in base alla documentazione ufficiale

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Nota: per la configurazione dei tunnel dinamici su richiesta, consultare questo documento.

Premesse

Cisco SD-WAN supporta tunnel dinamici su richiesta tra due dispositivi Cisco SD-WAN spoke. La configurazione di questi tunnel viene attivata solo in caso di traffico tra i due dispositivi, ottimizzando l'utilizzo della larghezza di banda e le prestazioni del dispositivo.

Scenario di lavoro

Topologia utilizzata

In uno scenario di funzionamento normale, le condizioni di attivazione dei tunnel su richiesta sono le seguenti:

Non è possibile stabilire sessioni BFD tra i spoke o visualizzarle come inattive nelle sessioni bfd show sdwan
Le sessioni BFD possono essere attivate quando viene inviato il traffico di interesse tra gli endpoint
È necessario impostare e confermare le configurazioni di base dei tunnel dinamici su richiesta

Attiva attivazione tunnel su richiesta

Inizialmente le sessioni BFD tra i spoke non sono attive, solo le sessioni da spoke a hub sono attive e lo stato del sistema su richiesta può essere visto come inattivo in entrambi spoke e nella tabella OMP, il percorso di backup da hub è impostato come C,I,R mentre il percorso da spoke 2 è impostato come I,U,IA

Spoke 1#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC             DST PUBLIC    DST PUBLIC         DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR       SOURCE IP   IP            PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100     up    blue        blue        10.10.10.1  10.100.100.1  12366        ipsec     7       1000          2:13:14:35 6

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP   ON-DEMAND STATUS   IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2  yes       inactive  - 

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                               AFFINITY 
                                         PATH                 ATTRIBUTE                                        GROUP 
TENANT    VPN       PREFIX      FROM PEER  ID LABEL STATUS    TYPE     TLOC IP      COLOR     ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0         10       10.2.2.2/32 192.168.0.1 61 1005   C,I,R   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 62 1003   I,U,IA  installed 10.10.10.2   default   ipsec  -     None    None - 
                               192.168.0.1 64 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 65 1003   I,U,IA  installed 10.10.10.2   private1  ipsec  -     None    None - 
                               192.168.0.1 67 1005   Inv,U   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 68 1003   I,U,IA  installed 10.10.10.2   private2  ipsec  -     None    None - 
                               192.168.0.2 71 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 72 1003   U,IA    installed 10.10.10.2   default   ipsec  -     None    None - 
                               192.168.0.2 74 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 75 1003   U,IA    installed 10.10.10.2   private1  ipsec  -     None    None - 
                               192.168.0.2 77 1005   Inv,U   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 78 1003   U,IA    installed 10.10.10.2   private2  ipsec  -     None    None -
 
Spoke 2#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC              DST PUBLIC    DST PUBLIC          DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR        SOURCE IP   IP            PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100    up     blue        blue        10.10.10.2 10.100.100.1    12366       ipsec     7        1000        0:11:10:01 1

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1       10.10.10.1 yes       inactive -

Per attivare il traffico di interesse per l'attivazione del tunnel su richiesta è necessario. Nell'esempio viene usato il traffico ICMP. Dopo aver inviato al traffico lo stato delle modifiche su richiesta del sistema remoto dallo stato inattivo allo stato attivo in entrambe le estremità e le modifiche ai prefissi di destinazione nella tabella OMP, dallo stato C,I,R di Hub allo stato C,I,R di Spoke 2

Spoke 1#ping vrf 10 10.2.2.2 re 20
Type escape sequence to abort.
Sending 20, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (20/20), round-trip min/avg/max = 1/3/31 ms

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP   ON-DEMAND   STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2  yes         active 56

Spoke 1#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC            DST PUBLIC   DST PUBLIC       DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR     SOURCE IP    IP           PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100     up blue          blue      10.10.10.1   10.100.100.1 12366      ipsec    7        1000 0:11:14:51 1
10.10.10.2     2       up default       default   10.10.10.1   10.12.12.2   12366      ipsec    7        1000 0:00:00:53 1----> BFD session established due of interest traffic and on-demand configuration
10.10.10.2     2       up blue          blue      10.10.10.1   10.12.12.2   12366      ipsec    7        1000 0:00:00:52 1

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                                 AFFINITY 
                                   PATH                    ATTRIBUTE                                             GROUP 
TENANT   VPN PREFIX      FROM PEER  ID LABEL STATUS         TYPE      TLOC IP     COLOR         ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0        10 10.2.2.2/32 192.168.0.1 61 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 62 1003     C,I,R      installed 10.10.10.2    default      ipsec   -     None      None - 
                        192.168.0.1 64 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 65 1003     C,I,R      installed 10.10.10.2    private1     ipsec   -     None      None - 
                        192.168.0.1 67 1005     Inv,U      installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 68 1003     C,I,R      installed 10.10.10.2    private2     ipsec   -     None      None - 
                        192.168.0.2 71 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 72 1003     C,R        installed 10.10.10.2    default      ipsec   -     None      None - 
                        192.168.0.2 74 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 75 1003     C,R        installed 10.10.10.2    private1     ipsec   -     None      None - 
                        192.168.0.2 77 1005     Inv,U      installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 78 1003     C,R        installed 10.10.10.2    private2     ipsec   -     None      None -

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND    STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1      10.10.10.1 yes         active 53 

Spoke 2#show sdwan bfd sessions 
                           SOURCE TLOC  REMOTE TLOC              DST PUBLIC    DST PUBLIC       DETECT TX
SYSTEM IP    SITE ID STATE COLOR        COLOR     SOURCE IP      IP            PORT     ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100     up   blue          blue    10.10.10.2      10.100.100.1  12366    ipsec    7          1000 0:11:14:56 1
10.10.10.1    2       up   default       default 10.10.10.2      10.11.11.1    12366    ipsec    7          1000 0:00:00:53 1----> BFD session established due of interest traffic and on-demand configuration
10.10.10.1    2       up   blue          blue    10.10.10.2      10.11.11.1    12366    ipsec    7          1000 0:00:00:52

Dopo l'interruzione del traffico di interesse e la scadenza del timeout di inattività, le sessioni BFD tra i raggi scompaiono e lo stato su richiesta torna a inattivo e lo stato del ciclo di lavorazione di ritorno a C,I,R da Hub nella tabella OMP

Spoke 1#show sdwan bfd sessions 
                             SOURCE TLOC REMOTE TLOC               DST PUBLIC     DST PUBLIC     DETECT TX
SYSTEM IP     SITE ID STATE   COLOR        COLOR    SOURCE IP      IP              PORT    ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100      up     blue         blue     10.10.10.1      10.100.100.1   12366   ipsec   7           1000 0:11:19:11 1

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2      10.10.10.2  yes      inactive - 

Spoke 2#show sdwan bfd sessions 
                              SOURCE TLOC REMOTE TLOC              DST PUBLIC       DST PUBLIC    DETECT TX
SYSTEM IP     SITE ID   STATE COLOR         COLOR   SOURCE IP       IP               PORT   ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100       up    blue          blue    10.10.10.2      10.100.100.1    12366   ipsec  7            1000 0:11:19:11 1

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1 10.10.10.1 yes inactive -

Scenari comuni

Topologia utilizzata

Topology Used

Scenario 1: percorso di backup attraverso l'hub considerato non valido e non risolto dagli spoke

Sintomo

Il prefisso di destinazione della lingua 2 non è raggiungibile. Il percorso di backup dell'hub è visibile ma è considerato non valido/disinstallato

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                         AFFINITY 
                                    PATH                  ATTRIBUTE                                      GROUP 
TENANT VPN PREFIX      FROM PEER    ID      LABEL  STATUS TYPE       TLOC IP    COLOR   ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0     10   10.2.2.2/32 192.168.0.1  61  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  62  1003       U,IA  installed 10.10.10.2   default ipsec   -          None     None - 
                       192.168.0.1  64  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  65  1003       U,IA  installed 10.10.10.2   private1ipsec   -          None     None - 
                       192.168.0.1  67  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  68  1003       U,IA  installed 10.10.10.2   private2ipsec   -          None     None - 
                       192.168.0.2  71  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  72  1003       U,IA  installed 10.10.10.2   default ipsec   -          None     None - 
                       192.168.0.2  74  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  75  1003       U,IA  installed 10.10.10.2   private1ipsec   -          None     None - 
                       192.168.0.2  77  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  78  1003       U,IA  installed 10.10.10.2   private2ipsec   -          None     None -

Risoluzione dei problemi

Verifica se le sessioni BFD hub verso gli spoke sono stabilite

Hub#show sdwan bfd sessions 
                          SOURCE TLOC    REMOTE TLOC                    DST PUBLIC DST PUBLIC       DETECT     TX
SYSTEM IP  SITE ID  STATE COLOR          COLOR.          SOURCE IP      IP         PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.2  2       up   blue           blue             10.10.10.100   10.12.12.2 12366      ipsec 7          1000         1:23:58:15  2
10.10.10.1  1       up   default        default          10.10.10.100   10.11.11.1 12366      ipsec 7          1000         1:23:59:12  6

Controllare i criteri del tunnel su richiesta per verificare che tutti i siti siano inclusi negli elenchi di siti corretti in base al relativo ruolo (hub o spoke)

Confermare se la funzione a richiesta è abilitata e attiva nei spoke utilizzando il comando show sdwan system on-demand

Spoke 1#show sdwan system on-demand 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-CFG(min)
-------------------------------------------------------------------------
1       10.10.10.1 yes       active 10

Spoke 2#show sdwan system on-demand 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-CFG(min)
-------------------------------------------------------------------------
2       10.10.10.2 yes       active 10

Verificare che il servizio di progettazione del traffico (Service TE) sia abilitato nel sito hub. Un comando utile potrebbe essere mostra esecuzione sdwan | Inc TE

hub#show sdwan run | inc TE
!

Soluzione

In questo caso, il TE del servizio non è abilitato nel sito hub. Per risolvere il problema, configurarlo sul lato hub:

hub#config-trans
hub(config)# sdwan
hub(config-vrf-global)# service TE vrf global
hub(config-vrf-global)# commit

Verificare che nella tabella OMP Spoke 1 sia stata modificata e che il percorso sia ora C,I,R per la voce proveniente dall'hub 10.10.10.100 (prima di generare il traffico di interessi) e ottenga C,I,R per la voce proveniente dal spoke 2 10.10.10.2 (mentre viene generato il traffico di interessi). Verificare inoltre che la sessione BFD tra la spoke 1 e la spoke 2 e il tunnel su richiesta sia attivo con il comando show sdwan system on-demand remote-system <ip sistema remoto> :

Before interest traffic

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
                                   PATH               ATTRIBUTE GROUP 
TENANT   VPN PREFIX      FROM PEER ID LABEL STATUS    TYPE     TLOC IP        COLOR      ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0        10 10.2.2.2/32 192.168.0.1 61 1005 C,I,R    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 62 1003 I,U,IA   installed 10.10.10.2     default    ipsec   -          None None - 
                        192.168.0.1 64 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 65 1003 I,U,IA   installed 10.10.10.2     private1   ipsec   -          None None - 
                        192.168.0.1 67 1005 Inv,U    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 68 1003 I,U,IA   installed 10.10.10.2     private2   ipsec   -          None None - 
                        192.168.0.2 71 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 72 1003 U,IA     installed 10.10.10.2     default    ipsec   -          None None - 
                        192.168.0.2 74 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 75 1003 U,IA     installed 10.10.10.2     private1   ipsec   -          None None - 
                        192.168.0.2 77 1005 Inv,U    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 78 1003 U,IA     installed 10.10.10.2     private2   ipsec   -          None None -

While interest traffic

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                            AFFINITY 
                                  PATH             ATTRIBUTE                                GROUP 
TENANT VPN PREFIX      FROM PEER  ID LABEL STATUS  TYPE      TLOC IP COLOR ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10 10.2.2.2/32 192.168.0.1 61 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 62 1003 C,I,R    installed 10.10.10.2     default       ipsec - None None - 
                      192.168.0.1 64 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 65 1003 C,I,R    installed 10.10.10.2     private1      ipsec - None None - 
                      192.168.0.1 67 1005 Inv,U    installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 68 1003 C,I,R    installed 10.10.10.2     private2      ipsec - None None - 
                      192.168.0.2 71 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 72 1003 C,R      installed 10.10.10.2     default       ipsec - None None - 
                      192.168.0.2 74 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 75 1003 C,R      installed 10.10.10.2     private1      ipsec - None None - 
                      192.168.0.2 77 1005 Inv,U    installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 78 1003 C,R      installed 10.10.10.2     private2      ipsec - None None -

Spoke 1#show sdwan bfd sessions 
                                      SOURCE TLOC REMOTE TLOC            DST PUBLIC      DST PUBLIC      DETECT TX
SYSTEM IP         SITE ID    STATE     COLOR       COLOR   SOURCE IP      IP              PORT    ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100       100         up      blue        blue    10.10.10.1     10.100.100.1    12366   ipsec    7        1000     1:23:58:15 2
10.10.10.2         2           up      default     default 10.10.10.1     10.12.12.2      12366   ipsec    7        1000     0:00:01:50 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2         2           up      blue        blue    10.10.10.1     10.12.12.2      12366   ipsec    7        1000     0:00:01:52 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes      active  41 ------>on-demand tunnel established to spoke 2 10.10.10.2 due of interest traffic

Scenario 2: Le sessioni BFD tra i spoke rimangono attive

Sintomo

In questo caso, l'endpoint remoto Spoke 2 è elencato negli endpoint remoti su richiesta visualizzati con il comando show sdwan system on-demand remote-system con uno stato di no on-demand, la sessione BFD tra Spoke 1 e Spoke 2 rimane attiva anche quando non viene inviato alcun traffico e il prefisso di destinazione viene appreso direttamente da Spoke 2

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 no        -     - 

Spoke 1#show sdwan bfd sessions 
                           SOURCE TLOC REMOTE TLOC           DST PUBLIC   DST PUBLIC       DETECT TX
SYSTEM IP    SITE ID STATE COLOR       COLOR      SOURCE IP  IP           PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100 100      up   blue        blue       10.10.10.1 10.100.100.1 12366      ipsec 7           1000 1:23:58:15 3
10.10.10.2   2        up   default     default    10.10.10.1 10.12.12.2   12366      ipsec 7           1000 0:00:18:53 4
10.10.10.2   2        up   blue        blue       10.10.10.1 10.12.12.2   12366      ipsec 7           1000 0:00:18:52 3

Spoke 1#show sdwan omp route vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                          AFFINITY 
                                     PATH              ATTRIBUTE                                          GROUP 
TENANT VPN PREFIX          FROM PEER ID LABEL STATUS   TYPE      TLOC IP      COLOR      ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10 10.2.2.2/32     192.168.0.1 73 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 74 1003 C,I,R    installed 10.10.10.2    default   ipsec  -          None       None      -  
                          192.168.0.1 76 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 77 1003 C,I,R    installed 10.10.10.2    private1  ipsec  -          None       None      - 
                          192.168.0.1 79 1005 Inv,U    installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 80 1003 C,I,R    installed 10.10.10.2    private2  ipsec  -          None       None      - 
                          192.168.0.2 89 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 90 1003 C,R      installed 10.10.10.2    default   ipsec  -          None       None      - 
                          192.168.0.2 92 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 93 1003 C,R      installed 10.10.10.2    private1  ipsec  -          None       None      - 
                          192.168.0.2 95 1005 Inv,U    installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 96 1003 C,R      installed 10.10.10.2    private2  ipsec  -          None       None      -

Risoluzione dei problemi

Controllare i criteri del tunnel su richiesta per verificare che tutti i siti siano inclusi negli elenchi di siti corretti in base al relativo ruolo (hub o spoke)

viptela-policy:policy
 control-policy ondemand
    sequence 1
     match route
      site-list Spokes
      prefix-list _AnyIpv4PrefixList
     !
     action accept
      set
       tloc-action backup
       tloc-list hub
      !
     !
    !
  default-action accept
 !
 lists
  site-list Spokes
   site-id 1-2 
  !
  tloc-list hub
   tloc 10.10.10.100 color blue encap ipsec 
   tloc 10.10.10.100 color default encap ipsec 
   tloc 10.10.10.100 color private1 encap ipsec 
   tloc 10.10.10.100 color private2 encap ipsec 
  !
  prefix-list _AnyIpv4PrefixList
   ip-prefix 0.0.0.0/0 le 32 
  !
 !
!
apply-policy
 site-list Spokes
  control-policy ondemand out
 !
!

Verificare se l'abilitazione su richiesta è abilitata con il comando show sdwan run | inc on-demand in Spokes e TE è abilitato nell'hub con il comando show sdwan run | Inc TE

Spoke 1#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Spoke 2#show sdwan run | inc on-demand
Spoke 2#

Hub#show sdwan run | inc TE
service TE vrf global

Soluzione

In questo caso, l'opzione su richiesta non è abilitata nel raggio 2. Per risolvere il problema, configurarlo nel lato Spoke 2

Spoke 2#config-trans
Spoke 2(config)# system
Spoke 2(config-vrf-global)# on-demand enable
Spoke 2(config-vrf-global)# on-demand idle-timeout 10
Spoke 2(config-vrf-global)# commit

Verificare che nel raggio 1 ora raggio 2 sia visualizzato come sì su richiesta e che la tabella OMP sia stata modificata e che ora questa route abbia il nome C,I,R per la voce proveniente dall'hub 10.10.10.100 (prima di generare il traffico di interesse) e non direttamente dal raggio 2

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes inactive - 

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
        PATH ATTRIBUTE GROUP 
TENANT VPN PREFIX       FROM PEER   ID LABEL STATUS TYPE     TLOC IP      COLOR       ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10  10.2.2.2/32  192.168.0.1 61 1005 C,I,R  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 62 1003 I,U,IA installed 10.10.10.2    default    ipsec      -        None    None - 
                        192.168.0.1 64 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 65 1003 I,U,IA installed 10.10.10.2    private1   ipsec      -        None    None - 
                        192.168.0.1 67 1005 Inv,U  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 68 1003 I,U,IA installed 10.10.10.2    private2   ipsec      -        None    None - 
                        192.168.0.2 71 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 72 1003 U,IA   installed 10.10.10.2    default    ipsec      -        None    None - 
                        192.168.0.2 74 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 75 1003 U,IA   installed 10.10.10.2    private1   ipsec      -        None    None - 
                        192.168.0.2 77 1005 Inv,U  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 78 1003 U,IA   installed 10.10.10.2    private2   ipsec      -        None    None -

Quando il traffico di interessi viene generato, ottiene C,I,R per la voce proveniente dal raggio 2 10.10.10.2. Verificare inoltre che la sessione BFD tra il spoke 1 e il spoke 2 sia attiva, verificare inoltre che il tunnel su richiesta sia attivo con il comando show sdwan system on-demand remote-system <ip sistema remoto>

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                                AFFINITY 
                                               PATH               ATTRIBUTE                                     GROUP 
TENANT  VPN        PREFIX          FROM PEER   ID LABEL STATUS    TYPE     TLOC IP      COLOR ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0       10         10.2.2.2/32     192.168.0.1 61 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 62 1003 C,I,R     installed 10.10.10.2    default  ipsec   - None None - 
                                   192.168.0.1 64 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 65 1003 C,I,R     installed 10.10.10.2    private1 ipsec   - None None - 
                                   192.168.0.1 67 1005 Inv,U     installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 68 1003 C,I,R     installed 10.10.10.2    private2 ipsec   - None None - 
                                   192.168.0.2 71 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 72 1003 C,R       installed 10.10.10.2    default  ipsec   - None None - 
                                   192.168.0.2 74 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 75 1003 C,R       installed 10.10.10.2    private1 ipsec   - None None - 
                                   192.168.0.2 77 1005 Inv,U     installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 78 1003 C,R       installed 10.10.10.2    private2 ipsec   - None None -

Spoke 1#show sdwan bfd sessions 
                        SOURCE TLOC REMOTE TLOC             DST PUBLIC  DST PUBLIC          DETECT      TX
SYSTEM IP SITE ID STATE COLOR       COLOR       SOURCE IP   IP          PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100 100  up blue          blue         10.10.10.1 10.100.100.1 12366       ipsec     7        1000 2:04:34:11 2
10.10.10.2   2    up default       default      10.10.10.1 10.12.12.2   12366       ipsec     7        1000 0:00:02:10 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2   2    up blue          blue         10.10.10.1 10.12.12.2   12366       ipsec     7        1000 0:00:02:08 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2        10.10.10.2 yes      active   41 ------>on-demand tunnel established to Spoke 2 10.10.10.2 due of interest traffic

Scenario 3: nessuna route di backup dall'hub appresa o installata in spoke

Sintomo

In questo caso non esistono route di backup per il prefisso 10.2.2.2/32 originato in Spoke 2 nella tabella OMP, sono visibili solo le voci inattive su richiesta. Confermato che l'on-demand negli spoke e l'TE nell'hub sono configurati

Spoke 1#show sdwan omp route vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
PATH ATTRIBUTE GROUP 
TENANT VPN      PREFIX     FROM PEER   ID LABEL STATUS TYPE     TLOC IP   COLOR   ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10      10.2.2.2/32 192.168.0.1 108 1003 U,IA installed 10.10.10.2 default  ipsec -             None  None - 
                           192.168.0.1 113 1003 U,IA installed 10.10.10.2 private1 ipsec -             None  None - 
                           192.168.0.1 141 1003 U,IA installed 10.10.10.2 private2 ipsec -             None  None - 
                           192.168.0.2 112 1003 U,IA installed 10.10.10.2 default  ipsec -             None  None - 
                           192.168.0.2 117 1003 U,IA installed 10.10.10.2 private1 ipsec -             None  None - 
                           192.168.0.2 144 1003 U,IA installed 10.10.10.2 private2 ipsec -             None  None - 



Spoke 1#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Spoke 2#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Hub#show sdwan run | inc TE
service TE vrf global

Risoluzione dei problemi

Controllare il criterio centralizzato su richiesta e verificare se tutti gli spoke sono inclusi nell'elenco dei siti corretto

viptela-policy:policy
 control-policy ondemand
    sequence 1
     match route
      site-list Spokes
      prefix-list _AnyIpv4PrefixList
     !
     action accept
      set
       tloc-action backup
       tloc-list hub
      !
     !
    !
  default-action accept
 !
 lists
  site-list Spokes
   site-id 1 
  !
  tloc-list hub
   tloc 10.10.10.100 color blue encap ipsec 
   tloc 10.10.10.100 color default encap ipsec 
   tloc 10.10.10.100 color private1 encap ipsec 
   tloc 10.10.10.100 color private2 encap ipsec 
  !
  prefix-list _AnyIpv4PrefixList
   ip-prefix 0.0.0.0/0 le 32 
  !
 !
!
apply-policy
 site-list Spokes
  control-policy ondemand out
 !

Soluzione

Si noti che l'ID sito Spoke 2 2 non è presente nell'elenco dei siti Spoke nel criterio. Dopo averlo incluso nell'elenco dei siti, i percorsi di backup vengono installati correttamente, al momento dell'invio del traffico di interesse vengono visualizzate le sessioni tunnel su richiesta e BFD tra gli spoke.

Spokes site list from policy before
lists 
site-list Spokes 
site-id 1 
!

Spokes site list from policy after
lists
site-list Spokes 
site-id 1-2
!

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
PATH ATTRIBUTE GROUP 
TENANT VPN PREFIX           FROM PEER   ID LABEL STATUS TYPE      TLOC IP      COLOR    ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10  10.2.2.2/32      192.168.0.1 61 1005 C,I,R   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 62 1003 I,U,IA  installed 10.10.10.2   default  ipsec    -        None     None - 
                            192.168.0.1 64 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 65 1003 I,U,IA  installed 10.10.10.2   private1 ipsec    -        None     None - 
                            192.168.0.1 67 1005 Inv,U   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 68 1003 I,U,IA  installed 10.10.10.2   private2 ipsec    -        None     None - 
                            192.168.0.2 71 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 72 1003 U,IA    installed 10.10.10.2   default  ipsec    -        None     None - 
                            192.168.0.2 74 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 75 1003 U,IA    installed 10.10.10.2   private1 ipsec    -        None     None - 
                            192.168.0.2 77 1005 Inv,U   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 78 1003 U,IA    installed 10.10.10.2   private2 ipsec    -        None     None -

Spoke 1#show sdwan bfd sessions 
SOURCE                     TLOC REMOTE TLOC DST PUBLIC     DST PUBLIC              DETECT        TX
SYSTEM IP    SITE ID STATE COLOR       COLOR    SOURCE IP  IP           PORT ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100   up    blue         blue    10.10.10.1 10.100.100.1 12366 ipsec  7          1000         2:07:01:43 6
10.10.10.2      2    up    default      default 10.10.10.1 10.12.12.2   12366 ipsec  7          1000         0:00:00:56 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2      2    up    blue         blue    10.10.10.1 10.12.12.2   12366 ipsec  7          1000         0:00:00:56 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes      active    56 ------>on-demand tunnel established to Spoke 2 10.10.10.2 due of interest traffic

Comandi utili

show sdwan system on-demand
show sdwan system on-demand remote-system
show sdwan system on-demand remote-system ip-sistema <ip sistema>
mostra esecuzione sdwan | inc on demand
mostra esecuzione sdwan | Inc TE
show sdwan ompo route vpn <numero vpn>

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
1.0	05-Oct-2023	Versione iniziale

Contributo dei tecnici Cisco

Daniel Alva Vargas
Tecnico di consulenza

Questo documento ti è stato utile?

Feedback

Contattaci

Apri una richiesta di assistenza
(Occorre un contratto di servizio Cisco)

Risoluzione dei problemi dei tunnel dinamici su richiesta SD-WAN

Linguaggio senza pregiudizi

Informazioni su questa traduzione

Sommario

Introduzione

Prerequisiti

Componenti usati

Premesse

Scenario di lavoro

Topologia utilizzata

Attiva attivazione tunnel su richiesta

Scenari comuni

Topologia utilizzata

Scenario 1: percorso di backup attraverso l'hub considerato non valido e non risolto dagli spoke

Sintomo

Risoluzione dei problemi

Soluzione

Scenario 2: Le sessioni BFD tra i spoke rimangono attive

Sintomo

Risoluzione dei problemi

Soluzione

Scenario 3: nessuna route di backup dall'hub appresa o installata in spoke

Sintomo

Risoluzione dei problemi

Soluzione

Comandi utili

Cronologia delle revisioni

Contributo dei tecnici Cisco

Questo documento ti è stato utile?

Contattaci

Questo documento si applica a questi prodotti