Risoluzione dei problemi di tunneling automatico SD-WAN

Introduzione

Questo documento descrive il funzionamento del tunneling automatico SD-WAN.

Panoramica

Questo articolo spiega come funziona il tunneling automatico del router SD-WAN.

Prerequisiti e guida alla configurazione disponibili:

• Guida alla configurazione della sicurezza di Cisco SD-WAN, Cisco IOS XE release 17.x
• Guida alla configurazione della sicurezza per i router vEdge, Cisco SD-WAN release 20

Dettagli

Una volta completata la configurazione su Cisco vManage, il modello viene spostato sul router SD-WAN:

• Il router SD-WAN effettua una chiamata API (a management.api.umbrella.com con chiave + segreto) per creare il tunnel su Umbrella Dashboard 
• Successivamente, il router SD-WAN (prima della versione 17.5) risolve il nome di dominio completo (FQDN) hardcoded e determina il controller di dominio più vicino:
  • global-a.vpn.sig.umbrella.com
  • global-b.vpn.sig.umbrella.com
• Nella versione 17.5 o successiva, vManage offre la possibilità di scegliere il controller di dominio del tunnel Umbrella. Ciò è utile quando l'FQDN hardcoded viene risolto in un controller di dominio Umbrella Tunnel indesiderato.

       screenshot.png

• Il router SD-WAN avvia la connessione IPsec all'headend VPN Umbrella

Risoluzione dei problemi e domande frequenti

Q: Cosa succede se non è possibile visualizzare il registro del tunnel in Umbrella Dashboard?

A: Verificare che la chiave e il segreto dell'API di gestione Umbrella siano corretti.  Verificare che non vi siano elementi che bloccano la connessione a management.api.umbrella.com su TCP 443

Q: Perché il tunnel automatico IPSec si connette al controller di dominio all'esterno della regione?

A: Di seguito è riportato l'elenco dei controller di dominio Umbrella Tunnel: Connettiti a Cisco Umbrella tramite tunnel. Umbrella utilizza la tecnologia Anycast per determinare il controller di dominio più vicino. Il controller di dominio scelto potrebbe non essere geograficamente più vicino.

Se il controller di dominio Umbrella Tunnel connesso non è ideale, aggiornare il router SD-WAN alla versione v17.5 o utilizzare il metodo manuale: cEdge vEdge

Q: Cosa succede se si rinomina il nome del tunnel in Umbrella Dashboard per riflettere la sede di un cliente?

A: Non è consigliabile perché in determinate condizioni, ad esempio il riavvio del router, il router SD-WAN effettua una chiamata API a Umbrella Dashboard per verificare se il tunnel esiste o se è necessario un nuovo provisioning del tunnel. Se il nome del tunnel predefinito è stato rinominato, l'API chiama il provisioning di un nuovo tunnel e il cliente deve associare il nuovo tunnel al criterio appropriato.