클릭 한 번으로 AWS Direct Connect를 SD-WAN을 통한 전송으로 구성

다운로드 옵션

PDF (752.8 KB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (522.1 KB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (399.1 KB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2022년 10월 18일

문서 ID:217773

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Amazon Web Services(AWS) Direct Connect를 SD-WAN(Software-defined Wide Area Network) 전송으로 사용하는 방법에 대해 설명합니다.

배경 정보

Cisco SD-WAN을 위한 또 다른 전송으로서 AWS Direct Connect의 주요 이점은 다음과 같은 전반적인 전송에 SD-WAN 정책을 사용할 수 있다는 것입니다

AWS Direct Connect.

AWS에서 워크로드를 보유한 엔터프라이즈 사용자는 데이터 센터 또는 허브 연결을 위해 AWS Direct Connect를 사용합니다. 또한 공용 인터넷 연결은 데이터 센터에서 매우 일반적이며 다른 위치와의 SD-WAN 연결을 위한 언더레이로 사용됩니다. 이 문서에서는 AWS Direct Connect를 Cisco SD-WAN의 언더레이로 사용하는 방법에 대해 설명합니다. 사용자는 SD-WAN 애플리케이션 인식 정책을 생성하고 Direct Connect를 통해 중요한 애플리케이션을 라우팅하고 SLA(Service Level Agreement) 위반 시 공용 인터넷을 통해 다시 라우팅할 수 있습니다.

문제

AWS Direct Connect는 기본 SD-WAN 기능을 제공하지 않습니다. 엔터프라이즈 SD-WAN 사용자의 일반적인 질문은 다음과 같습니다.

AWS Direct Connect를 Cisco SD-WAN의 언더레이로 사용할 수 있습니까?
AWS Direct Connect와 Cisco SD-WAN을 상호 연결하려면 어떻게 해야 합니까?
복원력, 보안, 확장성을 갖춘 솔루션을 만들려면 어떻게 해야 합니까?

솔루션

설계 개요

핵심 설계 포인트는 이미지에 표시된 대로 SD-WAN Transit Virtual Private Cloud(VPC)에서 AWS Direct Connect를 통해 VGW(Virtual Gateway)에 데이터 센터를 연결하는 것입니다.

High-Level View of SD-WAN Tunnel Building from DC to the Cloud via Private and Public Transport

이 솔루션의 이점은 다음과 같습니다.

완전 자동: Cisco Cloud onRamp for Multicloud 자동화를 통해 SD-WAN 라우터 2개 및 새로운 AWS TGW(Transit Gateway)가 포함된 SD-WAN 트랜짓 VPC를 구축할 수 있습니다. 호스트 VPC는 Cloud onRamp의 일부로 검색되고 클릭 한 번으로 SD-WAN 네트워크에 매핑될 수 있습니다.
Full SD-WAN over Direct Connect: AWS Direct Connect는 또 다른 SD-WAN 전송일 뿐입니다. 애플리케이션 인식 정책, 암호화 등의 모든 SD-WAN 기능은 AWS Direct Connect를 통한 SD-WAN 터널에서 기본적으로 사용할 수 있습니다.
제안된 설계에서는 AWS Direct Connect(20/100)보다 많은 접두사 수의 AWS 제한을 방지합니다.

솔루션 세부사항

이 그림에서는 SD-WAN 트랜짓 VPC에서 VGW에 직접 연결(color private1)을 통해 그리고 공용 인터넷(color biz-internet)을 통해 연결된 AWS 리전 및 데이터 센터 하나를 보여 줍니다. AWS SD-WAN c8kv 라우터는 인터넷 연결에 SD-WAN color private2를 사용합니다.

High-Level View of SD-WAN Private and Public Underlay from DC to the Cloud

1단계. 준비

Cisco vManage에 활성 AWS 계정이 정의되어 있고 Cloud onRamp Global Settings가 올바르게 구성되어 있는지 확인합니다.

vManage에서도 Interconnect 파트너 어카운트를 정의하십시오. 이 블로그에서는 메가포트가 상호 연결 파트너로 사용되므로 적절한 계정 및 전역 설정을 정의할 수 있습니다.

2단계. 데이터 센터 SD-WAN 라우터 컨피그레이션

인터페이스 GigabitEthernet1은 컬러 비즈-인터넷과의 공용 인터넷 연결에 사용되며 인터페이스 GigabitEthernet1.1352는 컬러 private1을 사용하는 AWS Direct Connect에 사용됩니다.

AWS SD-WAN 라우터에는 인터넷 연결뿐만 아니라 직접 연결을 통한 연결을 위해 프라이빗 컬러 프라이빗2가 있습니다. SD-WAN 터널은 공용 IP 주소로 인터넷을 통해 형성되고 SD-WAN 터널은 사설 IP 주소가 있는 직접 연결 회로를 통해 DC/사이트에 설정됩니다(동일한 인터페이스로). 즉, 데이터 센터 라우터(biz-internet 색상)가 공용 IP 주소를 사용하는 인터넷과 사설 IP를 사용하는 사설 색상을 통해 AWS SD-WAN 라우터(private2 색상)에 대한 연결을 설정합니다.

SD-WAN 색상에 대한 일반 정보:

TLOC(Transport Locator)는 SD-WAN 라우터가 언더레이 네트워크에 연결하는 VPN 0(WAN transport) 인터페이스를 나타냅니다. 각 TLOC는 SD-WAN 라우터의 시스템 IP 주소, WAN 인터페이스의 색상 및 전송 캡슐화(GRE 또는 IPsec)의 조합을 통해 고유하게 식별됩니다. Cisco OMP(Overlay Management Protocol)는 TLOC(TLOC 경로라고도 함), SD-WAN 오버레이 접두사(OMP 경로라고도 함) 및 기타 정보를 SD-WAN 라우터 간에 배포하는 데 사용됩니다. SD-WAN 라우터가 서로 연결하고 IPsec VPN 터널을 설정하는 방법은 TLOC 경로를 통해 제공됩니다.

SD-WAN 라우터 및/또는 컨트롤러(vManage, vSmart 또는 vBond)는 네트워크 내 NAT(Network Address Translation) 디바이스 뒤에 있을 수 있습니다. SD-WAN 라우터가 vBond 컨트롤러에 인증되면 vBond 컨트롤러는 SD-WAN 라우터의 사설 IP 주소/포트 번호 및 공용 IP 주소/포트 번호 설정을 교환 시 학습합니다. vBond 컨트롤러는 NAT(STUN) 서버에 대한 세션 접근 유틸리티의 역할을 하며 SD-WAN 라우터가 WAN 전송 인터페이스의 매핑된 IP 주소 및/또는 변환된 IP 주소와 포트 번호를 검색할 수 있도록 합니다.

SD-WAN 라우터에서 모든 WAN 전송은 퍼블릭 및 프라이빗 IP 주소 쌍과 연결됩니다. 프라이빗 IP 주소는 사전 NAT 주소로 간주됩니다. SD-WAN 라우터의 WAN 인터페이스에 할당된 IP 주소입니다. 이 주소는 사설 IP 주소로 간주되지만, 이 IP 주소는 공개적으로 라우팅 가능한 IP 주소 공간의 일부 또는 IETF RFC 1918 non-public 라우팅 가능한 IP 주소 공간의 일부가 될 수 있습니다. 공용 IP 주소는 사후 NAT 주소로 간주됩니다. 이는 SD-WAN 라우터가 vBond 서버와 처음 통신하고 인증할 때 vBond 서버에서 탐지됩니다. 공용 IP 주소는 또한 공개적으로 라우팅 가능한 IP 주소 공간의 일부 또는 IETF RFC 1918 non-public 라우팅 가능한 IP 주소 공간의 일부일 수 있습니다. NAT가 없을 경우 SD-WAN 전송 인터페이스의 공용 IP 주소와 사설 IP 주소가 모두 동일합니다.

TLOC 색상은 각 SD-WAN 라우터에서 개별 WAN 전송을 식별하는 데 사용되는 정적으로 정의된 키워드입니다. 지정된 SD-WAN 라우터의 각 WAN 전송에는 고유한 색상이 있어야 합니다. 색깔은 개별 WAN 전송을 공용 또는 전용으로 식별하는 데에도 사용됩니다. metro-ethernet, Mpls 및 private1, private2, private3, private4, private5 및 private6 색상은 전용 색상으로 간주됩니다. 전용 네트워크 또는 NAT가 없는 곳에서 사용하도록 만들어졌습니다. 색상은 3g, biz-internet, blue, bronze, custom1, custom2, custom3, default, gold, green, lte, public-internet, red 및 silver이며 공용 색상으로 간주됩니다. 이 인터페이스는 공용 네트워크 또는 WAN 전송 인터페이스의 공용 IP 주소 지정이 있는 장소에서 기본적으로 또는 NAT를 통해 사용됩니다.

색은 제어 및 데이터 평면을 통해 통신할 때 프라이빗 또는 퍼블릭 IP 주소의 사용을 나타냅니다. 두 SD-WAN 라우터가 서로 통신하려고 할 때 두 라우터는 모두 전용 색상으로 된 WAN 전송 인터페이스를 사용하며, 각 라우터는 원격 라우터의 전용 IP 주소에 연결을 시도합니다. 한 쪽 또는 양쪽에서 공용 색상을 사용하는 경우 각 쪽은 원격 라우터의 공용 IP 주소에 연결을 시도합니다. 단, 두 디바이스의 사이트 ID가 동일한 경우는 예외입니다. 사이트 ID는 동일하지만 색상이 공용인 경우 통신에 사설 IP 주소가 사용됩니다. 이는 동일한 사이트 내에 있는 vManage 또는 vSmart 컨트롤러와 통신을 시도하는 SD-WAN 라우터에 대해 발생할 수 있습니다. SD-WAN 라우터는 동일한 사이트 ID를 가질 때 기본적으로 서로 간에 IPsec VPN 터널을 설정하지 않습니다.

interface GigabitEthernet1
 ip address dhcp client-id GigabitEthernet1
 ip dhcp client default-router distance 1
 mtu 1500
!
interface GigabitEthernet1.1352
 encapsulation dot1Q 1352
 ip address 198.18.0.5 255.255.255.252
 ip mtu 1496
!
interface Tunnel1
 ip unnumbered GigabitEthernet1
 tunnel source GigabitEthernet1
 tunnel mode sdwan
!
interface Tunnel1352001
 ip unnumbered GigabitEthernet1.1352
 tunnel source GigabitEthernet1.1352
 tunnel mode sdwan
!
!
sdwan
 interface GigabitEthernet1
  tunnel-interface
   encapsulation ipsec weight 1
   color biz-internet
   allow-service all
  !
 !
 interface GigabitEthernet1.1352
  tunnel-interface
   encapsulation ipsec weight 1
   color private1
   max-control-connections 0
   allow-service all
  !
 !
system
 system-ip             61.61.61.61
 site-id               61
 ...
!

DC-MP-CGW1#sh ip int bri
GigabitEthernet1       162.43.145.3    YES DHCP   up                    up      
GigabitEthernet1.1352  198.18.0.5      YES other  up                    up      
...
Tunnel1                162.43.145.3    YES TFTP   up                    up      
Tunnel1352001          198.18.0.5      YES TFTP   up                    up 
DC-MP-CGW1#

DC-MP-CGW1#sh sdwan bfd sessions | i 25.25.25.25
25.25.25.25      25       down        biz-internet     private1         162.43.145.3                    10.211.1.89                     12367       ipsec  7           1000           NA              0             
25.25.25.25      25       up          biz-internet     private2         162.43.145.3                    18.168.222.153                  12387       ipsec  7           1000           10 0:09:34:05   0             
25.25.25.25      25       up          private1         private2         198.18.0.5                      10.211.1.56                     12387       ipsec  7           1000           10 0:09:33:17   0             
25.25.25.25      25       down        private1         private1         198.18.0.5                      10.211.1.89                     12367       ipsec  7           1000           NA              0             
DC-MP-CGW1#

AWS Direct Connect용 Data Center SD-WAN 라우터의 BGP(Border Gateway Protocol) 구성:

router bgp 64513
 neighbor 198.18.0.6 remote-as 64512
 neighbor 198.18.0.6 description hosted-connection
 neighbor 198.18.0.6 password 
     
     
       address-family ipv4 unicast neighbor 198.18.0.6 activate neighbor 198.18.0.6 send-community both network 198.18.0.4 mask 255.255.255.252 exit-address-family ! !

데이터 센터 SD-WAN 라우터는 SD-WAN 트랜짓 VPC에서 IP 접두사 10.211.1.0/24을 학습합니다. IP 주소 198.18.0.6을 next-hop으로 사용하는 AWS Direct Connect Router가 있습니다. 여기서 7번 행을 참조하십시오.

DC-MP-CGW1#sh ip ro
...
Gateway of last resort is 162.43.145.2 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 162.43.145.2
      10.0.0.0/24 is subnetted, 1 subnets
B        10.211.1.0 [20/0] via 198.18.0.6, 09:15:27
      162.43.0.0/16 is variably subnetted, 2 subnets, 2 masks
C        162.43.145.2/31 is directly connected, GigabitEthernet1
L        162.43.145.3/32 is directly connected, GigabitEthernet1
      198.18.0.0/24 is variably subnetted, 2 subnets, 2 masks
C        198.18.0.4/30 is directly connected, GigabitEthernet1.1352
L        198.18.0.5/32 is directly connected, GigabitEthernet1.1352
DC-MP-CGW1#s

3단계. AWS TVPC SD-WAN 라우터 컨피그레이션

AWS Transit VPC의 두 SD-WAN 라우터는 모두 기본 vManage 템플릿을 사용하는 멀티클라우드 자동화를 위한 Cloud onRamp로 생성됩니다. 두 c8kv 라우터 모두 공용 인터넷 연결에 private2 색상을 사용합니다.

4단계. AWS Direct Connect 컨피그레이션

VGW는 AWS 콘솔에서 SD-WAN 트랜짓 VPC를 생성하고 연결하거나 클라우드 자동화 툴과 연결해야 합니다. 동일한 VGW를 여기에 표시된 대로 Direct Connect와 연결해야 합니다. 허용되는 접두사 아래에 SD-WAN TVPC 접두사 10.211.0.0/16을 기록해 두십시오.

VGW Attachment with Direct Connect Gateway

VGW의 경로 전파는 SD-WAN 트랜짓 VPC의 AWS 경로 테이블에서 활성화되어야 합니다. 이 이미지의 198.18.0.4/30에 대한 마지막 경로를 참조하십시오. 경로 전파는 트랜짓 VPC 경로 테이블에 DC TLOC를 다시 광고합니다.

Transit VPC Routing Table

여기서 show sdwan bfd sessions CLI의 출력은 Transit VPC의 c8kv SD-WAN 라우터 중 하나에서 가져왔으며 두 개의 SD-WAN 터널을 보여줍니다.

첫 번째 터널(5행 참조)은 인터넷을 통해 AWS TVPC의 c8kv에서 데이터 센터: color private2 > biz-internet으로 이동합니다. 대상 IP 주소(데이터 센터 라우터의 공용 IP 주소 192.0.2.0)를 확인합니다. 이전 섹션의 라우터 컨피그레이션을 참조하십시오.
두 번째 터널(6번 행 참조)은 AWS Direct Connect를 통해 컬러 private2에서 목적지 IP 주소로 198.18.0.5를 사용하는 private1로 이동합니다.

DC-AWS-EU-CGW1#sh sdwan bfd sessions | i 61
                                      SOURCE TLOC      REMOTE TLOC                                      DST PUBLIC                      DST PUBLIC         DETECT      TX                              
SYSTEM IP        SITE ID  STATE       COLOR            COLOR            SOURCE IP                       IP                              PORT        ENCAP  MULTIPLIER  INTERVAL(msec  UPTIME          TRANSITIONS   
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
61.61.61.61      61       up          private2         biz-internet     10.211.1.56                     162.43.145.3                    12347       ipsec  7           1000           06:05:13        0             
61.61.61.61      61       up          private2         private1         10.211.1.56                     198.18.0.5                      12367       ipsec  7           1000           06:04:26        0             
DC-AWS-EU-CGW1#

Shared Services VPC 및 AWS GWLB의 방화벽을 통한 보안

매우 일반적인 요구 사항은 동-서 및 남북 트래픽을 검사하는 것입니다. 일반적으로 서로 다른 호스트 VPC 및/또는 SD-WAN VPN 간의 모든 트래픽은 방화벽 검사의 대상이 됩니다. 가상 방화벽은 Shared Services VPC에서 실행되고 로드 밸런싱은 AWS GWLB(Gateway Load Balancer)를 사용하여 구현할 수 있습니다.

설명된 설계는 중앙 집중식 검사에서 매우 잘 작동합니다. 을/를 참조하십시오.

개념 증명 설정

다음 이미지는 PoC(개념 증명)를 위한 테스트 설정을 만드는 데 사용됩니다.

vManage: 192.0.2.1R 이 엔지니어링 이미지는 필요 없으며 20.6과 함께 작동해야 합니다.
c8kv for AWS and Megaport (Direct Connect / Data Center 시뮬레이션):17.4 또는 17.5
AWS Direct Connect를 Megaport로 시뮬레이션했습니다.

SDCI 공급자 메가포트 또는 Equinix와 직접 연결

실습 환경에서 실제 AWS Direct Connect를 사용하는 것은 쉽지 않습니다. 일반적으로 AWS Direct Connect 파트너가 필요하므로 많은 비용과 시간이 소요됩니다.

그러나 Megaport 또는 Equinix 계정이 있는 경우, 이를 사용하여 Cisco Cloud onRamp for Multicloud 자동화를 통해 몇 분 내에 AWS Direct Connect 게이트웨이를 만들 수 있습니다!

vManage에 SDCI(Software-defined Data Center Interconnect) 및 AWS 자격 증명이 구성되어 있는 경우, 주요 단계를 요약하면 다음과 같습니다.

AWS의 트랜짓 VPC에서 클라우드 게이트웨이 역할을 하는 2개의 c8kv가 없는 경우, AWS용 Multicloud 워크플로용 Cloud onRamp(CoR)를 사용하고 프라이빗 컬러의 기본 AWS CoR 라우터 템플릿으로 원하는 AWS 리전에서 생성하십시오.
vManage에서 Multicoloud Interconnect 컨피그레이션에 대한 CoR로 이동하고 기본 SDCI 제공자 라우터 템플릿을 사용하여 원하는 SDCI 영역에 Interconnect Gateway(c8kv)를 생성합니다.
vManage의 CoR Multicoloud Interconnect Configuration(CoR 멀티 클라우드 상호 연결 컨피그레이션) 페이지에서 VIF(Private Virtual Interface)를 사용하여 새 연결 유형 클라우드를 생성합니다. 이 컨피그레이션 워크플로를 진행할 때 새 AWS Direct Connect 게이트웨이를 생성하고 호스트 VPC를 연결하는 옵션이 있습니다. 따라서 이 단계에 대해 "더미" 호스트 VPC가 있는지 확인합니다.
2단계에서 생성한 새 c8kv의 경우 vManage 컨피그레이션 모드에서 CLI 모드로 전환하고 서비스 측에서 VPN0으로 터널을 이동합니다(vrf forwarding statement 제거). BGP 연결을 확인하고 BGP 컨피그레이션에 network 명령문이 있는지 확인합니다. network 198.18.0.4 mask 255.255.252. 연결된 데이터 센터 및 AWS 라우터에 대한 전체 라우터 컨피그레이션을 참조하십시오.
AWS Management Console에서 적절한 VGW를 선택하거나 새 VGW를 생성하고 AWS Route Table 설정에서 경로 전파를 활성화합니다. 또한 Direct Connect 섹션에서 허용된 접두사를 구성했는지 확인합니다. 이 장의 뒷부분에 있는 이미지를 참조하십시오.

이 이미지는 3단계에서 직접 연결을 생성하는 방법을 보여줍니다.

Megaport Interconnect Connection Step via vManage Workflow

결과적으로 여기에 표시된 것처럼 AWS Management Console에 새로운 Direct Connect 게이트웨이가 표시됩니다. 트랜짓 SD-WAN VPC의 CIDR 블록이 있는 허용되는 접두사 필드에 유의하십시오.