Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

Configuraties

Verifiëren

Problemen oplossen

Inleiding

In dit document wordt beschreven hoe u een bepaalde interface voor Direct Internet Access (DIA) kunt prefereren met behulp van vSmart-gegevensbeleid.

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van SD-WAN beleidskader.

Gebruikte componenten

De informatie in dit document is gebaseerd op vEdge-router en vSmart-controller.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Configureren

Netwerkdiagram

Configuraties

de vEdge-router heeft twee uplinks, met een basisondergrond en een overlay-configuratie. Het belangrijkste doel is om de voorkeur te geven aan ge0/1 interface voor al verkeer naar Internet host met adres 203.0.113.137 vanaf lokaal netwerk 192.0.2.0/24.

vEdge-routerconfiguratie:

interface ge0/1

ip address 192.168.109.104/24

nat

!

tunnel-interface

encapsulation ipsec

color biz-internet

!

interface ge0/2

ip address 192.168.110.104/24

nat

!

tunnel-interface

encapsulation ipsec

color public-internet

!

!

ip route 0.0.0.0/0 192.168.109.10

ip route 0.0.0.0/0 192.168.110.10

!

vpn 40

ip route 0.0.0.0/0 vpn 0

vSmart Controller-configuratie:

policy

lists

data-prefix-list SOURCE_PREFIX

ip-prefix 192.0.2.0/24

!

data-prefix-list DESTINATION_PREFIX

ip-prefix 203.0.113.137/32

!

site-list branch40

site-id 40

!

!

policy

data-policy FORCE_GE0_1

vpn-list VPN_40

sequence 100

match

source-data-prefix-list SOURCE_PREFIX

destination-data-prefix-list DESTINATION_PREFIX

!

action accept

nat use-vpn 0

set

local-tloc color biz-internet encap ipsec

!

!

!

default-action accept

!

!

apply-policy

site-list branch40

data-policy FORCE_GE0_1 from-service

!

!

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Voor de toepassing van het beleid:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6

Next Hop: Remote

Remote IP: 192.168.110.10, Interface ge0/2 Index: 6

Activeer vervolgens het beleid voor vSmart en controleer of het beleid vanaf vSmart op vEdge wordt toegepast:

vedge1# show policy from-vsmart

from-vsmart data-policy FORCE_GE0_1

direction from-service

vpn-list VPN_40

sequence 100

match

source-data-prefix-list      SOURCE_PREFIX

destination-data-prefix-list DESTINATION_PREFIX

action accept

nat use-vpn 0

no nat fallback

set

local-tloc color biz-internet

local-tloc encap ipsec

default-action accept

from-vsmart lists vpn-list VPN_40

vpn 40

from-vsmart lists data-prefix-list DESTINATION_PREFIX

ip-prefix 203.0.113.137/32

from-vsmart lists data-prefix-list SOURCE_PREFIX

ip-prefix 192.0.2.0/24

Nadat het beleid is toegepast:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6

Next Hop: Remote

Remote IP: 192.168.109.10, Interface ge0/1 Index: 5

U kunt ook een verbinding zien in de NAT-vertaaltabel:

vedge1# show ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 40 protocol tcp 192.0.2.222 203.0.113.137

ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 1 protocol tcp 192.0.2.222 203.0.113.137 61213 443

public-source-address 192.168.109.104

public-dest-address 203.0.113.137

public-source-port 61213

public-dest-port 443

filter-state established

idle-timeout 0:00:54:11

outbound-packets 12593

outbound-octets 1186104

inbound-packets 16601

inbound-octets 4576423

Problemen oplossen

Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.