Herstel uw Catalyst SD-WAN-weefsel

Inleiding

In dit document wordt beschreven hoe u een Cisco SD-WAN-structuur opnieuw kunt samenstellen, inclusief back-ups maken en terugzetten van controllerconfiguraties voor verschillende implementaties.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Software-defined Wide Area Network (SD-WAN)
• Cisco Software Central
• Download de Controllers software van software.cisco.com

Gebruikte componenten

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Vereisten voor het opnieuw opbouwen van de stof

• Nieuwe set systeem-ips, site-id's moeten worden geconfigureerd voor de nieuwe structuur voor de controllers
• Zorg ervoor dat er firewallregels zijn om communicatie tussen de controllers en de randen mogelijk te maken 
• Noteer de gebruikersnaam en het wachtwoord van neo4j(configuration-db) (deze moeten hetzelfde zijn voor alle vManage-knooppunten in een cluster)
• Schakel port-hop uit op alle randen
• Verhoog de sierlijke herstarttimers tot 7 dagen
• Alarmen wissen in 3rd party tools voor migratie
• Historische statusgegevens (Alarmen, Gebeurtenissen, Apparaatstatistieken, enzovoort) gaan verloren tenzij er een voorafgaande instelling is om statussen te exporteren naar een externe server zoals vAnalytics
• Als Cloud OnRamp is geconfigureerd, moet u ervoor zorgen dat u de c8000v die vóór de start van deze activiteit in de cloud is geïmplementeerd, kunt bereiken
• Als SDAVC is ingeschakeld op een oude verbinding, moet u ervoor zorgen dat de nieuwe verbinding is ingeschakeld (voor clusters moet deze alleen op één knooppunt worden ingeschakeld)
• Configuration-db-herstel wordt alleen ondersteund op dezelfde versie als de oorspronkelijke structuur
• Bevestig de voor de controllers gebruikte persona. Wij ondersteunen COMPUTE_DATA en persoonlijke GEGEVENS (details onder elke sectie)
• Voor Enterprise CA moet u het basiscertificaat gebruiken dat is uitgegeven door de Enterprise CA, dat wordt gebruikt in bestaande overlay, en cert wordt ondertekend met de Enterprise CA-server en geïnstalleerd voor alle controllers via UI

Implementatieopties

vManage-implementatie

• Standalone (1 knooppunt)
• Cluster (3 of 6 knooppunten)

Opties voor noodherstel

• Geen DR
• Single Node DR
• Stand-by DR-cluster (handmatig/door toedienen geactiveerd)

Combinaties:

#	vManage Setup	NH-optie
1	Standalone (1 knooppunt)	Geen DR
2	Standalone (1 knooppunt)	Single Node DR
3	Cluster (3 of 6 knooppunten)	Geen DR
4	Cluster (3 of 6 knooppunten)	Stand-by DR-cluster

Gemeenschappelijke stappen voor alle combinaties

Deze stappen gelden voor alle implementatiecombinaties. Ze hebben betrekking op het proces waarbij VM-instanties worden vermeld en de basis-CLI-configuratie wordt toegepast. Elke combinatie sectie vertelt u hoeveel instanties te implementeren en welke extra stappen te voltooien.

SD-WAN-controllers installeren en ophalen (Manager, Validator, Controller)

Download hier de OVA-bestanden voor SD-WAN-controllers van de Cisco Software Download-pagina:

• Kies vEDGE Cloud en download de vBond OVA voor de vereiste softwareversie.
• Kies vManage-software en download de vManage OVA voor de vereiste softwareversie.
• Kies voor vSmart-software en download de vSmart OVA voor de vereiste softwareversie.

 

   

Een Cisco Manager-knooppunt openen

• Nadat Cisco Manager of vManage VM is geïmplementeerd en de console van de manager toegankelijk is, wacht u tot het opstarten is voltooid. Een indicatie is dat we zien dat een berichtensysteem klaar is en vraagt om de gebruikersnaam en het wachtwoord.  
• Voer de standaardgebruikersnaam in als admin en het wachtwoord als admin. Post dat het de gebruiker vraagt om het wachtwoord te wijzigen, stel het wachtwoord in dat nodig is voor gebruikersbeheer volgens uw keuze.  
• Vervolgens wordt de gebruiker gevraagd om de persoon te selecteren. Dit is een cruciale stap als het de bedoeling is om een vManage-cluster te hebben. Kies de persona zoals hieronder getoond: 

For a standalone vManage, choose the persona as COMPUTE_AND_DATA.
For a 3 node cluster, on 3 vManage nodes, the persona is set to COMPUTE_AND_DATA.
For a 6 node cluster, on 3 vManage nodes the persona is COMPUTE_AND_DATA and on rest 3 vManage nodes persona DATA.

Voorbeeld: Kies 1 voor COMPUTE_AND_DATA  

Kies de secundaire schijf zoals getoond:

• Kies de secundaire schijf en typ Y om te bevestigen.  
•  Cisco Manager herlaadt. Zodra het is opgestart, voert u de gebruikersnaam en het wachtwoord in met het nieuwe wachtwoord dat nieuw is geconfigureerd.

• U kunt de VPN 512-beheerinterface configureren om out-of-band beheertoegang tot de controller mogelijk te maken.  
• Gebruik het tabblad Command show interface | om de VPN's te controleren waaraan de interfaces momenteel zijn toegewezen. 
• Configureer de interfaces dienovereenkomstig. 

Voorbeeld

Configuraties voor beheerinterface (VPN 512)

• Als een interface moet worden verplaatst van VPN 0 naar VPN 512, gebruikt u deze opdrachten en configureert u het IP-adres in de interface 

Conf t 
vpn 0 
 no interface eth0 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 

Haal de validator erbij 

• Configureer op de hypervisor de vereiste computer (CPU, RAM en schijf) voor de vBond-node en schakel deze in.  
• Zodra de console toegankelijk is, wacht u tot de vBond volledig is opgestart. Wacht op het bericht System Ready.   
• Het systeem vraagt vervolgens om gebruikersnaam en wachtwoord. Voer de standaardgebruikersnaam in als admin en het wachtwoord als admin. Daarna wordt de gebruiker gevraagd om het wachtwoord te wijzigen, stelt u het wachtwoord in dat nodig is voor gebruikersbeheer naar keuze.  
• U kunt de VPN 512-beheerinterface configureren om out-of-band beheertoegang tot de controller mogelijk te maken.  
• Gebruik het tabblad Command show interface | om de VPN's te controleren waaraan de interfaces momenteel zijn toegewezen. 
• Configureer de interfaces dienovereenkomstig.

Voorbeeld:

Configuraties voor beheerinterface (VPN 512)

• Als een interface moet worden verplaatst van VPN 0 naar VPN 512, gebruikt u deze opdrachten en configureert u het IP-adres in de interface. 

Conf t 
vpn 0 
 no interface eth0 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 
commit 

Een vSmart-node (controller) installeren

• Voer dezelfde stappen uit als de Validator om de vSmart-node te openen.
• Zodra het IP-adres van VPN 512 is geconfigureerd op alle SD-WAN-controllers, kunt u deze openen met SSH op het IP-adres van VPN 512.

Basis-CLI-configuratie op alle controllers

Zodra u SSH-toegang hebt tot alle controllers, configureert u deze CLI-configuraties op elke controller.

Systeemconfiguratie

config t 
system 
 host-name             <hostname> 
 system-ip             <unique system-IP> 
 site-id               <site-id> 
 organization-name     <organization name> 
 vbond <IP address/URL of vBond> 
commit 

Configuratie Transport Interface (VPN 0)

Deze configuraties zijn nodig op alle controllers om de transportinterface mogelijk te maken die wordt gebruikt om besturingsverbindingen met de routers en de rest van de controllers tot stand te brengen.

config t 
vpn 0 
 dns <IP-address> primary 
 dns <IP-address> secondary 
 interface eth1 
  ip address <IP-address/mask> 
  tunnel-interface 
   allow-service all 
   allow-service dhcp 
   allow-service dns 
   allow-service icmp 
   no allow-service sshd 
   no allow-service netconf 
   no allow-service ntp 
   no allow-service stun 
   allow-service https 
  ! 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
commit 

 

Configureer het besturingsprotocol alleen als TLS als er een vereiste is voor routers om beveiligde besturingsverbindingen met de vManage-knooppunten met TLS tot stand te brengen. Alle controllers en routers maken standaard een besturingsverbinding met DTLS. Dit is een optionele configuratie die alleen vereist is voor vSmart- en vManage-knooppunten, afhankelijk van uw vereisten.

Conf t 
security 
 control 
  protocol tls 
Commit 

Combinatie 1: zelfstandig vManage + geen noodherstel

Noodzakelijke instanties:

• 1 vManage (COMPUTE_AND_DATA)
• 1 of meer vBond
• 1 of meer vSmart

Stappen:

1. Breng alle instanties aan met behulp van de gemeenschappelijke stappen
2. Voorafgaande controles
3. vManage-gebruikersinterface, certificaten en onboard controllers configureren
4. Back-up/terugzetten configureren-db
5. Postcheques

Stap 1: Vooraf controleren

• Zorg ervoor dat het aantal actieve Cisco SD-WAN Manager-instanties identiek is aan het aantal nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties dezelfde softwareversie uitvoeren.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties het IP-adres van het beheer van de Cisco SD-WAN Validator kunnen bereiken.

• Zorg ervoor dat certificaten zijn geïnstalleerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat de klokken op alle Cisco Catalyst SD-WAN-apparaten, inclusief de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, worden gesynchroniseerd.

• Zorg ervoor dat een nieuwe set systeem-IP's en site-ID's is geconfigureerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, samen met dezelfde basisconfiguratie als het actieve cluster.

Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers

De configuraties op de vManage UI bijwerken

• Zodra de configuraties in stap 1 zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit.  
• Configureer de organisatienaam en het Validator/vBond-URL/IP-adres. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

• Controleer de configuraties voor Certificate Authorization (CA), die bepaalt welke certificeringsinstantie wordt gebruikt voor het ondertekenen van de certificaten. We kunnen daar 3 opties zien:

1. Hardware WAN Edge Certificate Authorization - Bepaalt de CA voor hardware SD-WAN Edge-routers.
   • On Box Certificate (TPM/SUDI Certificate) - Met deze optie wordt het vooraf geïnstalleerde certificaat op de routerhardware gebruikt om de Control-verbindingen (TLS/DTLS-verbindingen) tot stand te brengen
   • Enterprise Certificate (ondertekend door Enterprise CA) - Met deze optie gebruiken de routers certificaten die zijn ondertekend door Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

2. Controller Certificate Authorization - Bepaalt de CA voor SD-WAN-controllers.
   • Cisco (aanbevolen) - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. vManage neemt automatisch contact op met het PNP-portaal met behulp van de inloggegevens voor slimme accounts die zijn geconfigureerd op de vManage en laat het certificaat ondertekenen en is geïnstalleerd op de controller.
   • Handmatig - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. Onderteken de CSR handmatig via het Cisco PNP-portaal door te navigeren naar het slimme account en het virtuele account van de respectieve SD-WAN-overlay.
   • Enterprise Root Certificate - Met deze optie gebruiken de routers certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

3. WAN Edge Cloud Certificate Authorisation - Bepaalt de CA voor virtuele SD-WAN Edge-routers (CSR1000v, C8000v, vEdge cloud)
   • Geautomatiseerd (vManage ondertekend) - vManage ondertekent automatisch de CSR voor de virtuele Edge-routers en installeert het certificaat op de router.
   • Handleiding (Enterprise CA - aanbevolen) - Virtuele routers gebruiken certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

Als we onze eigen CA, Enterprise Certificate Authority, gebruiken, kiest u Enterprise. 

 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 
•  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

Onboarding vBond/Validator en vSmart/Controller naar de vManage  

Navigeer naar Configuration > Devices > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 

 Onboarding vBond/Validator

• Klik op vBond toevoegen in het geval van 10.12 vManage of Validator toevoegen in het geval van 20.15/20.18 vManage. Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vBond in dat bereikbaar is via vManage.
• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vBond IP.
• Voer de gebruikersreferenties van vBond in.

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage geüpload naar het PNP-portaal en zodra het certificaat is ondertekend, wordt het automatisch op de vBond geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vBonds zijn, herhaalt u dezelfde stappen. 

Onboarding vSmart/Controller

• Klik op vSmart toevoegen in geval van 10.12 vManage of Controller toevoegen in geval van 20.15/20.18 vManage.

• Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vSmart in dat bereikbaar is via vManage.

• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vSmart IP.

• Voer de gebruikersreferenties in van vSmart Opmerking die we nodig hebben om beheerdersreferenties van vSmart of een gebruikersonderdeel van de netadmin-groep te gebruiken.

• U kunt dit controleren in de CLI van de vSmart. 

• Stel het protocol in op TLS als we TLS willen gebruiken voor routers om besturingsverbindingen met vSmart tot stand te brengen. Deze configuratie moet ook worden geconfigureerd op de CLI van vSmarts- en vManage-knooppunten.  

• Kies Ja in de vervolgkeuzelijst "CSR genereren" als we een nieuw certificaat voor vSmart moeten installeren.  

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vSmart geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.  
• Als er meerdere vSmarts zijn, herhaalt u dezelfde stappen.   

Verificatie

Controleer na het voltooien van alle stappen of alle besturingscomponenten bereikbaar zijn in Monitor > Dashboard  

• Klik op de betreffende besturingscomponenten en bevestig dat ze allemaal bereikbaar zijn.  
• Navigeer naar Monitor > Apparaten en controleer of alle besturingscomponenten bereikbaar zijn. 

 

Stap 3: Back-up/herstel configureren-db

vManage-configuratie-db-back-up en terugzetbewerking verzamelen op een ander vManage-knooppunt

Back-up van configuratie-DB verzamelen: 

• In de SD-WAN-structuur die momenteel in gebruik is, kunt u configuratie-db-back-up genereren op zowel zelfstandige vManage- als vManage-clusterinstellingen.  
• Voor zelfstandig vManage is die vManage zelf de leider van de configuratie-db. 

Bevestig dat de configuratie-db wordt uitgevoerd op de vManage-node.

U kunt hetzelfde verifiëren met de opdracht request nms configuration-db status op vManage CLI. De output is zoals getoond

vmanage# request nms configuration-db status 
NMS configuration database 
        Enabled: true 
        Status: running PID:32632 for 1066085s 
        Native metrics status: ENABLED 
        Server-load metrics status: ENABLED 
vmanage# 

Gebruik deze opdracht om de configuratie-db-back-up te verzamelen van de geïdentificeerde configuratie-db leader vManage-node.  

 

request nms configuration-db backup path /opt/data/backup/<filename>  

De verwachte output is als volgt: 

vmanage# request nms configuration-db backup path /opt/data/backup/june18th 
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved backup to /opt/data/backup/june18th.tar.gz 
sha256sum: 8d0f5af8aee4e70f05e3858be6bdd5e6c136134ae47c383569ec883080f5d359 
Removing the temp staging dir :/opt/data/backup/staging 
vmanage# 

• Noteer de inloggegevens van de configuratie-db als deze zijn bijgewerkt. 
•  Als u niet op de hoogte bent van de inloggegevens voor configuratie-db, neemt u contact op met TAC om de inloggegevens voor configuratie-db op te halen uit de bestaande vManage-knooppunten.  

•  Standaard configuratie-db referenties zijn gebruikersnaam: neo4j en wachtwoord: wachtwoord 

Configuration-db Backup terugzetten naar een andere vManage-node

Kopieer de configuratie-db back-up naar /home/admin/ directory van vManage met SCP. 

Voorbeeld van uitvoer van scp-opdracht:

XXXXXXXXX Downloads % scp june18th.tar.gz admin@10.66.62.27:/home/admin/ 
viptela 20.15.4.1 

(admin@10.66.62.27) Password: 
(admin@10.66.62.27) Password: 
june18th.tar.gz                                                                                                                                                   0%  255KB  47.2KB/s - stalled -

Om de configuratie-db back-up te herstellen, moeten we eerst de configuratie-db referenties configureren. Als uw configuratie-db referenties standaard zijn (neo4j/wachtwoord), kunnen we deze stap overslaan.

Als u configuratie-db-referenties wilt configureren, gebruikt u de opdrachtaanvraag nms-configuratie-db update-admin-gebruiker. Gebruik de gebruikersnaam en het wachtwoord van uw keuze. 

Houd er rekening mee dat de toepassingsserver van vManage opnieuw wordt opgestart. Hierdoor wordt vManage UI korte tijd ontoegankelijk.

vmanage# request nms configuration-db update-admin-user 
configuration-db
Enter current user name:neo4j
Enter current user password:password
Enter new user name:ciscoadmin
Enter new user password:ciscoadmin
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance.
Successfully updated configuration database admin user(this is service node, please repeat same operation on all service/data nodes)
Successfully restarted vManage Device Data Collector
Successfully restarted NMS application server
Successfully restarted NMS data collection agent
vmanage# 

Post die we kunnen overgaan tot het terugzetten van de configuratie-db back-up: 

Met de opdracht request nms configuration-db restore path /home/admin/< > kunnen we de configuratie-db terugzetten naar de nieuwe vManage:

vmanage# request nms configuration-db restore path /home/admin/june18th.tar.gz  
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Successfully backup database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Configuration database is running in a standalone mode 
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance. 
Successfully saved cluster configuration for localhost 
Successfully saved vManage root CA information for device: "53f95156-f56b-472f-b713-d164561b25b7" 
Stopping NMS application server on localhost 
Stopping NMS configuration database on localhost 
Reseting NMS configuration database on localhost 
Loading NMS configuration database on localhost 
Starting NMS configuration database on localhost 
Waiting for 180s or the instance to start... 
NMS configuration database on localhost has started. 
Updating DB with the saved cluster configuration data 
Successfully reinserted cluster meta information 
Successfully reinserted vmanage root ca information 
Starting NMS application server on localhost 
Waiting for 180s for the instance to start... 
Successfully restored database

Zorg ervoor dat de vManage UI toegankelijk is zodra de configuratie-db is hersteld. Wacht ongeveer 5 minuten en probeer vervolgens toegang te krijgen tot de gebruikersinterface. 

Zorg ervoor dat de lijst met Edge-routers, het sjabloon, het beleid en alle andere configuraties die aanwezig waren op uw vorige of bestaande vManage-gebruikersinterface worden weergegeven in de nieuwe vManage-gebruikersinterface zodra u bent aangemeld bij de gebruikersinterface. 

Stap 4: Herauthenticatie van controllers en ongeldigverklaring van oude controllers 

Zodra configuratie-db is hersteld, moeten we alle nieuwe controllers (vmanage/vsmart/vbond) in de structuur opnieuw verifiëren.

   

Klik in vmanage UI op Configuratie > Apparaten > Controllers 

• Klik op de drie stippen bij elke controller en klik op Bewerken 

• Vervang het ip-adres (systeem-ip van de controller) door het transport vpn 0 (tunnel interface) ip-adres. Voer de gebruikersnaam en het wachtwoord in en klik op Opslaan 
• Doe hetzelfde voor alle nieuwe controllers in de stof 

Synchroniseer de root-cert-chain 

Als alle controllers aan boord zijn, voert u deze stap uit:

Voer op elke Cisco SD-WAN Manager-server in het nieuw actieve cluster de volgende acties uit:

Voer deze opdracht in om het basiscertificaat te synchroniseren met alle Cisco Catalyst SD-WAN-apparaten in het nieuw actieve cluster:

https://vmanage-url/dataservice/system/device/sync/rootcertchain

Voer deze opdracht in om de Cisco SD-WAN Manager UUID te synchroniseren met de Cisco SD-WAN Validator:

https://vmanage-url/dataservice/certificate/syncvbond

Verwijder de vorige SD-WAN Manager-items

Doe dit direct na de root-cert-chain-synchronisatie en vóór een controllercertificaatbewerking of Verzenden naar Validator.

1. Open Configuratie > Certificaten > Besturingscomponenten (20.9/10.12: Configuratie > Certificaten > Controllers) en Beheer > Clusterbeheer. Elk vManage-item dat niet dit vManage is, is een eerder SD-WAN Manager-item en moet worden verwijderd.
2. Controleer voordat u een actie Verzenden naar validator of Ongeldig maken uitvoert of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC: elke Send to Validator of Invalidate verzendt de controllerlijst en die controller zou zijn controleverbindingen verliezen.
3. Navigeer naar Monitor > Taken en open de meest recente Push vSmart List-taak. Inspecteer alleen de bestaande taakresultaten; klik hier niet op Verzenden naar validator. Als er geen recente taak wordt vermeld, wacht dan op de volgende top-of-hour lijstduw. Bij elke vorige SD-WAN Manager-vermelding moet worden aangegeven dat Vmanage Cluster node voor uuid <uuid>niet is gevonden. Als een vManage-uuid met succes is gepusht, is het een live vManage: maak deze niet ongeldig.
4. Klik op de drie punten aan de rechterkant van de eerste SD-WAN Manager-vermelding en klik op Ongeldig maken. Wacht tot de taak is voltooid. Het verwachte resultaat is Succes met waarschuwing, met deze activiteit:

Invalidating Root Certificate Autority of vManage-<uuid>
Sending serial number of vManage-<uuid> as invalid to all controllers
Failed to push serial list to vManage-<uuid> - retry in 30 seconds; Failed to find Vmanage Cluster node for uuid <uuid>   (x3)
Updated serial list will be sent to vManage-<uuid> when it is reachable
Clearing certificate on vManage-<uuid>
Successfully invalidated vManage-<uuid>

De vermelding toont nu Geen certificaat geïnstalleerd. Het vorige serienummer van SD-WAN Manager en de root-CA worden uit de validators verwijderd.

5. Klik op de drie stippen in hetzelfde item en klik opnieuw op Ongeldig maken. Het wordt onmiddellijk voltooid, zonder een taak, en het item wordt verwijderd.
6. Herhaal stap 4 en 5 voor elke vorige SD-WAN Manager-vermelding.
7. Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden, zonder Mislukte Vmanage Cluster node te vinden.

De oude controllers ongeldig maken

Zodra de structuur is hersteld en de besturings- en BFD-sessies zijn ingesteld voor alle randen en controllers in de structuur, maakt u de oude vBond/Validator- en vSmart/Controller-vermeldingen uit de gebruikersinterface ongeldig:

• Navigeer in vManage UI naar Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Ongeldig maken.
• Klik op Verzenden naar Validator (Verzenden naar vBond in 20.9/10.12). Het moet succes tonen voor elke ontvanger.
• Navigeer naar Configuration > Devices > Control Components (20.9/10.12: Configuration > Devices > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Verwijderen.

Stap 5: Controles achteraf

Combinatie 2: Standalone vManage + DR met één knooppunt

Noodzakelijke instanties:

• 1 vManage (primair, COMPUTE_AND_DATA)
• 1 vManage (DR standby, COMPUTE_AND_DATA)
• 1 of meer vBond
• 1 of meer vSmart

Stappen:

1. Breng alle instanties aan met behulp van de gemeenschappelijke stappen
2. Vooraf controleren
3. vManage-gebruikersinterface, certificaten en onboard controllers configureren
4. DR-instellingen voor één node
5. Back-up/terugzetten configureren-db
6. Postcheques

Stap 1: Vooraf controleren

• Zorg ervoor dat het aantal actieve Cisco SD-WAN Manager-instanties identiek is aan het aantal nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties dezelfde softwareversie uitvoeren.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties het IP-adres van het beheer van de Cisco SD-WAN Validator kunnen bereiken.

• Zorg ervoor dat certificaten zijn geïnstalleerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat de klokken op alle Cisco Catalyst SD-WAN-apparaten, inclusief de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, worden gesynchroniseerd.

• Zorg ervoor dat een nieuwe set systeem-IP's en site-ID's is geconfigureerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, samen met dezelfde basisconfiguratie als het actieve cluster.

Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers

De configuraties op de vManage UI bijwerken

• Zodra de configuraties in stap 1 zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit.  
• Configureer de organisatienaam en het Validator/vBond-URL/IP-adres. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

• Controleer de configuraties voor Certificate Authorization (CA), die bepaalt welke certificeringsinstantie wordt gebruikt voor het ondertekenen van de certificaten. We kunnen daar 3 opties zien:

1. Hardware WAN Edge Certificate Authorization - Bepaalt de CA voor hardware SD-WAN Edge-routers.
   • On Box Certificate (TPM/SUDI Certificate) - Met deze optie wordt het vooraf geïnstalleerde certificaat op de routerhardware gebruikt om de Control-verbindingen (TLS/DTLS-verbindingen) tot stand te brengen
   • Enterprise Certificate (ondertekend door Enterprise CA) - Met deze optie gebruiken de routers certificaten die zijn ondertekend door Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

2. Controller Certificate Authorization - Bepaalt de CA voor SD-WAN-controllers.
   • Cisco (aanbevolen) - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. vManage neemt automatisch contact op met het PNP-portaal met behulp van de inloggegevens voor slimme accounts die zijn geconfigureerd op de vManage en laat het certificaat ondertekenen en is geïnstalleerd op de controller.
   • Handmatig - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. Onderteken de CSR handmatig via het Cisco PNP-portaal door te navigeren naar het slimme account en het virtuele account van de respectieve SD-WAN-overlay.
   • Enterprise Root Certificate - Met deze optie gebruiken de routers certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

3. WAN Edge Cloud Certificate Authorisation - Bepaalt de CA voor virtuele SD-WAN Edge-routers (CSR1000v, C8000v, vEdge cloud)
   • Geautomatiseerd (vManage ondertekend) - vManage ondertekent automatisch de CSR voor de virtuele Edge-routers en installeert het certificaat op de router.
   • Handleiding (Enterprise CA - aanbevolen) - Virtuele routers gebruiken certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

Als we onze eigen CA, Enterprise Certificate Authority, gebruiken, kiest u Enterprise. 

 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 
•  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

Onboarding vBond/Validator en vSmart/Controller naar de vManage  

Navigeer naar Configuration > Devices > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 

 Onboarding vBond/Validator

• Klik op vBond toevoegen in het geval van 10.12 vManage of Validator toevoegen in het geval van 20.15/20.18 vManage. Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vBond in dat bereikbaar is via vManage.
• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vBond IP.
• Voer de gebruikersreferenties van vBond in.

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage geüpload naar het PNP-portaal en zodra het certificaat is ondertekend, wordt het automatisch op de vBond geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vBonds zijn, herhaalt u dezelfde stappen. 

Onboarding vSmart/Controller

• Klik op vSmart toevoegen in geval van 10.12 vManage of Controller toevoegen in geval van 20.15/20.18 vManage.

• Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vSmart in dat bereikbaar is via vManage.

• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vSmart IP.

• Voer de gebruikersreferenties in van vSmart Opmerking die we nodig hebben om beheerdersreferenties van vSmart of een gebruikersonderdeel van de netadmin-groep te gebruiken.

• U kunt dit controleren in de CLI van de vSmart. 

• Stel het protocol in op TLS als we TLS willen gebruiken voor routers om besturingsverbindingen met vSmart tot stand te brengen. Deze configuratie moet ook worden geconfigureerd op de CLI van vSmarts- en vManage-knooppunten.  

• Kies Ja in de vervolgkeuzelijst "CSR genereren" als we een nieuw certificaat voor vSmart moeten installeren.  

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vSmart geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.  Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.
• Als er meerdere vSmarts zijn, herhaalt u dezelfde stappen.   

Verificatie

Controleer na het voltooien van alle stappen of alle besturingscomponenten bereikbaar zijn in Monitor > Dashboard  

• Klik op de betreffende besturingscomponenten en bevestig dat ze allemaal bereikbaar zijn.  
• Navigeer naar Monitor > Apparaten en controleer of alle besturingscomponenten bereikbaar zijn. 

 

Stap 3: Back-up/herstel configureren-db

vManage-configuratie-db-back-up en terugzetbewerking verzamelen op een ander vManage-knooppunt

Bevestig dat er geen replicatie voor Disaster Recovery wordt uitgevoerd. Navigeer naar Beheer > Disaster Recovery en  Zorg ervoor dat de status Succes is en niet in een tijdelijke status zoals In behandeling zijnde importeren, In behandeling zijnde exporteren of In behandeling zijnde downloaden. Als de status niet succesvol is, neem dan contact op met Cisco TAC en zorg ervoor dat de replicatie succesvol is voordat u doorgaat met het pauzeren van het noodherstel. 

Pauzeer eerst het noodherstel en zorg ervoor dat de taak is voltooid. Verwijder het Disaster Recovery-bestand en bevestig dat de taak is voltooid. 

Neem contact op met Cisco TAC om ervoor te zorgen dat Disaster Recovery met succes wordt opgeruimd. 

Back-up van configuratie-DB verzamelen: 

• In de SD-WAN-structuur die momenteel in gebruik is, kunt u configuratie-db-back-up genereren op zowel zelfstandige vManage- als vManage-clusterinstellingen.  
• Voor zelfstandig vManage is die vManage zelf de leider van de configuratie-db. 

Bevestig dat de configuratie-db wordt uitgevoerd op de vManage-node.

U kunt hetzelfde verifiëren met de opdracht request nms configuration-db status op vManage CLI. De output is zoals getoond

vmanage# request nms configuration-db status 
NMS configuration database 
        Enabled: true 
        Status: running PID:32632 for 1066085s 
        Native metrics status: ENABLED 
        Server-load metrics status: ENABLED 
vmanage# 

Gebruik deze opdracht om de configuratie-db-back-up te verzamelen van de geïdentificeerde configuratie-db leader vManage-node.  

 

request nms configuration-db backup path /opt/data/backup/<filename>  

De verwachte output is als volgt: 

vmanage# request nms configuration-db backup path /opt/data/backup/june18th 
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved backup to /opt/data/backup/june18th.tar.gz 
sha256sum: 8d0f5af8aee4e70f05e3858be6bdd5e6c136134ae47c383569ec883080f5d359 
Removing the temp staging dir :/opt/data/backup/staging 
vmanage# 

• Noteer de inloggegevens van de configuratie-db als deze zijn bijgewerkt. 
•  Als u niet op de hoogte bent van de inloggegevens voor configuratie-db, neemt u contact op met TAC om de inloggegevens voor configuratie-db op te halen uit de bestaande vManage-knooppunten.  
•  Standaard configuratie-db referenties zijn gebruikersnaam: neo4j en wachtwoord: wachtwoord 

Configuration-db Backup terugzetten naar een andere vManage-node

Kopieer de configuratie-db back-up naar /home/admin/ directory van vManage met SCP. 

Voorbeeld van uitvoer van scp-opdracht:

XXXXXXXXX Downloads % scp june18th.tar.gz admin@10.66.62.27:/home/admin/ 
viptela 20.15.4.1 

(admin@10.66.62.27) Password: 
(admin@10.66.62.27) Password: 
june18th.tar.gz                                                                                                                                                   0%  255KB  47.2KB/s - stalled -

Om de configuratie-db back-up te herstellen, moeten we eerst de configuratie-db referenties configureren. Als uw configuratie-db referenties standaard zijn (neo4j/wachtwoord), kunnen we deze stap overslaan.

Als u configuratie-db-referenties wilt configureren, gebruikt u de opdrachtaanvraag nms-configuratie-db update-admin-gebruiker. Gebruik de gebruikersnaam en het wachtwoord van uw keuze. 

Houd er rekening mee dat de toepassingsserver van vManage opnieuw wordt opgestart. Hierdoor wordt vManage UI korte tijd ontoegankelijk.

vmanage# request nms configuration-db update-admin-user 
configuration-db
Enter current user name:neo4j
Enter current user password:password
Enter new user name:ciscoadmin
Enter new user password:ciscoadmin
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance.
Successfully updated configuration database admin user(this is service node, please repeat same operation on all service/data nodes)
Successfully restarted vManage Device Data Collector
Successfully restarted NMS application server
Successfully restarted NMS data collection agent
vmanage# 

Post die we kunnen overgaan tot het terugzetten van de configuratie-db back-up: 

Met de opdracht request nms configuration-db restore path /home/admin/< > herstellen we de configuratie-db naar het nieuwe vManage:

vmanage# request nms configuration-db restore path /home/admin/june18th.tar.gz  
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Successfully backup database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Configuration database is running in a standalone mode 
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance. 
Successfully saved cluster configuration for localhost 
Successfully saved vManage root CA information for device: "53f95156-f56b-472f-b713-d164561b25b7" 
Stopping NMS application server on localhost 
Stopping NMS configuration database on localhost 
Reseting NMS configuration database on localhost 
Loading NMS configuration database on localhost 
Starting NMS configuration database on localhost 
Waiting for 180s or the instance to start... 
NMS configuration database on localhost has started. 
Updating DB with the saved cluster configuration data 
Successfully reinserted cluster meta information 
Successfully reinserted vmanage root ca information 
Starting NMS application server on localhost 
Waiting for 180s for the instance to start... 
Successfully restored database

Zorg ervoor dat de vManage UI toegankelijk is zodra de configuratie-db is hersteld. Wacht ongeveer 5 minuten en probeer vervolgens toegang te krijgen tot de gebruikersinterface. 

Zorg ervoor dat de lijst met Edge-routers, het sjabloon, het beleid en alle andere configuraties die aanwezig waren op uw vorige of bestaande vManage-gebruikersinterface worden weergegeven in de nieuwe vManage-gebruikersinterface zodra u bent aangemeld bij de gebruikersinterface. 

Stap 4: Installatie van DR voor één node

Raadpleeg stap 2: Prechecks in combinatie 2: Standalone vManage + Single Node DR en controleer of alle vereisten zijn vervuld voordat we Disaster Recovery inschakelen.

Single Node DR

Voorwaarden

• Zorg ervoor dat de primaire en de secundaire node bereikbaar zijn via HTTPS op een transport VPN (VPN 0). 

• Zorg ervoor dat de Cisco vManage primaire node en secundaire node dezelfde Cisco vManage-versie hebben. 

 Out-of-band clusterinterface in VPN 0 

1. Voor elke vManage-instantie in een cluster is een derde interface (clusterlink) vereist, naast de interfaces die worden gebruikt voor VPN 0 (transport) en VPN 512 (beheer).  
2. Deze interface wordt gebruikt voor communicatie en synchronisatie tussen de vManage-servers in het cluster. 
3. Deze interface moet ten minste 1 Gbps zijn en een latentie van 4 ms of minder hebben. Een 10 Gbps interface wordt aanbevolen. 
4. Beide vManage-knooppunten moeten elkaar via deze interface kunnen bereiken: of het nu gaat om een laag 2-segment of om een laag 3-routering. 

• Zorg ervoor dat alle services (application-server, configuration-db, messaging server, coordination server en statistics-db) zijn ingeschakeld op beide Cisco vManage-nodes. 
•  Verspreid alle controllers, inclusief Cisco vBond Orchestrators, over zowel primaire als secundaire datacenters. Zorg ervoor dat deze controllers bereikbaar zijn via Cisco vManage-knooppunten die over deze datacenters zijn verspreid. De controllers maken alleen verbinding met de primaire Cisco vManage-node. 
• Zorg ervoor dat er geen andere bewerkingen worden uitgevoerd in de actieve (primaire) en de stand-by (secundaire) Cisco vManage-node. Zorg er bijvoorbeeld voor dat er geen servers worden bijgewerkt of dat er geen sjablonen worden gekoppeld aan apparaten.  

• Schakel de Cisco vManage HTTP/HTTPS-proxyserver uit als deze is ingeschakeld. Als u de proxyserver niet uitschakelt, probeert Cisco vManage noodherstelcommunicatie tot stand te brengen via het proxy-IP-adres, zelfs als Cisco vManage out-of-band cluster IP-adressen direct bereikbaar zijn. U kunt de Cisco vManage HTTP/HTTPS-proxyserver opnieuw inschakelen nadat de registratie voor noodherstel is voltooid.  

• Voordat u het registratieproces voor noodherstel start, gaat u naar het venster Extra → Netwerk herontdekken op het primaire Cisco vManage-knooppunt en herontdekt u de Cisco vBond Orchestrators. 

 

Configuratie

Configureer de CLI-configuraties van alle vManage-knooppunten die fungeren als noodherstelknooppunt

De minimale configuratie voor vManage voorafgaand aan de registratie voor Disaster Recovery wordt weergegeven

config t 
system 
 host-name             <hostname> 
 system-ip             <unique system-ip> 
 site-id               <site-id> 
 organization-name     <organization name> 
 vbond <IP address/URL of vBond> 
commit 

Deze configuraties zijn nodig om de transportinterface mogelijk te maken die wordt gebruikt om besturingsverbindingen met de routers en de rest van de controllers tot stand te brengen

config t 
vpn 0 
 dns <IP-address> primary 
 dns <IP-address> secondary 
 interface eth1 
  ip address <IP-address/mask> 
  tunnel-interface 
   allow-service all 
   allow-service dhcp 
   allow-service dns 
   allow-service icmp 
   no allow-service sshd 
   no allow-service netconf 
   no allow-service ntp 
   no allow-service stun 
   allow-service https 
  ! 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP> 
commit 

Configureer ook de VPN 512-beheerinterface om out-of-band beheertoegang tot de controller mogelijk te maken.  

Conf t 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 
commit 

Serviceinterface configureren op de DR vManage

De serviceinterface configureren op de vManage-node. Deze interface wordt gebruikt voor DR-communicatie, 

 

conf t 
 interface eth2 
  ip address <IP-address/mask> 
  no shutdown 
commit 

Zorg ervoor dat hetzelfde IP-subnet wordt gebruikt voor de serviceinterface op de primaire vManage en DR vManage

De configuraties op de vManage UI bijwerken

• Zodra de configuraties zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit. 
• Configureer de naam van de organisatie. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

Het certificaat installeren op DR vManage

Ga verder met de stappen die worden gegeven onder sectie Combinatie 2: Standalone vManage + Single Node DR Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers om het certificaat te installeren op de Disaster Recovery vManage. 

De Disaster Recovery-configuratie toevoegen

• Ga hiervoor naar de primaire vManage.  
• Navigeer naar Administratie → Clusterbeheer en geef het IP-adres van de out-of-band interface aan nadat u op de drie punten aan de rechterkant van het vManage-item hebt geklikt en de gebruikersnaam en het wachtwoord hebt opgenomen. Het wordt aanbevolen om voor deze configuratie een afzonderlijke lokale gebruiker te maken, bijvoorbeeld dradmin op zowel primaire als DR vmanage.

• VManage wordt opnieuw opgestart na deze wijziging. 
• Navigeer naar Administration → Disaster Recovery nadat het primaire vManage is opgedoken. Klik op 'Disaster Recovery beheren'. 
• Vul in het pop-upvenster de gegevens voor zowel primair als secundair vManage in.  
• De aan te geven IP-adressen zijn de out-of-band clusterinterfaces (eth2) IP-adressen. 
• De referenties moeten die van een netadmin-gebruiker (dradmin) zijn en ze mogen niet worden gewijzigd zodra de DR is geconfigureerd.  Er kan een afzonderlijke vManage-gebruikersreferentie voor Disaster Recovery worden gebruikt. We moeten ervoor zorgen dat de lokale vManage-gebruiker deel uitmaakt van de netadmin-groep. Zelfs admin credential kan hier worden gebruikt. 

• Eenmaal gevuld, klik op ‘Volgende’. 

• Vul de gegevens van de vBond-controllers in. 

• De vBond-controllers moeten bereikbaar zijn in het opgegeven IP-adres via Netconf. 

• De referenties moeten die van een netadmin-gebruiker (dradmin) zijn en ze mogen niet worden gewijzigd zodra de DR is geconfigureerd. 

• Hiervoor wordt aanbevolen dat vBond deze dradmin-gebruiker lokaal heeft geconfigureerd of dat u de admin-gebruiker kunt gebruiken om de vBond toe te voegen.  

• Eenmaal gevuld, klik op ‘Volgende’. 
• Kies in de herstelmodus ‘Handmatig’. Klik op ‘Volgende’. 

Stel in het replicatieschema het ‘replicatie-interval’ in. Elke replicatietijd worden de gegevens gerepliceerd van primair vManage naar secundair vManage. De minimale configureerbare waarde is 15 minuten. 

• Stel de waarde in en klik op ‘Opslaan’. 
• De DR-registratie begint nu. Klik op de knop Vernieuwen om de status en de voortgangslogboeken handmatig te vernieuwen. Dit proces kan tot 20-30 minuten duren. 

• Houd er rekening mee dat de vManage GUI tijdens dit proces opnieuw wordt gestart. 

• Eenmaal voltooid, moet een status van Succes worden gezien.

Verifiëren

Navigeer naar Administration → Disaster Recovery om de Disaster Recovery-status te zien en wanneer de gegevens de laatste keer zijn gerepliceerd. 

Stap 5: Herauthenticatie van controllers en ongeldigverklaring van oude controllers 

Zodra configuratie-db is hersteld, moeten we alle nieuwe controllers (vmanage/vsmart/vbond) in de structuur opnieuw verifiëren 

   

Klik in vmanage UI op Configuratie > Apparaten > Controllers 

• Klik op de drie stippen bij elke controller en klik op Bewerken 

• Vervang het ip-adres (systeem-ip van de controller) door het transport vpn 0 (tunnel interface) ip-adres .Voer de gebruikersnaam en het wachtwoord in en klik op opslaan 
• Doe hetzelfde voor alle nieuwe controllers in de stof 

Synchroniseer de root-cert-chain 

Als alle controllers aan boord zijn, voert u deze stap uit:

Voer op elke Cisco SD-WAN Manager-server in het nieuw actieve cluster de volgende acties uit:

Voer deze opdracht in om het basiscertificaat te synchroniseren met alle Cisco Catalyst SD-WAN-apparaten in het nieuw actieve cluster:

https://vmanage-url/dataservice/system/device/sync/rootcertchain

Voer deze opdracht in om de Cisco SD-WAN Manager UUID te synchroniseren met de Cisco SD-WAN Validator:

https://vmanage-url/dataservice/certificate/syncvbond

Verwijder de vorige SD-WAN Manager-items

Doe dit direct na de root-cert-chain-synchronisatie en vóór een controllercertificaatbewerking of Verzenden naar Validator.

1. Open Configuratie > Certificaten > Besturingscomponenten (20.9/10.12: Configuratie > Certificaten > Controllers) en Beheer > Clusterbeheer. Elk vManage-item dat niet dit vManage is, is een eerder SD-WAN Manager-item en moet worden verwijderd. Maak Disaster Recovery vManage, dat wordt weergegeven in Beheer > Disaster Recovery, niet ongeldig. Hier worden alleen vManage-items uit de bron van de back-up van configuratie-db verwijderd.
2. Controleer voordat u een actie Verzenden naar validator of Ongeldig maken uitvoert of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC: elke Send to Validator of Invalidate verzendt de controllerlijst en die controller zou zijn controleverbindingen verliezen.
3. Navigeer naar Monitor > Taken en open de meest recente Push vSmart List-taak. Inspecteer alleen de bestaande taakresultaten; klik hier niet op Verzenden naar validator. Als er geen recente taak wordt vermeld, wacht dan op de volgende top-of-hour lijstduw. Bij elke vorige SD-WAN Manager-vermelding moet worden aangegeven dat Vmanage Cluster node voor uuid <uuid>niet is gevonden. Als een vManage-uuid met succes is gepusht, is het een live vManage: maak deze niet ongeldig.
4. Klik op de drie punten aan de rechterkant van de eerste SD-WAN Manager-vermelding en klik op Ongeldig maken. Wacht tot de taak is voltooid. Het verwachte resultaat is Succes met waarschuwing, met deze activiteit:

Invalidating Root Certificate Autority of vManage-<uuid>
Sending serial number of vManage-<uuid> as invalid to all controllers
Failed to push serial list to vManage-<uuid> - retry in 30 seconds; Failed to find Vmanage Cluster node for uuid <uuid>   (x3)
Updated serial list will be sent to vManage-<uuid> when it is reachable
Clearing certificate on vManage-<uuid>
Successfully invalidated vManage-<uuid>

De vermelding toont nu Geen certificaat geïnstalleerd. Het vorige serienummer van SD-WAN Manager en de root-CA worden uit de validators verwijderd.

5. Klik op de drie stippen in hetzelfde item en klik opnieuw op Ongeldig maken. Het wordt onmiddellijk voltooid, zonder een taak, en het item wordt verwijderd.
6. Herhaal stap 4 en 5 voor elke vorige SD-WAN Manager-vermelding.
7. Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden, zonder Mislukte Vmanage Cluster node te vinden.

De oude controllers ongeldig maken

Zodra de structuur is hersteld en de besturings- en BFD-sessies zijn ingesteld voor alle randen en controllers in de structuur, maakt u de oude vBond/Validator- en vSmart/Controller-vermeldingen uit de gebruikersinterface ongeldig:

• Navigeer in vManage UI naar Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Ongeldig maken.
• Klik op Verzenden naar Validator (Verzenden naar vBond in 20.9/10.12). Het moet succes tonen voor elke ontvanger.
• Navigeer naar Configuration > Devices > Control Components (20.9/10.12: Configuration > Devices > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Verwijderen.

Stap 6: Controles achteraf

Combinatie 3: vManage-cluster + geen noodherstel

Noodzakelijke instanties:

• 3 vManage (cluster met 3 knooppunten, alle COMPUTE_AND_DATA) of 6 vManage (3 COMPUTE_AND_DATA + 3 DATA)
• 1 of meer vBond
• 1 of meer vSmart

Stappen:

1. Breng alle instanties aan met behulp van de gemeenschappelijke stappen
2. Vooraf controleren
3. vManage-gebruikersinterface, certificaten en onboard controllers configureren
4. vManage-cluster maken
5. Back-up/terugzetten configureren-db
6. Postcheques

Stap 1: Vooraf controleren

• Zorg ervoor dat het aantal actieve Cisco SD-WAN Manager-instanties identiek is aan het aantal nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties dezelfde softwareversie uitvoeren.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties het IP-adres van het beheer van de Cisco SD-WAN Validator kunnen bereiken.

• Zorg ervoor dat certificaten zijn geïnstalleerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat de klokken op alle Cisco Catalyst SD-WAN-apparaten, inclusief de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, worden gesynchroniseerd.

• Zorg ervoor dat een nieuwe set systeem-IP's en site-ID's is geconfigureerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, samen met dezelfde basisconfiguratie als het actieve cluster.

Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers

De configuraties op de vManage UI bijwerken

• Zodra de configuraties in stap 1 zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit.  
• Configureer de organisatienaam en het Validator/vBond-URL/IP-adres. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

• Controleer de configuraties voor Certificate Authorization (CA), die bepaalt welke certificeringsinstantie wordt gebruikt voor het ondertekenen van de certificaten. We kunnen daar 3 opties zien:

1. Hardware WAN Edge Certificate Authorization - Bepaalt de CA voor hardware SD-WAN Edge-routers.
   • On Box Certificate (TPM/SUDI Certificate) - Met deze optie wordt het vooraf geïnstalleerde certificaat op de routerhardware gebruikt om de Control-verbindingen (TLS/DTLS-verbindingen) tot stand te brengen
   • Enterprise Certificate (ondertekend door Enterprise CA) - Met deze optie gebruiken de routers certificaten die zijn ondertekend door Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

2. Controller Certificate Authorization - Bepaalt de CA voor SD-WAN-controllers.
   • Cisco (aanbevolen) - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. vManage neemt automatisch contact op met het PNP-portaal met behulp van de inloggegevens voor slimme accounts die zijn geconfigureerd op de vManage en laat het certificaat ondertekenen en is geïnstalleerd op de controller.
   • Handmatig - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. Onderteken de CSR handmatig via het Cisco PNP-portaal door te navigeren naar het slimme account en het virtuele account van de respectieve SD-WAN-overlay.
   • Enterprise Root Certificate - Met deze optie gebruiken de routers certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

3. WAN Edge Cloud Certificate Authorisation - Bepaalt de CA voor virtuele SD-WAN Edge-routers (CSR1000v, C8000v, vEdge cloud)
   • Geautomatiseerd (vManage ondertekend) - vManage ondertekent automatisch de CSR voor de virtuele Edge-routers en installeert het certificaat op de router.
   • Handleiding (Enterprise CA - aanbevolen) - Virtuele routers gebruiken certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

Als we onze eigen CA, Enterprise Certificate Authority, gebruiken, kiest u Enterprise. 

 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 
•  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

Onboarding vBond/Validator en vSmart/Controller naar de vManage  

Navigeer naar Configuration > Devices > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 

 Onboarding vBond/Validator

• Klik op vBond toevoegen in het geval van 10.12 vManage of Validator toevoegen in het geval van 20.15/20.18 vManage. Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vBond in dat bereikbaar is via vManage.
• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vBond IP.
• Voer de gebruikersreferenties van vBond in.

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage geüpload naar het PNP-portaal en zodra het certificaat is ondertekend, wordt het automatisch op de vBond geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vBonds zijn, herhaalt u dezelfde stappen. 

Onboarding vSmart/Controller

• Klik op vSmart toevoegen in geval van 10.12 vManage of Controller toevoegen in geval van 20.15/20.18 vManage.

• Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vSmart in dat bereikbaar is via vManage.

• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vSmart IP.

• Voer de gebruikersreferenties in van vSmart Opmerking die we nodig hebben om beheerdersreferenties van vSmart of een gebruikersonderdeel van de netadmin-groep te gebruiken.

• U kunt dit controleren in de CLI van de vSmart. 

• Stel het protocol in op TLS als we TLS willen gebruiken voor routers om besturingsverbindingen met vSmart tot stand te brengen. Deze configuratie moet ook worden geconfigureerd op de CLI van vSmarts- en vManage-knooppunten.  

• Kies Ja in de vervolgkeuzelijst "CSR genereren" als we een nieuw certificaat voor vSmart moeten installeren.  

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vSmart geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.
• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.
• Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vSmarts zijn, herhaalt u dezelfde stappen.   

Verificatie

Controleer na het voltooien van alle stappen of alle besturingscomponenten bereikbaar zijn in Monitor > Dashboard  

• Klik op de betreffende besturingscomponenten en bevestig dat ze allemaal bereikbaar zijn.  
• Navigeer naar Monitor > Apparaten en controleer of alle besturingscomponenten bereikbaar zijn. 

 

Stap 3: vManage-cluster maken

Onboard SD-WAN-verbinding met vManage-cluster in de SD-WAN-overlay

 

De CLI-configuraties configureren van alle vManage-knooppunten die deel uitmaken van het cluster

Systeemconfiguratie configureren op alle vManage-knooppunten

• De rest van de vManage-knooppunten configureren. In het geval van een cluster met 3 knooppunten moet u nog 2 knooppunten configureren, in het geval van een cluster met 6 knooppunten moet u 5 knooppunten configureren.  
•  Systeemconfiguraties configureren zoals weergegeven: 

config t 
system 
 host-name             <hostname> 
 system-ip             <unique system-ip> 
 site-id               <site-id> 
 organization-name     <organization name> 
 vbond <IP address/URL of vBond> 
commit 

Vervoersinterface configureren op alle vManage-knooppunten

Deze configuraties zijn nodig om de transportinterface mogelijk te maken die wordt gebruikt om besturingsverbindingen met de routers en de rest van de controllers tot stand te brengen. 

config t 
vpn 0 
 dns <IP-address> primary 
 dns <IP-address> secondary 
 interface eth1 
  ip address <IP-address/mask> 
  tunnel-interface 
   allow-service all 
   allow-service dhcp 
   allow-service dns 
   allow-service icmp 
   no allow-service sshd 
   no allow-service netconf 
   no allow-service ntp 
   no allow-service stun 
   allow-service https 
  ! 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP> 
commit 

Beheerinterface configureren op alle vManage-knooppunten

Configureer ook de VPN 512-beheerinterface om out-of-band beheertoegang tot de controller mogelijk te maken. 

Conf t 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 
Commit  

Optionele configuratie:

• U kunt verwijzen naar de configuraties van uw bestaande controller en als de hier vermelde configuratie aanwezig is, kunt u deze configuratie toevoegen aan de nieuwe controllers.
• Configureer het besturingsprotocol alleen als TLS als er een vereiste is voor routers om beveiligde besturingsverbindingen met de vManage-knooppunten met TLS tot stand te brengen. Alle controllers en routers maken standaard een besturingsverbinding met DTLS. Dit is een optionele configuratie die alleen vereist is voor vSmart- en vManage-knooppunten, afhankelijk van uw vereisten.

Conf t 
security 
 control 
  protocol tls 
commit 

Serviceinterface configureren op alle vManage-knooppunten

Configureer de serviceinterface op alle vManage-knooppunten, inclusief vManage-1, die al aan boord is geweest. Deze interface wordt gebruikt voor clustercommunicatie, dat wil zeggen communicatie tussen de vManage-knooppunten in het cluster.

conf t 
 interface eth2 
  ip address <IP-address/mask> 
  no shutdown 
commit 

Zorg ervoor dat hetzelfde IP-subnet wordt gebruikt voor de serviceinterface voor alle knooppunten in het vManage-cluster.  

Clusterreferenties configureren

We kunnen dezelfde beheerdersreferenties van de vManage-nodes gebruiken om het vManage-cluster te configureren. Anders kunnen we een nieuwe gebruikersreferentie configureren die deel uitmaakt van de netadmin-groep. De configuraties voor het configureren van nieuwe gebruikersreferenties worden weergegeven

conf t 
system 
 aaa 
  user <username> 
   password <password> 
   group    netadmin 
commit 

Zorg ervoor dat u dezelfde gebruikersreferenties configureert voor alle vManage-knooppunten die deel uitmaken van het cluster. Als we besluiten om beheerdersreferenties te gebruiken, moet dit dezelfde gebruikersnaam/hetzelfde wachtwoord zijn voor alle vManage-knooppunten.  

Apparaatcertificaat installeren op alle vManage-knooppunten

• Meld u aan bij vManage UI van alle vManage-knooppunten met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectieve vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers  

  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 

• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.

• Voltooi deze stap voor alle vManage-knooppunten die deel uitmaken van het cluster.

Voorbereiden op het bouwen van het vManage-cluster

• Ga in de webUI van vManage-1 naar Beheer > Clusterbeheer, klik op ... onder Acties voor vManage-1 en kies Bewerken.  
  
• De nodepersona wordt automatisch gekozen op basis van de persona die we hebben gekozen terwijl de VM werd gesponnen.  

• Voor een cluster met 6 knooppunten worden 3 vManage-knooppunten met compute+data samengebracht als de persona en 3 vManage-knooppunten met gegevens als de persona. 
• Zorg ervoor dat u in de vervolgkeuzelijst voor het IP-adres van Manager de serviceinterface IP van vManage kiest. 

• Voer de gebruikersnaam en het wachtwoord in die we willen gebruiken om vManage-clusters in te schakelen die clusterreferenties worden genoemd.
• Zoals eerder vermeld, moeten dezelfde referenties worden geconfigureerd op alle vManage-knooppunten en moeten deze worden gebruikt bij het toevoegen van alle knooppunten aan het cluster.  

 Klik op Update.  

• Nadat u dit hebt gedaan, worden de vManage NMS-services opnieuw gestart op de achtergrond en is de gebruikersinterface gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar. Gedurende deze periode is CLI-toegang van vManage beschikbaar.  
• Zodra de gebruikersinterface van vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de serviceinterface van vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven.
• Switch-naar-service bereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn. 

• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 20 tot 30 minuten.

Bouw het vManage-cluster

• Navigeer op de webUI van vManage-1 naar Beheer > Clusterbeheer, in het gedeelte Serviceconfiguratie, 
• Klik op Add Manager, er verschijnt een pop-upvenster: 

• Kies de Node persona op basis van de persoonlijke configuraties die zijn uitgevoerd terwijl de vManage – 2 node is gesponnen.  
• Voer de serviceinterface IP van vManage-2 in onder IP-adres van Manager  
• Voer de gebruikersnaam en het wachtwoord in, wat dezelfde referenties zijn als in stap 6.  
• SDAVC inschakelen - Niet aangevinkt omdat we het al op vManage-1 zouden hebben ingeschakeld  
• Klik op Toevoegen.  
• Nadat u dit hebt gedaan, worden de vManage NMS-services op de achtergrond opnieuw opgestart voor vManage 1- en 2-knooppunten. De gebruikersinterface is gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar voor vManage 1 en 2.
• Gedurende deze tijd is CLI-toegang van vManage 1 en 2 beschikbaar.  
• Zodra de gebruikersinterface vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de IP-serviceinterface van zowel de vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.
• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 5 tot 10 minuten.  
• U kunt de status van het clustertoevoegingsproces controleren in de takenlijst die rechtsboven in de gebruikersinterface van vManage beschikbaar is.

• U kunt zoeken naar een actieve takenlijst en als de taak nog steeds wordt vermeld onder de actieve takenlijst, geeft dit aan dat de taak nog niet is voltooid.
• U kunt op de taak klikken om de voortgang van hetzelfde te controleren. Als de taak niet wordt vermeld in de lijst met actieve taken, switch dan naar Voltooid en controleer of de taak met succes is voltooid.  
• Pas nadat deze punten zijn gevalideerd, gaat u verder met de volgende stap. 

Met deze punten moet rekening worden gehouden voordat het volgende knooppunt aan het cluster wordt toegevoegd: 

Controleer deze punten op alle gebruikersinterface's van de vManage-knooppunten die tot nu toe aan het cluster zijn toegevoegd:

• Navigeer naar Monitor > Overzicht van vManage UI en controleer of het aantal vManage-nodes correct wordt weergegeven en bereikbaar is, afhankelijk van het aantal nodes dat aan het cluster is toegevoegd. 

• Navigeer naar Beheer > Clusterbeheer en controleer of de IP-serviceinterface van zowel de vManage wordt weergegeven onder IP-adres, Status configureren gereed is en de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.

• Elke keer dat een knooppunt aan het cluster wordt toegevoegd, worden de NMS-services van alle knooppunten in het cluster opnieuw opgestart, waardoor de gebruikersinterface van al die knooppunten enige tijd onbereikbaar wordt.
• Afhankelijk van het aantal knooppunten in het cluster kan het langer duren voordat de gebruikersinterface opnieuw is ingesteld en alle services bereikbaar zijn.
• U kunt de taak controleren onder Taaklijst die beschikbaar is in de rechterbovenhoek van de gebruikersinterface van vManage. 
• Op de vManage-gebruikersinterface van elk knooppunt dat aan het cluster is toegevoegd, moeten we alle routers, sjablonen en beleidsregels zien als deze beschikbaar zijn in vManage-1.
• Als die configuraties niet aanwezig waren op vManage-1, moeten de vBonds en vSmarts die aan vManage-1 zijn toegevoegd en ook Administration > Settings-configuraties voor Organisatienaam, vBond, Certificate Authorization worden weergegeven op de rest van de vManage-knooppunten die aan het cluster zijn toegevoegd.  
• Herhaal dezelfde stappen voor de overige vManage-knooppunten.  

Als alle controllers aan boord zijn, voert u deze stap uit:

Stap 4: Back-up/herstel configureren-db

vManage-configuratie-db-back-up en terugzetbewerking verzamelen op een ander vManage-knooppunt 

Bevestig dat er geen replicatie voor Disaster Recovery wordt uitgevoerd. Navigeer naar Beheer > Disaster Recovery en  Zorg ervoor dat de status Succes is en niet in een tijdelijke status zoals In behandeling zijnde importeren, In behandeling zijnde exporteren of In behandeling zijnde downloaden. Als de status niet succesvol is, neem dan contact op met Cisco TAC en zorg ervoor dat de replicatie succesvol is voordat u doorgaat met het pauzeren van het noodherstel. 

Pauzeer eerst het noodherstel en zorg ervoor dat de taak is voltooid. Verwijder het Disaster Recovery-bestand en bevestig dat de taak is voltooid. 

Neem contact op met Cisco TAC om ervoor te zorgen dat Disaster Recovery met succes wordt opgeruimd. 

Back-up van configuratie-DB verzamelen: 

• In de SD-WAN-structuur die momenteel in gebruik is, kunt u configuratie-db-back-up genereren vanuit vManage-cluster.  
•  Houd er rekening mee dat we alleen configuratie-db-back-ups moeten genereren op één node van het vManage-cluster, de leider van configuratie-db.  

•  Voor zelfstandig vManage is die vManage zelf de leider van de configuratie-db.  
•  Identificeer in het vManage-cluster de hoofdnode van configuratie-db met behulp van de diagnostiek van de opdracht nms-configuratie-db. U kunt deze opdracht uitvoeren op alle knooppunten van het vManage-cluster met drie knooppunten.  
•  In een cluster met 6 knooppunten, moet u deze opdracht uitvoeren op de vManage-knooppunten waar configuratie-db is ingeschakeld om de leader-knooppunt te identificeren.  Navigeer naar Beheer > Clusterbeheer om hetzelfde te controleren: 
• Zoals we in de schermafbeelding zien, hebben de knooppunten die zijn geconfigureerd met persona COMPUTE_AND_DATA configuratie-db.  

U kunt hetzelfde verifiëren met de nms-configuratie-db-status van de opdracht op vManage CLI. De output is zoals getoond

vmanage# request nms configuration-db status 
NMS configuration database 
        Enabled: true 
        Status: running PID:32632 for 1066085s 
        Native metrics status: ENABLED 
        Server-load metrics status: ENABLED 
vmanage# 

• Zodra u de opdracht request nms configuration-db diagnostics op deze knooppunten uitgevoerd, de uitvoer is als volgt: 
• Zoek naar het gemarkeerde veld voor "IsLeader". Als het is ingesteld op 1, geeft dit aan dat node de leader node is en we kunnen er configuratie-db back-up van verzamelen.

vManage-3# request nms configuration-db diagnostics  
NMS configuration database 
Checking cluster connectivity for ports 7687,7474 ... 
Pinging vManage  node 0 on 169.254.1.5:7687,7474... 
Starting Nping 0.7.80 ( https://nmap.org/nping ) at 2026-02-18 12:41 UTC 
SENT (0.0013s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (0.0022s) Handshake with 169.254.1.5:7474 completed 
SENT (1.0024s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (1.0028s) Handshake with 169.254.1.5:7687 completed 
SENT (2.0044s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (2.0050s) Handshake with 169.254.1.5:7474 completed 
SENT (3.0064s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (3.0072s) Handshake with 169.254.1.5:7687 completed 
SENT (4.0083s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (4.0091s) Handshake with 169.254.1.5:7474 completed 
SENT (5.0106s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (5.0115s) Handshake with 169.254.1.5:7687 completed 
Max rtt: 0.906ms | Min rtt: 0.392ms | Avg rtt: 0.724ms 
TCP connection attempts: 6 | Successful connections: 6 | Failed: 0 (0.00%) 
Nping done: 1 IP address pinged in 5.01 seconds 
Pinging vManage  node 1 on 169.254.2.5:7687,7474... 
========== SNIP ========== 
Connecting to 10.10.10.3... 
+------------------------------------------------------------------------------------+ 
| type             | row                                  | attributes[row]["value"] | 
+------------------------------------------------------------------------------------+ 
| "StoreSizes"     | "TotalStoreSize"                     | 85828934                 | 
| "PageCache"      | "Flush"                              | 4268666                  | 
| "PageCache"      | "EvictionExceptions"                 | 0                        | 
| "PageCache"      | "UsageRatio"                         | 0.09724264705882353      | 
| "PageCache"      | "Eviction"                           | 2068                     | 
| "PageCache"      | "HitRatio"                           | 1.0                      | 
| "ID Allocations" | "NumberOfRelationshipIdsInUse"       | 2068                     | 
| "ID Allocations" | "NumberOfPropertyIdsInUse"           | 56151                    | 
| "ID Allocations" | "NumberOfNodeIdsInUse"               | 7561                     | 
| "ID Allocations" | "NumberOfRelationshipTypeIdsInUse"   | 31                       | 
| "Transactions"   | "LastCommittedTxId"                  | 214273                   | 
| "Transactions"   | "NumberOfOpenTransactions"           | 1                        | 
| "Transactions"   | "NumberOfOpenedTransactions"         | 441742                   | 
| "Transactions"   | "PeakNumberOfConcurrentTransactions" | 11                       | 
| "Transactions"   | "NumberOfCommittedTransactions"      | 414568                   | 
| "Causal Cluster" | "IsLeader"                           | 1         >>>>>>>>>               | 
| "Causal Cluster" | "MsgProcessDelay"                    | 0                        | 
| "Causal Cluster" | "InFlightCacheTotalBytes"            | 0                        | 
+------------------------------------------------------------------------------------+ 
18 rows 
ready to start consuming query after 388 ms, results consumed after another 13 ms 
Completed 
Connecting to 10.10.10.3... 
Displaying the Neo4j Cluster Status 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| name     | aliases | access       | address            | role       | requestedStatus | currentStatus | error | default | home  | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| "neo4j"  | []      | "read-write" | "169.254.3.5:7687" | "leader"   | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.1.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "system" | []      | "read-write" | "169.254.3.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.1.5:7687" | "leader"   | "online"        | "online"      | ""    | FALSE   | FALSE | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
6 rows 
ready to start consuming query after 256 ms, results consumed after another 3 ms 
Completed 
Total disk space used by configuration-db: 
60M     . 

Gebruik deze opdracht om de configuratie-db-back-up te verzamelen van de geïdentificeerde configuratie-db leader vManage-node.  

 

request nms configuration-db backup path /opt/data/backup/<filename>  

De verwachte output is als volgt: 

vmanage# request nms configuration-db backup path /opt/data/backup/june18th 
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved backup to /opt/data/backup/june18th.tar.gz 
sha256sum: 8d0f5af8aee4e70f05e3858be6bdd5e6c136134ae47c383569ec883080f5d359 
Removing the temp staging dir :/opt/data/backup/staging 
vmanage# 

• Noteer de inloggegevens van de configuratie-db als deze zijn bijgewerkt. 
•  Als u niet op de hoogte bent van de inloggegevens voor configuratie-db, neemt u contact op met TAC om de inloggegevens voor configuratie-db op te halen uit de bestaande vManage-knooppunten.  

•  Standaard configuratie-db referenties zijn gebruikersnaam: neo4j en wachtwoord: wachtwoord 

Configuration-db Backup terugzetten naar een andere vManage-node

Kopieer de configuratie-db back-up naar /home/admin/ directory van vManage met SCP. 

Voorbeeld van uitvoer van scp-opdracht:

XXXXXXXXX Downloads % scp june18th.tar.gz admin@10.66.62.27:/home/admin/ 
viptela 20.15.4.1 

(admin@10.66.62.27) Password: 
(admin@10.66.62.27) Password: 
june18th.tar.gz                                                                                                                                                   0%  255KB  47.2KB/s - stalled -

 

Om de configuratie-db back-up te herstellen, moeten we eerst de configuratie-db referenties configureren. Als uw configuratie-db referenties standaard zijn (neo4j/wachtwoord), kunnen we deze stap overslaan.

Als u configuratie-db-referenties wilt configureren, gebruikt u de opdrachtaanvraag nms-configuratie-db update-admin-gebruiker. Gebruik de gebruikersnaam en het wachtwoord van uw keuze. 

Houd er rekening mee dat de toepassingsserver van vManage opnieuw wordt opgestart. Hierdoor wordt vManage UI korte tijd ontoegankelijk.

vmanage# request nms configuration-db update-admin-user 
configuration-db
Enter current user name:neo4j
Enter current user password:password
Enter new user name:ciscoadmin
Enter new user password:ciscoadmin
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance.
Successfully updated configuration database admin user(this is service node, please repeat same operation on all service/data nodes)
Successfully restarted vManage Device Data Collector
Successfully restarted NMS application server
Successfully restarted NMS data collection agent
vmanage# 

Post die we kunnen overgaan tot het terugzetten van de configuratie-db back-up: 

Met de opdracht request nms configuration-db restore path /home/admin/< > herstellen we de configuratie-db naar het nieuwe vManage:

 

vmanage# request nms configuration-db restore path /home/admin/june18th.tar.gz  
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Successfully backup database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Configuration database is running in a standalone mode 
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance. 
Successfully saved cluster configuration for localhost 
Successfully saved vManage root CA information for device: "53f95156-f56b-472f-b713-d164561b25b7" 
Stopping NMS application server on localhost 
Stopping NMS configuration database on localhost 
Reseting NMS configuration database on localhost 
Loading NMS configuration database on localhost 
Starting NMS configuration database on localhost 
Waiting for 180s or the instance to start... 
NMS configuration database on localhost has started. 
Updating DB with the saved cluster configuration data 
Successfully reinserted cluster meta information 
Successfully reinserted vmanage root ca information 
Starting NMS application server on localhost 
Waiting for 180s for the instance to start... 
Successfully restored database

Zorg ervoor dat de vManage UI toegankelijk is zodra de configuratie-db is hersteld. Wacht ongeveer 5 minuten en probeer vervolgens toegang te krijgen tot de gebruikersinterface. 

Zorg ervoor dat de lijst met Edge-routers, het sjabloon, het beleid en alle andere configuraties die aanwezig waren op uw vorige of bestaande vManage-gebruikersinterface worden weergegeven in de nieuwe vManage-gebruikersinterface zodra u bent aangemeld bij de gebruikersinterface. 

Stap 5: Herauthenticatie van controllers en ongeldigverklaring van oude controllers 

Zodra configuratie-db is hersteld, moeten we alle nieuwe controllers (vmanage/vsmart/vbond) in de structuur opnieuw verifiëren 

   

Klik in vmanage UI op Configuratie > Apparaten > Controllers 

• Klik op de drie stippen bij elke controller en klik op Bewerken 

• Vervang het ip-adres (systeem-ip van de controller) door het transport vpn 0 (tunnel interface) ip-adres .Voer de gebruikersnaam en het wachtwoord in en klik op opslaan 
• Doe hetzelfde voor alle nieuwe controllers in de stof 

Synchroniseer de root-cert-chain 

Als alle controllers aan boord zijn, voert u deze stap uit:

Voer op elke Cisco SD-WAN Manager-server in het nieuw actieve cluster de volgende acties uit:

Voer deze opdracht in om het basiscertificaat te synchroniseren met alle Cisco Catalyst SD-WAN-apparaten in het nieuw actieve cluster:

https://vmanage-url/dataservice/system/device/sync/rootcertchain

Voer deze opdracht in om de Cisco SD-WAN Manager UUID te synchroniseren met de Cisco SD-WAN Validator:

https://vmanage-url/dataservice/certificate/syncvbond

Verwijder de vorige SD-WAN Manager-items

Doe dit direct na de root-cert-chain-synchronisatie en vóór een controllercertificaatbewerking of Verzenden naar Validator.

1. Open Configuratie > Certificaten > Besturingscomponenten (20.9/10.12: Configuratie > Certificaten > Controllers) en Beheer > Clusterbeheer. Elk vManage-item dat niet wordt vermeld in Beheer > Clusterbeheer is een eerdere SD-WAN Manager-item en moet worden verwijderd.
2. Controleer voordat u een actie Verzenden naar validator of Ongeldig maken uitvoert of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC: elke Send to Validator of Invalidate verzendt de controllerlijst en die controller zou zijn controleverbindingen verliezen.
3. Navigeer naar Monitor > Taken en open de meest recente Push vSmart List-taak. Inspecteer alleen de bestaande taakresultaten; klik hier niet op Verzenden naar validator. Als er geen recente taak wordt vermeld, wacht dan op de volgende top-of-hour lijstduw. Bij elke vorige SD-WAN Manager-vermelding moet worden aangegeven dat Vmanage Cluster node voor uuid <uuid>niet is gevonden. Als een vManage-uuid met succes is geduwd, is deze een live lid van dit cluster: maak deze niet ongeldig.
4. Klik op de drie punten aan de rechterkant van de eerste SD-WAN Manager-vermelding en klik op Ongeldig maken. Wacht tot de taak is voltooid. Het verwachte resultaat is Succes met waarschuwing, met deze activiteit:

Invalidating Root Certificate Autority of vManage-<uuid>
Sending serial number of vManage-<uuid> as invalid to all controllers
Failed to push serial list to vManage-<uuid> - retry in 30 seconds; Failed to find Vmanage Cluster node for uuid <uuid>   (x3)
Updated serial list will be sent to vManage-<uuid> when it is reachable
Clearing certificate on vManage-<uuid>
Successfully invalidated vManage-<uuid>

De vermelding toont nu Geen certificaat geïnstalleerd. Het vorige serienummer van SD-WAN Manager en de root-CA worden uit de validators verwijderd.

5. Klik op de drie stippen in hetzelfde item en klik opnieuw op Ongeldig maken. Het wordt onmiddellijk voltooid, zonder een taak, en het item wordt verwijderd.
6. Herhaal stap 4 en 5 voor elke vorige SD-WAN Manager-vermelding.
7. Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden, zonder Mislukte Vmanage Cluster node te vinden.

De oude controllers ongeldig maken

Zodra de structuur is hersteld en de besturings- en BFD-sessies zijn ingesteld voor alle randen en controllers in de structuur, maakt u de oude vBond/Validator- en vSmart/Controller-vermeldingen uit de gebruikersinterface ongeldig:

• Navigeer in vManage UI naar Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Ongeldig maken.
• Klik op Verzenden naar Validator (Verzenden naar vBond in 20.9/10.12). Het moet succes tonen voor elke ontvanger.
• Navigeer naar Configuration > Devices > Control Components (20.9/10.12: Configuration > Devices > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Verwijderen.

Stap 6: Controles achteraf

Combinatie 4: vManage-cluster + handmatige/koude stand-by DR

Wat is Handmatig/Koud Stand-by DR?  De back-up van de SD-WAN Manager-server of het SD-WAN Manager-cluster wordt in de koude stand-by-toestand uitgeschakeld.

Het kan ook ingeschakeld blijven met zijn VPN 0-transportinterface uitgeschakeld. In beide gevallen moet de stand-by geïsoleerd blijven van de verbinding totdat deze wordt geactiveerd en moet de actieve vManage/cluster worden geïsoleerd voordat de transportinterface van de stand-by wordt ingeschakeld.

Er worden regelmatig back-ups van de actieve database gemaakt en als het primaire cluster van SD-WAN Manager of SD-WAN Manager uitvalt, wordt het standby-cluster van SD-WAN Manager of SD-WAN Manager handmatig opgehaald en wordt de back-updatabase teruggezet.

Noodzakelijke instanties:

• 3 of 6 vManage (primair cluster)
• 3 of 6 vManage (DR standby-cluster)
• 1 of meer vBond (verdeeld over primaire en DR-datacenters)
• 1 of meer vSmart (verdeeld over primaire en DR-datacenters)

Stappen:

1. Breng alle instanties aan met behulp van de gemeenschappelijke stappen
2. Vooraf controleren
3. vManage-gebruikersinterface, certificaten en onboard controllers configureren
4. vManage-cluster maken
5. Cold Standby DR-clusterinstelling
6. Back-up/terugzetten configureren-db
7. Herauthenticatie van controllers en ongeldigverklaring van oude controllers
8. De stand-by activeren (en terugvallen)
9. Postcheques

Stap 1: Vooraf controleren

• Zorg ervoor dat het aantal actieve Cisco SD-WAN Manager-instanties identiek is aan het aantal nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties dezelfde softwareversie uitvoeren.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties het IP-adres van het beheer van de Cisco SD-WAN Validator kunnen bereiken.

• Zorg ervoor dat certificaten zijn geïnstalleerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat de klokken op alle Cisco Catalyst SD-WAN-apparaten, inclusief de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, worden gesynchroniseerd.

• Zorg ervoor dat een nieuwe set systeem-IP's en site-ID's is geconfigureerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, samen met dezelfde basisconfiguratie als het actieve cluster.

Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers

De configuraties op de vManage UI bijwerken

• Zodra de configuraties in stap 1 zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit.  
• Configureer de organisatienaam en het Validator/vBond-URL/IP-adres. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

• Controleer de configuraties voor Certificate Authorization (CA), die bepaalt welke certificeringsinstantie wordt gebruikt voor het ondertekenen van de certificaten. We kunnen daar 3 opties zien:

1. Hardware WAN Edge Certificate Authorization - Bepaalt de CA voor hardware SD-WAN Edge-routers.
   • On Box Certificate (TPM/SUDI Certificate) - Met deze optie wordt het vooraf geïnstalleerde certificaat op de routerhardware gebruikt om de Control-verbindingen (TLS/DTLS-verbindingen) tot stand te brengen
   • Enterprise Certificate (ondertekend door Enterprise CA) - Met deze optie gebruiken de routers certificaten die zijn ondertekend door Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt. 

2. Controller Certificate Authorization - Bepaalt de CA voor SD-WAN-controllers.
   • Cisco (aanbevolen) - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. vManage neemt automatisch contact op met het PNP-portaal met behulp van de inloggegevens voor slimme accounts die zijn geconfigureerd op de vManage en laat het certificaat ondertekenen en is geïnstalleerd op de controller.
   • Handmatig - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. Onderteken de CSR handmatig via het Cisco PNP-portaal door te navigeren naar het slimme account en het virtuele account van de respectieve SD-WAN-overlay.
   • Enterprise Root Certificate - Met deze optie gebruiken de routers certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

3. WAN Edge Cloud Certificate Authorisation - Bepaalt de CA voor virtuele SD-WAN Edge-routers (CSR1000v, C8000v, vEdge cloud)
   • Geautomatiseerd (vManage ondertekend) - vManage ondertekent automatisch de CSR voor de virtuele Edge-routers en installeert het certificaat op de router.
   • Handleiding (Enterprise CA - aanbevolen) - Virtuele routers gebruiken certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

Als we onze eigen CA, Enterprise Certificate Authority, gebruiken, kiest u Enterprise. 

 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 
•  Klik op ... voor Manager/vManage en klik op CSR genereren.  

 

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

Onboarding vBond/Validator en vSmart/Controller naar de vManage  

Navigeer naar Configuration > Devices > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 

 Onboarding vBond/Validator

• Klik op vBond toevoegen in het geval van 10.12 vManage of Validator toevoegen in het geval van 20.15/20.18 vManage. Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vBond in dat bereikbaar is via vManage.
• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vBond IP.
• Voer de gebruikersreferenties van vBond in.

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage geüpload naar het PNP-portaal en zodra het certificaat is ondertekend, wordt het automatisch op de vBond geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vBonds zijn, herhaalt u dezelfde stappen. 

Onboarding vSmart/Controller:

• Klik op vSmart toevoegen in geval van 10.12 vManage of Controller toevoegen in geval van 20.15/20.18 vManage.

• Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vSmart in dat bereikbaar is via vManage.

• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vSmart IP.

• Voer de gebruikersreferenties in van vSmart Opmerking die we nodig hebben om beheerdersreferenties van vSmart of een gebruikersonderdeel van de netadmin-groep te gebruiken.

• U kunt dit controleren in de CLI van de vSmart. 

• Stel het protocol in op TLS als we TLS willen gebruiken voor routers om besturingsverbindingen met vSmart tot stand te brengen. Deze configuratie moet ook worden geconfigureerd op de CLI van vSmarts- en vManage-knooppunten.  

• Kies Ja in de vervolgkeuzelijst "CSR genereren" als we een nieuw certificaat voor vSmart moeten installeren.  

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vSmart geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.
• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.
• Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vSmarts zijn, herhaalt u dezelfde stappen.  

Verificatie

Controleer na het voltooien van alle stappen of alle besturingscomponenten bereikbaar zijn in Monitor > Dashboard  

• Klik op de betreffende besturingscomponenten en bevestig dat ze allemaal bereikbaar zijn.  
• Navigeer naar Monitor > Apparaten en controleer of alle besturingscomponenten bereikbaar zijn. 

 

Stap 3: vManage-cluster maken

Onboard SD-WAN-verbinding met vManage-cluster in de SD-WAN-overlay

  

Aan boord van alle SD-WAN-controllers met één vManage-node

Ga verder met de stappen die worden gedeeld in "Onboard SD-WAN-controllers met één vManage-knooppunt in de SD-WAN-overlay" om eerst de SD-WAN-structuur met één vManage-knooppunt en aan boord van alle vereiste Validators (vBond) en Controllers (vSmart) te introduceren.  

 

De CLI-configuraties configureren van alle vManage-knooppunten die deel uitmaken van het cluster

• De rest van de vManage-knooppunten configureren. In het geval van een cluster met 3 knooppunten moet u nog 2 knooppunten configureren, in het geval van een cluster met 6 knooppunten moet u 5 knooppunten configureren.  
•  Systeemconfiguraties configureren zoals weergegeven: 

config t 
system 
 host-name             <hostname> 
 system-ip             <unique system-ip> 
 site-id               <site-id> 
 organization-name     <organization name> 
 vbond <IP address/URL of vBond> 
commit 

Deze configuraties zijn nodig om de transportinterface mogelijk te maken die wordt gebruikt om besturingsverbindingen met de routers en de rest van de controllers tot stand te brengen. 

config t 
vpn 0 
 dns <IP-address> primary 
 dns <IP-address> secondary 
 interface eth1 
  ip address <IP-address/mask> 
  tunnel-interface 
   allow-service all 
   allow-service dhcp 
   allow-service dns 
   allow-service icmp 
   no allow-service sshd 
   no allow-service netconf 
   no allow-service ntp 
   no allow-service stun 
   allow-service https 
  ! 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP> 
commit 

Configureer ook de VPN 512-beheerinterface om out-of-band beheertoegang tot de controller mogelijk te maken. 

Conf t 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 
Commit  

Optionele configuratie:

• U kunt verwijzen naar de configuraties van uw bestaande controller en als de hier vermelde configuratie aanwezig is, kunt u deze configuratie toevoegen aan de nieuwe controllers.
• Configureer het besturingsprotocol alleen als TLS als er een vereiste is voor routers om beveiligde besturingsverbindingen met de vManage-knooppunten met TLS tot stand te brengen. Alle controllers en routers maken standaard een besturingsverbinding met DTLS. Dit is een optionele configuratie die alleen vereist is voor vSmart- en vManage-knooppunten, afhankelijk van uw vereisten.

Conf t 
security 
 control 
  protocol tls 
commit 

Serviceinterface configureren op alle vManage-knooppunten

Configureer de serviceinterface op alle vManage-knooppunten, inclusief vManage-1, die al aan boord is geweest. Deze interface wordt gebruikt voor clustercommunicatie, dat wil zeggen communicatie tussen de vManage-knooppunten in het cluster.

conf t 
 interface eth2 
  ip address <IP-address/mask> 
  no shutdown 
commit 

Zorg ervoor dat hetzelfde IP-subnet wordt gebruikt voor de serviceinterface voor alle knooppunten in het vManage-cluster.  

Clusterreferenties configureren

We kunnen dezelfde beheerdersreferenties van de vManage-nodes gebruiken om het vManage-cluster te configureren. Anders kunnen we een nieuwe gebruikersreferentie configureren die deel uitmaakt van de netadmin-groep. De configuraties voor het configureren van nieuwe gebruikersreferenties worden weergegeven

conf t 
system 
 aaa 
  user <username> 
   password <password> 
   group    netadmin 
commit 

Zorg ervoor dat u dezelfde gebruikersreferenties configureert voor alle vManage-knooppunten die deel uitmaken van het cluster. Als we besluiten om beheerdersreferenties te gebruiken, moet deze dezelfde gebruikersnaam/hetzelfde wachtwoord hebben voor alle vManage-knooppunten.  

Apparaatcertificaat installeren op alle vManage-knooppunten

• Meld u aan bij vManage UI van alle vManage-knooppunten met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectieve vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers  

  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 

• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.

• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.

• Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

• Voltooi deze stap voor alle vManage-knooppunten die deel uitmaken van het cluster.

Voorbereiden op het bouwen van het vManage-cluster

• Ga in de webUI van vManage-1 naar Beheer > Clusterbeheer, klik op ... onder Acties voor vManage-1 en kies Bewerken.  
• De nodepersona wordt automatisch gekozen op basis van de persona die we hebben gekozen terwijl de VM werd gesponnen.  

• Voor een cluster met 6 knooppunten worden 3 vManage-knooppunten met compute+data samengebracht als de persona en 3 vManage-knooppunten met gegevens als de persona. 
• Zorg ervoor dat u in de vervolgkeuzelijst voor het IP-adres van Manager de serviceinterface IP van vManage kiest. 
• Voer de gebruikersnaam en het wachtwoord in die we willen gebruiken om vManage-clusters in te schakelen die clusterreferenties worden genoemd.
• Zoals eerder vermeld, moeten dezelfde referenties worden geconfigureerd op alle vManage-knooppunten en moeten deze worden gebruikt bij het toevoegen van alle knooppunten aan het cluster.  

Optionele configuratie:  

Raadpleeg deze configuratie in uw bestaande cluster om SDAVC in te schakelen - U hoeft alleen te worden gecontroleerd als dit vereist is en alleen op één vManage-node van het cluster nodig is. 

 Klik op Update.  

• Nadat u dit hebt gedaan, worden de vManage NMS-services opnieuw gestart op de achtergrond en is de gebruikersinterface gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar. Gedurende deze periode is CLI-toegang van vManage beschikbaar.  
• Zodra de gebruikersinterface van vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de serviceinterface van IP vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven. Switch-naar-service bereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn. 
• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 20 tot 30 minuten.

Bouw het vManage-cluster

• Navigeer op de webUI van vManage-1 naar Beheer > Clusterbeheer, in het gedeelte Serviceconfiguratie, 
• Klik op Add Manager, er verschijnt een pop-upvenster: 

• Kies de Node persona op basis van de persoonlijke configuraties die zijn uitgevoerd terwijl de vManage – 2 node is gesponnen.  
• Voer de serviceinterface IP van vManage-2 in onder IP-adres van Manager  
• Voer de gebruikersnaam en het wachtwoord in, wat dezelfde referenties zijn als in stap 6.  
• SDAVC inschakelen - Niet aangevinkt omdat we het al op vManage-1 zouden hebben ingeschakeld  
• Klik op Toevoegen.  
• Nadat u dit hebt gedaan, worden de vManage NMS-services op de achtergrond opnieuw opgestart voor vManage 1- en 2-knooppunten. De gebruikersinterface is gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar voor vManage 1 en 2.
• Gedurende deze tijd is CLI-toegang van vManage 1 en 2 beschikbaar.  
• Zodra de gebruikersinterface vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de IP-serviceinterface van zowel de vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.
• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 5 tot 10 minuten.  
• U kunt de status van het clustertoevoegingsproces controleren in de takenlijst die rechtsboven in de gebruikersinterface van vManage beschikbaar is.

• U kunt zoeken naar een actieve takenlijst en als de taak nog steeds wordt vermeld onder de actieve takenlijst, geeft dit aan dat de taak nog niet is voltooid.
• U kunt op de taak klikken om de voortgang van hetzelfde te controleren. Als de taak niet wordt vermeld in de lijst met actieve taken, switch dan naar Voltooid en controleer of de taak met succes is voltooid.  
• Pas nadat deze punten zijn gevalideerd, gaat u verder met de volgende stap. 

Met deze punten moet rekening worden gehouden voordat het volgende knooppunt aan het cluster wordt toegevoegd: 

Controleer deze punten op alle gebruikersinterface's van de vManage-knooppunten die tot nu toe aan het cluster zijn toegevoegd:

• Navigeer naar Monitor > Overzicht van vManage UI en controleer of het aantal vManage-nodes correct wordt weergegeven en bereikbaar is, afhankelijk van het aantal nodes dat aan het cluster is toegevoegd. 

• Navigeer naar Beheer > Clusterbeheer en controleer of de IP-serviceinterface van zowel de vManage wordt weergegeven onder IP-adres, Status configureren gereed is en de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.

• Elke keer dat een knooppunt aan het cluster wordt toegevoegd, worden de NMS-services van alle knooppunten in het cluster opnieuw opgestart, waardoor de gebruikersinterface van al die knooppunten enige tijd onbereikbaar wordt.
• Afhankelijk van het aantal knooppunten in het cluster kan het langer duren voordat de gebruikersinterface opnieuw is ingesteld en alle services bereikbaar zijn.
• U kunt de taak controleren onder Taaklijst die beschikbaar is in de rechterbovenhoek van de gebruikersinterface van vManage. 
• Op de vManage-gebruikersinterface van elk knooppunt dat aan het cluster is toegevoegd, moeten we alle routers, sjablonen en beleidsregels zien als deze beschikbaar zijn in vManage-1.
• Als die configuraties niet aanwezig waren op vManage-1, moeten de vBonds en vSmarts die aan vManage-1 zijn toegevoegd en ook Administration > Settings-configuraties voor Organisatienaam, vBond, Certificate Authorization worden weergegeven op de rest van de vManage-knooppunten die aan het cluster zijn toegevoegd.  
• Herhaal dezelfde stappen voor de overige vManage-knooppunten.  

Stap 4: Cold Standby DR Cluster Setup

Cold Standby DR-clusterinstelling

U kunt nog een vManage-cluster maken met de stappen die worden beschreven in stap 3: vManage-cluster maken. Post die de stappen uitvoert die worden beschreven in Stap 5: Config-db Backup/Restore om de config-db back-up in het Standby-cluster te herstellen.

Stap 5: Back-up/herstel configureren-db 

vManage-configuratie-db-back-up en terugzetbewerking verzamelen op een ander vManage-knooppunt 

Back-up van configuratie-DB verzamelen: 

• In de SD-WAN-structuur die momenteel in gebruik is, kunt u configuratie-db-back-up genereren vanuit vManage-cluster.  
•  Houd er rekening mee dat we alleen configuratie-db-back-ups moeten genereren op één node van het vManage-cluster, de leider van configuratie-db.  

•  Voor zelfstandig vManage is die vManage zelf de leider van de configuratie-db.  
•  Identificeer in het vManage-cluster de hoofdnode van configuratie-db met behulp van de diagnostiek van de opdracht nms-configuratie-db. U kunt deze opdracht uitvoeren op alle knooppunten van het vManage-cluster met drie knooppunten.  
•  In een cluster met 6 knooppunten, moet u deze opdracht uitvoeren op de vManage-knooppunten waar configuratie-db is ingeschakeld om de leader-knooppunt te identificeren.  Navigeer naar Beheer > Clusterbeheer om hetzelfde te controleren: 
• Zoals we in de schermafbeelding zien, hebben de knooppunten die zijn geconfigureerd met persona COMPUTE_AND_DATA configuratie-db.  

U kunt hetzelfde verifiëren met de nms-configuratie-db-status van de opdracht op vManage CLI. De output is zoals getoond

vmanage# request nms configuration-db status 
NMS configuration database 
        Enabled: true 
        Status: running PID:32632 for 1066085s 
        Native metrics status: ENABLED 
        Server-load metrics status: ENABLED 
vmanage# 

• Zodra u de opdracht request nms configuration-db diagnostics op deze knooppunten uitgevoerd, de uitvoer is als volgt: 
• Zoek naar het gemarkeerde veld voor "IsLeader". Als het is ingesteld op 1, geeft dit aan dat node de leader node is en we kunnen er configuratie-db back-up van verzamelen.

vManage-3# request nms configuration-db diagnostics  
NMS configuration database 
Checking cluster connectivity for ports 7687,7474 ... 
Pinging vManage  node 0 on 169.254.1.5:7687,7474... 
Starting Nping 0.7.80 ( https://nmap.org/nping ) at 2026-02-18 12:41 UTC 
SENT (0.0013s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (0.0022s) Handshake with 169.254.1.5:7474 completed 
SENT (1.0024s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (1.0028s) Handshake with 169.254.1.5:7687 completed 
SENT (2.0044s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (2.0050s) Handshake with 169.254.1.5:7474 completed 
SENT (3.0064s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (3.0072s) Handshake with 169.254.1.5:7687 completed 
SENT (4.0083s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (4.0091s) Handshake with 169.254.1.5:7474 completed 
SENT (5.0106s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (5.0115s) Handshake with 169.254.1.5:7687 completed 
Max rtt: 0.906ms | Min rtt: 0.392ms | Avg rtt: 0.724ms 
TCP connection attempts: 6 | Successful connections: 6 | Failed: 0 (0.00%) 
Nping done: 1 IP address pinged in 5.01 seconds 
Pinging vManage  node 1 on 169.254.2.5:7687,7474... 
========== SNIP ========== 
Connecting to 10.10.10.3... 
+------------------------------------------------------------------------------------+ 
| type             | row                                  | attributes[row]["value"] | 
+------------------------------------------------------------------------------------+ 
| "StoreSizes"     | "TotalStoreSize"                     | 85828934                 | 
| "PageCache"      | "Flush"                              | 4268666                  | 
| "PageCache"      | "EvictionExceptions"                 | 0                        | 
| "PageCache"      | "UsageRatio"                         | 0.09724264705882353      | 
| "PageCache"      | "Eviction"                           | 2068                     | 
| "PageCache"      | "HitRatio"                           | 1.0                      | 
| "ID Allocations" | "NumberOfRelationshipIdsInUse"       | 2068                     | 
| "ID Allocations" | "NumberOfPropertyIdsInUse"           | 56151                    | 
| "ID Allocations" | "NumberOfNodeIdsInUse"               | 7561                     | 
| "ID Allocations" | "NumberOfRelationshipTypeIdsInUse"   | 31                       | 
| "Transactions"   | "LastCommittedTxId"                  | 214273                   | 
| "Transactions"   | "NumberOfOpenTransactions"           | 1                        | 
| "Transactions"   | "NumberOfOpenedTransactions"         | 441742                   | 
| "Transactions"   | "PeakNumberOfConcurrentTransactions" | 11                       | 
| "Transactions"   | "NumberOfCommittedTransactions"      | 414568                   | 
| "Causal Cluster" | "IsLeader"                           | 1         >>>>>>>>>               | 
| "Causal Cluster" | "MsgProcessDelay"                    | 0                        | 
| "Causal Cluster" | "InFlightCacheTotalBytes"            | 0                        | 
+------------------------------------------------------------------------------------+ 
18 rows 
ready to start consuming query after 388 ms, results consumed after another 13 ms 
Completed 
Connecting to 10.10.10.3... 
Displaying the Neo4j Cluster Status 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| name     | aliases | access       | address            | role       | requestedStatus | currentStatus | error | default | home  | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| "neo4j"  | []      | "read-write" | "169.254.3.5:7687" | "leader"   | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.1.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "system" | []      | "read-write" | "169.254.3.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.1.5:7687" | "leader"   | "online"        | "online"      | ""    | FALSE   | FALSE | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
6 rows 
ready to start consuming query after 256 ms, results consumed after another 3 ms 
Completed 
Total disk space used by configuration-db: 
60M     . 

Gebruik deze opdracht om de configuratie-db-back-up te verzamelen van de geïdentificeerde configuratie-db leader vManage-node.  

 

request nms configuration-db backup path /opt/data/backup/<filename>  

De verwachte output is als volgt: 

vmanage# request nms configuration-db backup path /opt/data/backup/june18th 
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved backup to /opt/data/backup/june18th.tar.gz 
sha256sum: 8d0f5af8aee4e70f05e3858be6bdd5e6c136134ae47c383569ec883080f5d359 
Removing the temp staging dir :/opt/data/backup/staging 
vmanage# 

• Noteer de inloggegevens van de configuratie-db als deze zijn bijgewerkt. 
•  Als u niet op de hoogte bent van de inloggegevens voor configuratie-db, neemt u contact op met TAC om de inloggegevens voor configuratie-db op te halen uit de bestaande vManage-knooppunten.  
•  Standaard configuratie-db referenties zijn gebruikersnaam: neo4j en wachtwoord: wachtwoord 

• Configuration-db Backup terugzetten naar een andere vManage-node

  Kopieer de configuratie-db back-up naar /home/admin/ directory van vManage met SCP. 

  Voorbeeld van uitvoer van scp-opdracht:

  XXXXXXXXX Downloads % scp june18th.tar.gz admin@10.66.62.27:/home/admin/ 
  viptela 20.15.4.1 
  
  (admin@10.66.62.27) Password: 
  (admin@10.66.62.27) Password: 
  june18th.tar.gz                                                                                                                                                   0%  255KB  47.2KB/s - stalled -

   

  Om de configuratie-db back-up te herstellen, moeten we eerst de configuratie-db referenties configureren. Als uw configuratie-db referenties standaard zijn (neo4j/wachtwoord), kunnen we deze stap overslaan.

  Als u configuratie-db-referenties wilt configureren, gebruikt u de opdrachtaanvraag nms-configuratie-db update-admin-gebruiker. Gebruik de gebruikersnaam en het wachtwoord van uw keuze. 

  Houd er rekening mee dat de toepassingsserver van vManage opnieuw wordt opgestart. Hierdoor wordt vManage UI korte tijd ontoegankelijk.

  vmanage# request nms configuration-db update-admin-user 
  configuration-db
  Enter current user name:neo4j
  Enter current user password:password
  Enter new user name:ciscoadmin
  Enter new user password:ciscoadmin
  WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance.
  Successfully updated configuration database admin user(this is service node, please repeat same operation on all service/data nodes)
  Successfully restarted vManage Device Data Collector
  Successfully restarted NMS application server
  Successfully restarted NMS data collection agent
  vmanage# 

  Post die we kunnen overgaan tot het terugzetten van de configuratie-db back-up: 

  Met de opdracht request nms configuration-db restore path /home/admin/< > herstellen we de configuratie-db naar het nieuwe vManage:

 

vmanage# request nms configuration-db restore path /home/admin/june18th.tar.gz  
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Successfully backup database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Configuration database is running in a standalone mode 
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance. 
Successfully saved cluster configuration for localhost 
Successfully saved vManage root CA information for device: "53f95156-f56b-472f-b713-d164561b25b7" 
Stopping NMS application server on localhost 
Stopping NMS configuration database on localhost 
Reseting NMS configuration database on localhost 
Loading NMS configuration database on localhost 
Starting NMS configuration database on localhost 
Waiting for 180s or the instance to start... 
NMS configuration database on localhost has started. 
Updating DB with the saved cluster configuration data 
Successfully reinserted cluster meta information 
Successfully reinserted vmanage root ca information 
Starting NMS application server on localhost 
Waiting for 180s for the instance to start... 
Successfully restored database

Zorg ervoor dat de vManage UI toegankelijk is zodra de configuratie-db is hersteld. Wacht ongeveer 5 minuten en probeer vervolgens toegang te krijgen tot de gebruikersinterface. 

Zorg ervoor dat de lijst met Edge-routers, het sjabloon, het beleid en alle andere configuraties die aanwezig waren op uw vorige of bestaande vManage-gebruikersinterface worden weergegeven in de nieuwe vManage-gebruikersinterface zodra u bent aangemeld bij de gebruikersinterface. 

Stap 6: Herauthenticatie van controllers en ongeldigverklaring van oude controllers 

Zodra configuratie-db is hersteld, moeten we alle nieuwe controllers (vmanage/vsmart/vbond) in de structuur opnieuw verifiëren 

   

Klik in vmanage UI op Configuratie > Apparaten > Controllers 

• Klik op de drie stippen bij elke controller en klik op Bewerken 

• Vervang het ip-adres (systeem-ip van de controller) door het transport vpn 0 (tunnel interface) ip-adres .Voer de gebruikersnaam en het wachtwoord in en klik op opslaan 
• Doe hetzelfde voor alle nieuwe controllers in de stof 

Synchroniseer de root-cert-chain 

Als alle controllers aan boord zijn, voert u deze stap uit:

Voer op elke Cisco SD-WAN Manager-server in het nieuw actieve cluster de volgende acties uit:

Voer deze opdracht in om het basiscertificaat te synchroniseren met alle Cisco Catalyst SD-WAN-apparaten in het nieuw actieve cluster:

https://vmanage-url/dataservice/system/device/sync/rootcertchain

Voer deze opdracht in om de Cisco SD-WAN Manager UUID te synchroniseren met de Cisco SD-WAN Validator:

https://vmanage-url/dataservice/certificate/syncvbond

Verwijder de vorige SD-WAN Manager-items

Doe dit direct na de root-cert-chain-synchronisatie en vóór een controllercertificaatbewerking of Verzenden naar Validator.

1. Open Configuratie > Certificaten > Besturingscomponenten (20.9/10.12: Configuratie > Certificaten > Controllers) en Beheer > Clusterbeheer. Elk vManage-item dat niet wordt vermeld in Beheer > Clusterbeheer is een eerdere SD-WAN Manager-item en moet worden verwijderd.
2. Controleer voordat u een actie Verzenden naar validator of Ongeldig maken uitvoert of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC: elke Send to Validator of Invalidate verzendt de controllerlijst en die controller zou zijn controleverbindingen verliezen.
3. Navigeer naar Monitor > Taken en open de meest recente Push vSmart List-taak. Inspecteer alleen de bestaande taakresultaten; klik hier niet op Verzenden naar validator. Als er geen recente taak wordt vermeld, wacht dan op de volgende top-of-hour lijstduw. Bij elke vorige SD-WAN Manager-vermelding moet worden aangegeven dat Vmanage Cluster node voor uuid <uuid>niet is gevonden. Als een vManage-uuid met succes is geduwd, is deze een live lid van dit cluster: maak deze niet ongeldig.
4. Klik op de drie punten aan de rechterkant van de eerste SD-WAN Manager-vermelding en klik op Ongeldig maken. Wacht tot de taak is voltooid. Het verwachte resultaat is Succes met waarschuwing, met deze activiteit:

Invalidating Root Certificate Autority of vManage-<uuid>
Sending serial number of vManage-<uuid> as invalid to all controllers
Failed to push serial list to vManage-<uuid> - retry in 30 seconds; Failed to find Vmanage Cluster node for uuid <uuid>   (x3)
Updated serial list will be sent to vManage-<uuid> when it is reachable
Clearing certificate on vManage-<uuid>
Successfully invalidated vManage-<uuid>

De vermelding toont nu Geen certificaat geïnstalleerd. Het vorige serienummer van SD-WAN Manager en de root-CA worden uit de validators verwijderd.

5. Klik op de drie stippen in hetzelfde item en klik opnieuw op Ongeldig maken. Het wordt onmiddellijk voltooid, zonder een taak, en het item wordt verwijderd.
6. Herhaal stap 4 en 5 voor elke vorige SD-WAN Manager-vermelding.
7. Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden, zonder Mislukte Vmanage Cluster node te vinden.

De oude controllers ongeldig maken

Zodra de structuur is hersteld en de besturings- en BFD-sessies zijn ingesteld voor alle randen en controllers in de structuur, maakt u de oude vBond/Validator- en vSmart/Controller-vermeldingen uit de gebruikersinterface ongeldig:

• Navigeer in vManage UI naar Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Ongeldig maken.
• Klik op Verzenden naar Validator (Verzenden naar vBond in 20.9/10.12). Het moet succes tonen voor elke ontvanger.
• Navigeer naar Configuration > Devices > Control Components (20.9/10.12: Configuration > Devices > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Verwijderen.

Stap 7: De stand-by activeren (en terugvallen)

Voltooi deze stap elke keer dat de stand-by actief wordt, en opnieuw in de tegenovergestelde richting bij failback.

1. Maak een configuratie-db-back-up op het actieve vManage/cluster, kopieer deze naar de stand-by en herstel deze zoals beschreven in stap 5: vraag het NMS-configuratie-db-terugzetpad /home/admin/<file>.tar.gz aan. Wacht tot de database is hersteld.
2. Isoleer het voorheen actieve vManage/cluster (sluit de VPN 0-transportinterface af of schakel deze uit).
3. Schakel de VPN 0-transportinterface in op de standby.
4. Controleer controleverbindingen weergeven en controleverbindingsgeschiedenis weergeven op de stand-by. Als de validators het afwijzen met CRTREJSER, staat het serienummer niet meer op de validators (verwacht nadat de vorige SD-WAN Manager-vermeldingen aan de andere kant zijn verwijderd). Om het opnieuw toe te geven:
   • Navigeer in de stand-by naar Configuratie > Apparaten > Onderdelen besturen, klik op de drie stippen op elke vBond/vSmart en klik op Bewerken. Voer het IP-adres, de gebruikersnaam en het wachtwoord van transport VPN 0 in en klik op Opslaan. De vereisten voor de NETCONF / TCP-poort 830 in stap 6 zijn van toepassing.
   • Voordat u op Verzenden naar validator klikt, controleert u of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list op de stand-by. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC.
   • Klik op Verzenden naar validator. De validators en dit vManage-rapport Succes, en de standby-formulieren besturen verbindingen binnen ongeveer een minuut. De push naar de eerder actieve vManage mislukt met Vmanage Cluster node for uuid <uuid>; dit wordt verwacht.
5. Verwijder de eerder actieve vManage-items voordat een certificaatbewerking voor de controller wordt uitgevoerd:
   • In Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers) is elk vManage-item dat niet in Administration > Cluster Management is vermeld, een eerdere SD-WAN Manager-vermelding.
   • Bevestig dat Vmanage Cluster node for uuid <uuid>niet is gevonden in de taak Verzenden naar validator. Als een vManage-uuid met succes is geduwd, is deze een live lid van dit cluster: maak deze niet ongeldig.
   • Klik bij elke vorige SD-WAN Manager-vermelding op de drie punten en klik op Ongeldig maken, en wacht vervolgens op Succes met waarschuwing. Klik nogmaals op Ongeldig maken; de vermelding wordt verwijderd.
   • Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden.
6. Ga verder met de postcheques.

Stap 8: Controles achteraf

Combinatie 5: vManage Cluster + DR ingeschakeld

Noodzakelijke instanties:

• 3 of 6 vManage (primair cluster)
• 3 of 6 vManage (DR standby-cluster)
• 1 of meer vBond (verdeeld over primaire en DR-datacenters)
• 1 of meer vSmart (verdeeld over primaire en DR-datacenters)

Stappen:

1. Breng alle instanties aan met behulp van de gemeenschappelijke stappen
2. Vooraf controleren
3. vManage-gebruikersinterface, certificaten en onboard controllers configureren
4. vManage-cluster maken
5. Cold Standby DR-clusterinstelling
6. Back-up/terugzetten configureren-db
7. Postcheques

Stap 1: Vooraf controleren

• Zorg ervoor dat het aantal actieve Cisco SD-WAN Manager-instanties identiek is aan het aantal nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties dezelfde softwareversie uitvoeren.

• Zorg ervoor dat alle actieve en nieuwe Cisco SD-WAN Manager-instanties het IP-adres van het beheer van de Cisco SD-WAN Validator kunnen bereiken.

• Zorg ervoor dat certificaten zijn geïnstalleerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties.

• Zorg ervoor dat de klokken op alle Cisco Catalyst SD-WAN-apparaten, inclusief de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, worden gesynchroniseerd.

• Zorg ervoor dat een nieuwe set systeem-IP's en site-ID's is geconfigureerd op de nieuw geïnstalleerde Cisco SD-WAN Manager-instanties, samen met dezelfde basisconfiguratie als het actieve cluster.

Stap 2: Configureer vManage UI, Certificaten en Onboard Controllers

De configuraties op de vManage UI bijwerken

• Zodra de configuraties in stap 1 zijn toegevoegd aan de CLI van alle controllers, hebben we toegang tot de webUI van vManage, met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectievelijke vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 
• Navigeer naar Beheer > Instellingen en voer de volgende stappen uit.  
• Configureer de organisatienaam en het Validator/vBond-URL/IP-adres. Configureer dezelfde waarde als in de CLI van de vManage-node.  
• In de sectie Systeem van vManage 20.15/20.18 zijn deze configuraties beschikbaar. 

• Controleer de configuraties voor Certificate Authorization (CA), die bepaalt welke certificeringsinstantie wordt gebruikt voor het ondertekenen van de certificaten. We kunnen daar 3 opties zien:

1. Hardware WAN Edge Certificate Authorization - Bepaalt de CA voor hardware SD-WAN Edge-routers.
   • On Box Certificate (TPM/SUDI Certificate) - Met deze optie wordt het vooraf geïnstalleerde certificaat op de routerhardware gebruikt om de Control-verbindingen (TLS/DTLS-verbindingen) tot stand te brengen
   • Enterprise Certificate (ondertekend door Enterprise CA) - Met deze optie gebruiken de routers certificaten die zijn ondertekend door Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt. 

2. Controller Certificate Authorization - Bepaalt de CA voor SD-WAN-controllers.
   • Cisco (aanbevolen) - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. vManage neemt automatisch contact op met het PNP-portaal met behulp van de inloggegevens voor slimme accounts die zijn geconfigureerd op de vManage en laat het certificaat ondertekenen en is geïnstalleerd op de controller.
   • Handmatig - Controllers gebruiken de certificaten die zijn ondertekend door Cisco PKI. Onderteken de CSR handmatig via het Cisco PNP-portaal door te navigeren naar het slimme account en het virtuele account van de respectieve SD-WAN-overlay.
   • Enterprise Root Certificate - Met deze optie gebruiken de routers certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

3. WAN Edge Cloud Certificate Authorisation - Bepaalt de CA voor virtuele SD-WAN Edge-routers (CSR1000v, C8000v, vEdge cloud)
   • Geautomatiseerd (vManage ondertekend) - vManage ondertekent automatisch de CSR voor de virtuele Edge-routers en installeert het certificaat op de router.
   • Handleiding (Enterprise CA - aanbevolen) - Virtuele routers gebruiken certificaten die zijn ondertekend door de Enterprise Certificate Authority van uw organisatie. Bij het kiezen van deze optie moet het basiscertificaat van Enterprise CA hier worden bijgewerkt.

Als we onze eigen CA, Enterprise Certificate Authority, gebruiken, kiest u Enterprise. 

 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 
•  Klik op ... voor Manager/vManage en klik op CSR genereren.  

 

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

Onboarding vBond/Validator en vSmart/Controller naar de vManage  

Navigeer naar Configuration > Devices > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers 

 Onboarding vBond/Validator

• Klik op vBond toevoegen in het geval van 10.12 vManage of Validator toevoegen in het geval van 20.15/20.18 vManage. Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vBond in dat bereikbaar is via vManage.
• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vBond IP.
• Voer de gebruikersreferenties van vBond in.

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage geüpload naar het PNP-portaal en zodra het certificaat is ondertekend, wordt het automatisch op de vBond geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren. Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat. Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vBonds zijn, herhaalt u dezelfde stappen. 

Onboarding vSmart/Controller:

• Klik op vSmart toevoegen in geval van 10.12 vManage of Controller toevoegen in geval van 20.15/20.18 vManage.

• Er wordt een pop-up geopend. Voer het VPN 0-transport-IP van vSmart in dat bereikbaar is via vManage.

• Controleer de bereikbaarheid met ping indien toegestaan van CLI van vManage naar vSmart IP.

• Voer de gebruikersreferenties in van vSmart Opmerking die we nodig hebben om beheerdersreferenties van vSmart of een gebruikersonderdeel van de netadmin-groep te gebruiken.

• U kunt dit controleren in de CLI van de vSmart. 

• Stel het protocol in op TLS als we TLS willen gebruiken voor routers om besturingsverbindingen met vSmart tot stand te brengen. Deze configuratie moet ook worden geconfigureerd op de CLI van vSmarts- en vManage-knooppunten.  

• Kies Ja in de vervolgkeuzelijst "CSR genereren" als we een nieuw certificaat voor vSmart moeten installeren.  

   

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vSmart geïnstalleerd. 
• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.
• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.
• Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  
• Als er meerdere vSmarts zijn, herhaalt u dezelfde stappen.   

Verificatie

Controleer na het voltooien van alle stappen of alle besturingscomponenten bereikbaar zijn in Monitor > Dashboard  

• Klik op de betreffende besturingscomponenten en bevestig dat ze allemaal bereikbaar zijn.  
• Navigeer naar Monitor > Apparaten en controleer of alle besturingscomponenten bereikbaar zijn. 

 

Stap 3: vManage-cluster maken

Onboard SD-WAN-verbinding met vManage-cluster in de SD-WAN-overlay

  

Aan boord van alle SD-WAN-controllers met één vManage-node

Ga verder met de stappen die worden gedeeld in "Onboard SD-WAN-controllers met één vManage-knooppunt in de SD-WAN-overlay" om eerst de SD-WAN-structuur met één vManage-knooppunt en aan boord van alle vereiste Validators (vBond) en Controllers (vSmart) te introduceren.  

 

De CLI-configuraties configureren van alle vManage-knooppunten die deel uitmaken van het cluster

• De rest van de vManage-knooppunten configureren. In het geval van een cluster met 3 knooppunten moet u nog 2 knooppunten configureren, in het geval van een cluster met 6 knooppunten moet u 5 knooppunten configureren.  
•  Systeemconfiguraties configureren zoals weergegeven: 

config t 
system 
 host-name             <hostname> 
 system-ip             <unique system-ip> 
 site-id               <site-id> 
 organization-name     <organization name> 
 vbond <IP address/URL of vBond> 
commit 

Deze configuraties zijn nodig om de transportinterface mogelijk te maken die wordt gebruikt om besturingsverbindingen met de routers en de rest van de controllers tot stand te brengen. 

config t 
vpn 0 
 dns <IP-address> primary 
 dns <IP-address> secondary 
 interface eth1 
  ip address <IP-address/mask> 
  tunnel-interface 
   allow-service all 
   allow-service dhcp 
   allow-service dns 
   allow-service icmp 
   no allow-service sshd 
   no allow-service netconf 
   no allow-service ntp 
   no allow-service stun 
   allow-service https 
  ! 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP> 
commit 

Configureer ook de VPN 512-beheerinterface om out-of-band beheertoegang tot de controller mogelijk te maken. 

Conf t 
vpn 512 
 interface eth0 
  ip address <IP-address/mask> 
  no shutdown 
 ! 
 ip route 0.0.0.0/0 <default-gateway IP>  
! 
Commit  

Optionele configuratie:

• U kunt verwijzen naar de configuraties van uw bestaande controller en als de hier vermelde configuratie aanwezig is, kunt u deze configuratie toevoegen aan de nieuwe controllers.
• Configureer het besturingsprotocol alleen als TLS als er een vereiste is voor routers om beveiligde besturingsverbindingen met de vManage-knooppunten met TLS tot stand te brengen. Alle controllers en routers maken standaard een besturingsverbinding met DTLS. Dit is een optionele configuratie die alleen vereist is voor vSmart- en vManage-knooppunten, afhankelijk van uw vereisten.

Conf t 
security 
 control 
  protocol tls 
commit 

Serviceinterface configureren op alle vManage-knooppunten

Configureer de serviceinterface op alle vManage-knooppunten, inclusief vManage-1, die al aan boord is geweest. Deze interface wordt gebruikt voor clustercommunicatie, dat wil zeggen communicatie tussen de vManage-knooppunten in het cluster.

conf t 
 interface eth2 
  ip address <IP-address/mask> 
  no shutdown 
commit 

Zorg ervoor dat hetzelfde IP-subnet wordt gebruikt voor de serviceinterface voor alle knooppunten in het vManage-cluster.  

Clusterreferenties configureren

We kunnen dezelfde beheerdersreferenties van de vManage-nodes gebruiken om het vManage-cluster te configureren. Anders kunnen we een nieuwe gebruikersreferentie configureren die deel uitmaakt van de netadmin-groep. De configuraties voor het configureren van nieuwe gebruikersreferenties worden weergegeven

conf t 
system 
 aaa 
  user <username> 
   password <password> 
   group    netadmin 
commit 

Zorg ervoor dat u dezelfde gebruikersreferenties configureert voor alle vManage-knooppunten die deel uitmaken van het cluster. Als we besluiten om beheerdersreferenties te gebruiken, moet deze dezelfde gebruikersnaam/hetzelfde wachtwoord hebben voor alle vManage-knooppunten.  

Apparaatcertificaat installeren op alle vManage-knooppunten

• Meld u aan bij vManage UI van alle vManage-knooppunten met behulp van de URL https://<vmanage-ip> in uw browser. Gebruik het VPN 512 IP-adres van de respectieve vManage-knooppunten. U kunt inloggen met de gebruikersnaam en het wachtwoord van de beheerder. 

• Navigeer naar Configuration > Certificates > Control Components in het geval van 20.15/20.18 vManage-knooppunten. In het geval van 20.9/10.12 versies, Configuratie > Apparaten > Controllers  

  Klik op ... voor Manager/vManage en klik op CSR genereren.  

• Zodra de CSR is gegenereerd, kunt u de CSR downloaden en laten ondertekenen op basis van de certificaatautoriteit die is gekozen voor controllers. U kunt deze configuratie controleren in Beheer > Instellingen > Controllercertificaatautorisatie. Als Cisco (Recommended) is gekozen, wordt de CSR automatisch door vManage naar het PNP-portaal geüpload en zodra het certificaat is ondertekend, wordt het automatisch op de vManage geïnstalleerd. 

• Als Handmatig is gekozen, ondertekent u de CSR handmatig via het Cisco PNP-portaal door naar het slimme account en het virtuele account van de betreffende SD-WAN-overlay te navigeren.

• Zodra het certificaat beschikbaar is via het PNP-portaal, klikt u op Certificaat installeren in hetzelfde gedeelte van vManage en uploadt u het certificaat en installeert u het certificaat.

• Dezelfde procedure is van toepassing als we Digicert en Enterprise Root Certificate gebruiken.  

• Voltooi deze stap voor alle vManage-knooppunten die deel uitmaken van het cluster.

Voorbereiden op het bouwen van het vManage-cluster

• Ga in de webUI van vManage-1 naar Beheer > Clusterbeheer, klik op ... onder Acties voor vManage-1 en kies Bewerken.  
• De nodepersona wordt automatisch gekozen op basis van de persona die we hebben gekozen terwijl de VM werd gesponnen.  

• Zorg ervoor dat u in de vervolgkeuzelijst voor het IP-adres van Manager de serviceinterface IP van vManage kiest.  

• Voer de gebruikersnaam en het wachtwoord in die we willen gebruiken om vManage-clusters in te schakelen die clusterreferenties worden genoemd.
• Zoals eerder vermeld, moeten dezelfde referenties worden geconfigureerd op alle vManage-knooppunten en moeten deze worden gebruikt bij het toevoegen van alle knooppunten aan het cluster.  

Optionele configuratie:  

Raadpleeg deze configuratie in uw bestaande cluster om SDAVC in te schakelen - U hoeft alleen te worden gecontroleerd als dit vereist is en alleen op één vManage-node van het cluster nodig is. 

 Klik op Update.  

• Nadat u dit hebt gedaan, worden de vManage NMS-services opnieuw gestart op de achtergrond en is de gebruikersinterface gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar. Gedurende deze periode is CLI-toegang van vManage beschikbaar.  
• Zodra de gebruikersinterface van vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de serviceinterface van IP vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven. Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn. 
• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 20 tot 30 minuten.

Bouw het vManage-cluster

• Navigeer op de webUI van vManage-1 naar Beheer > Clusterbeheer, in het gedeelte Serviceconfiguratie, 
• Klik op Add Manager, er verschijnt een pop-upvenster: 

• Kies de Node persona op basis van de persoonlijke configuraties die zijn uitgevoerd terwijl de vManage – 2 node is gesponnen.  
• Voer de serviceinterface IP van vManage-2 in onder IP-adres van Manager  
• Voer de gebruikersnaam en het wachtwoord in, wat dezelfde referenties zijn als in stap 6.  
• SDAVC inschakelen - Niet aangevinkt omdat we het al op vManage-1 zouden hebben ingeschakeld  
• Klik op Toevoegen.  
• Nadat u dit hebt gedaan, worden de vManage NMS-services op de achtergrond opnieuw opgestart voor vManage 1- en 2-knooppunten. De gebruikersinterface is gedurende een paar minuten van ongeveer 5 tot 10 minuten niet beschikbaar voor vManage 1 en 2.
• Gedurende deze tijd is CLI-toegang van vManage 1 en 2 beschikbaar.  
• Zodra de gebruikersinterface vManage-1 toegankelijk is om te navigeren naar Beheer > Clusterbeheer, moet u ervoor zorgen dat de IP-serviceinterface van zowel de vManage wordt weergegeven onder het IP-adres, dat de status Configureren gereed is en dat de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.
• Als we zien dat een van de diensten nog niet bereikbaar is, wacht dan even. Meestal duurt het ongeveer 5 tot 10 minuten.  
• U kunt de status van het clustertoevoegingsproces controleren in de takenlijst die rechtsboven in de gebruikersinterface van vManage beschikbaar is.

• U kunt zoeken naar een actieve takenlijst en als de taak nog steeds wordt vermeld onder de actieve takenlijst, geeft dit aan dat de taak nog niet is voltooid.
• U kunt op de taak klikken om de voortgang van hetzelfde te controleren. Als de taak niet wordt vermeld in de lijst met actieve taken, switch dan naar Voltooid en controleer of de taak met succes is voltooid.  
• Pas nadat deze punten zijn gevalideerd, gaat u verder met de volgende stap. 

Met deze punten moet rekening worden gehouden voordat het volgende knooppunt aan het cluster wordt toegevoegd: 

Controleer deze punten op alle gebruikersinterface's van de vManage-knooppunten die tot nu toe aan het cluster zijn toegevoegd:

• Navigeer naar Monitor > Overzicht van vManage UI en controleer of het aantal vManage-nodes correct wordt weergegeven en bereikbaar is, afhankelijk van het aantal nodes dat aan het cluster is toegevoegd. 

• Navigeer naar Beheer > Clusterbeheer en controleer of de IP-serviceinterface van zowel de vManage wordt weergegeven onder IP-adres, Status configureren gereed is en de nodepersona correct wordt weergegeven.
• Switch-naar-servicebereikbaarheid op dezelfde pagina en zorg ervoor dat alle services bereikbaar zijn voor beide vManage-knooppunten.

• Elke keer dat een knooppunt aan het cluster wordt toegevoegd, worden de NMS-services van alle knooppunten in het cluster opnieuw opgestart, waardoor de gebruikersinterface van al die knooppunten enige tijd onbereikbaar wordt.
• Afhankelijk van het aantal knooppunten in het cluster kan het langer duren voordat de gebruikersinterface opnieuw is ingesteld en alle services bereikbaar zijn.
• U kunt de taak controleren onder Taaklijst die beschikbaar is in de rechterbovenhoek van de gebruikersinterface van vManage. 
• Op de vManage-gebruikersinterface van elk knooppunt dat aan het cluster is toegevoegd, moeten we alle routers, sjablonen en beleidsregels zien als deze beschikbaar zijn in vManage-1.
• Als die configuraties niet aanwezig waren op vManage-1, moeten de vBonds en vSmarts die aan vManage-1 zijn toegevoegd en ook Administration > Settings-configuraties voor Organisatienaam, vBond, Certificate Authorization worden weergegeven op de rest van de vManage-knooppunten die aan het cluster zijn toegevoegd.  
• Herhaal dezelfde stappen voor de overige vManage-knooppunten.  

Stap 4: Back-up/herstel configureren-db 

vManage-configuratie-db-back-up en terugzetbewerking verzamelen op een ander vManage-knooppunt 

Bevestig dat er geen replicatie voor Disaster Recovery wordt uitgevoerd. Navigeer naar Beheer > Disaster Recovery en  Zorg ervoor dat de status Succes is en niet in een tijdelijke status zoals In behandeling zijnde importeren, In behandeling zijnde exporteren of In behandeling zijnde downloaden. Als de status niet succesvol is, neem dan contact op met Cisco TAC en zorg ervoor dat de replicatie succesvol is voordat u doorgaat met het pauzeren van het noodherstel. 

Pauzeer eerst het noodherstel en zorg ervoor dat de taak is voltooid. Verwijder het Disaster Recovery-bestand en bevestig dat de taak is voltooid. 

Neem contact op met Cisco TAC om ervoor te zorgen dat Disaster Recovery met succes wordt opgeruimd. 

Back-up van configuratie-DB verzamelen: 

• In de SD-WAN-structuur die momenteel in gebruik is, kunt u configuratie-db-back-up genereren vanuit vManage-cluster.  
•  Houd er rekening mee dat we alleen configuratie-db-back-ups moeten genereren op één node van het vManage-cluster, de leider van configuratie-db.  

•  Voor zelfstandig vManage is die vManage zelf de leider van de configuratie-db.  
•  Identificeer in het vManage-cluster de hoofdnode van configuratie-db met behulp van de diagnostiek van de opdracht nms-configuratie-db. U kunt deze opdracht uitvoeren op alle knooppunten van het vManage-cluster met drie knooppunten.  
•  In een cluster met 6 knooppunten, moet u deze opdracht uitvoeren op de vManage-knooppunten waar configuratie-db is ingeschakeld om de leader-knooppunt te identificeren.  Navigeer naar Beheer > Clusterbeheer om hetzelfde te controleren: 
• Zoals we in de schermafbeelding zien, hebben de knooppunten die zijn geconfigureerd met persona COMPUTE_AND_DATA configuratie-db.  

U kunt hetzelfde verifiëren met de nms-configuratie-db-status van de opdracht op vManage CLI. De output is zoals getoond

vmanage# request nms configuration-db status 
NMS configuration database 
        Enabled: true 
        Status: running PID:32632 for 1066085s 
        Native metrics status: ENABLED 
        Server-load metrics status: ENABLED 
vmanage# 

• Zodra u de opdracht request nms configuration-db diagnostics op deze knooppunten uitgevoerd, de uitvoer is als volgt: 
• Zoek naar het gemarkeerde veld voor "IsLeader". Als het is ingesteld op 1, geeft dit aan dat node de leader node is en we kunnen er configuratie-db back-up van verzamelen.

vManage-3# request nms configuration-db diagnostics  
NMS configuration database 
Checking cluster connectivity for ports 7687,7474 ... 
Pinging vManage  node 0 on 169.254.1.5:7687,7474... 
Starting Nping 0.7.80 ( https://nmap.org/nping ) at 2026-02-18 12:41 UTC 
SENT (0.0013s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (0.0022s) Handshake with 169.254.1.5:7474 completed 
SENT (1.0024s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (1.0028s) Handshake with 169.254.1.5:7687 completed 
SENT (2.0044s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (2.0050s) Handshake with 169.254.1.5:7474 completed 
SENT (3.0064s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (3.0072s) Handshake with 169.254.1.5:7687 completed 
SENT (4.0083s) Starting TCP Handshake > 169.254.1.5:7474 
RCVD (4.0091s) Handshake with 169.254.1.5:7474 completed 
SENT (5.0106s) Starting TCP Handshake > 169.254.1.5:7687 
RCVD (5.0115s) Handshake with 169.254.1.5:7687 completed 
Max rtt: 0.906ms | Min rtt: 0.392ms | Avg rtt: 0.724ms 
TCP connection attempts: 6 | Successful connections: 6 | Failed: 0 (0.00%) 
Nping done: 1 IP address pinged in 5.01 seconds 
Pinging vManage  node 1 on 169.254.2.5:7687,7474... 
========== SNIP ========== 
Connecting to 10.10.10.3... 
+------------------------------------------------------------------------------------+ 
| type             | row                                  | attributes[row]["value"] | 
+------------------------------------------------------------------------------------+ 
| "StoreSizes"     | "TotalStoreSize"                     | 85828934                 | 
| "PageCache"      | "Flush"                              | 4268666                  | 
| "PageCache"      | "EvictionExceptions"                 | 0                        | 
| "PageCache"      | "UsageRatio"                         | 0.09724264705882353      | 
| "PageCache"      | "Eviction"                           | 2068                     | 
| "PageCache"      | "HitRatio"                           | 1.0                      | 
| "ID Allocations" | "NumberOfRelationshipIdsInUse"       | 2068                     | 
| "ID Allocations" | "NumberOfPropertyIdsInUse"           | 56151                    | 
| "ID Allocations" | "NumberOfNodeIdsInUse"               | 7561                     | 
| "ID Allocations" | "NumberOfRelationshipTypeIdsInUse"   | 31                       | 
| "Transactions"   | "LastCommittedTxId"                  | 214273                   | 
| "Transactions"   | "NumberOfOpenTransactions"           | 1                        | 
| "Transactions"   | "NumberOfOpenedTransactions"         | 441742                   | 
| "Transactions"   | "PeakNumberOfConcurrentTransactions" | 11                       | 
| "Transactions"   | "NumberOfCommittedTransactions"      | 414568                   | 
| "Causal Cluster" | "IsLeader"                           | 1         >>>>>>>>>               | 
| "Causal Cluster" | "MsgProcessDelay"                    | 0                        | 
| "Causal Cluster" | "InFlightCacheTotalBytes"            | 0                        | 
+------------------------------------------------------------------------------------+ 
18 rows 
ready to start consuming query after 388 ms, results consumed after another 13 ms 
Completed 
Connecting to 10.10.10.3... 
Displaying the Neo4j Cluster Status 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| name     | aliases | access       | address            | role       | requestedStatus | currentStatus | error | default | home  | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
| "neo4j"  | []      | "read-write" | "169.254.3.5:7687" | "leader"   | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "neo4j"  | []      | "read-write" | "169.254.1.5:7687" | "follower" | "online"        | "online"      | ""    | TRUE    | TRUE  | 
| "system" | []      | "read-write" | "169.254.3.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.2.5:7687" | "follower" | "online"        | "online"      | ""    | FALSE   | FALSE | 
| "system" | []      | "read-write" | "169.254.1.5:7687" | "leader"   | "online"        | "online"      | ""    | FALSE   | FALSE | 
+---------------------------------------------------------------------------------------------------------------------------------+ 
6 rows 
ready to start consuming query after 256 ms, results consumed after another 3 ms 
Completed 
Total disk space used by configuration-db: 
60M     . 

Gebruik deze opdracht om de configuratie-db-back-up te verzamelen van de geïdentificeerde configuratie-db leader vManage-node.  

 

request nms configuration-db backup path /opt/data/backup/<filename>  

De verwachte output is als volgt: 

vmanage# request nms configuration-db backup path /opt/data/backup/june18th 
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved backup to /opt/data/backup/june18th.tar.gz 
sha256sum: 8d0f5af8aee4e70f05e3858be6bdd5e6c136134ae47c383569ec883080f5d359 
Removing the temp staging dir :/opt/data/backup/staging 
vmanage# 

• Noteer de inloggegevens van de configuratie-db als deze zijn bijgewerkt. 
•  Als u niet op de hoogte bent van de inloggegevens voor configuratie-db, neemt u contact op met TAC om de inloggegevens voor configuratie-db op te halen uit de bestaande vManage-knooppunten.  

•  Standaard configuratie-db referenties zijn gebruikersnaam: neo4j en wachtwoord: wachtwoord 

Configuration-db Backup terugzetten naar een andere vManage-node

Kopieer de configuratie-db back-up naar /home/admin/ directory van vManage met SCP. 

Voorbeeld van uitvoer van scp-opdracht:

XXXXXXXXX Downloads % scp june18th.tar.gz admin@10.66.62.27:/home/admin/ 
viptela 20.15.4.1 

(admin@10.66.62.27) Password: 
(admin@10.66.62.27) Password: 
june18th.tar.gz                                                                                                                                                   0%  255KB  47.2KB/s - stalled -

 

Om de configuratie-db back-up te herstellen, moeten we eerst de configuratie-db referenties configureren. Als uw configuratie-db referenties standaard zijn (neo4j/wachtwoord), kunnen we deze stap overslaan.

Als u configuratie-db-referenties wilt configureren, gebruikt u de opdrachtaanvraag nms-configuratie-db update-admin-gebruiker. Gebruik de gebruikersnaam en het wachtwoord van uw keuze. 

Houd er rekening mee dat de toepassingsserver van vManage opnieuw wordt opgestart. Hierdoor wordt vManage UI korte tijd ontoegankelijk.

vmanage# request nms configuration-db update-admin-user 
configuration-db
Enter current user name:neo4j
Enter current user password:password
Enter new user name:ciscoadmin
Enter new user password:ciscoadmin
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance.
Successfully updated configuration database admin user(this is service node, please repeat same operation on all service/data nodes)
Successfully restarted vManage Device Data Collector
Successfully restarted NMS application server
Successfully restarted NMS data collection agent
vmanage# 

Post die we kunnen overgaan tot het terugzetten van de configuratie-db back-up: 

Met de opdracht request nms configuration-db restore path /home/admin/< > herstellen we de configuratie-db naar het nieuwe vManage:

 

vmanage# request nms configuration-db restore path /home/admin/june18th.tar.gz  
Starting backup of configuration-db 
config-db backup logs are available in /var/log/nms/neo4j-backup.log file 
Successfully saved database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Successfully backup database to /opt/data/backup/configdb-local-tmp-20230623-160954.tar.gz 
Configuration database is running in a standalone mode 
WARNING: sun.reflect.Reflection.getCallerClass is not supported. This will impact performance. 
Successfully saved cluster configuration for localhost 
Successfully saved vManage root CA information for device: "53f95156-f56b-472f-b713-d164561b25b7" 
Stopping NMS application server on localhost 
Stopping NMS configuration database on localhost 
Reseting NMS configuration database on localhost 
Loading NMS configuration database on localhost 
Starting NMS configuration database on localhost 
Waiting for 180s or the instance to start... 
NMS configuration database on localhost has started. 
Updating DB with the saved cluster configuration data 
Successfully reinserted cluster meta information 
Successfully reinserted vmanage root ca information 
Starting NMS application server on localhost 
Waiting for 180s for the instance to start... 
Successfully restored database

Zorg ervoor dat de vManage UI toegankelijk is zodra de configuratie-db is hersteld. Wacht ongeveer 5 minuten en probeer vervolgens toegang te krijgen tot de gebruikersinterface. 

Zorg ervoor dat de lijst met Edge-routers, het sjabloon, het beleid en alle andere configuraties die aanwezig waren op uw vorige of bestaande vManage-gebruikersinterface worden weergegeven in de nieuwe vManage-gebruikersinterface zodra u bent aangemeld bij de gebruikersinterface.  

Stap 5: Disaster Recovery inschakelen op een vManage-cluster 

Belangrijke prechecks

Er moeten twee afzonderlijke vManage-clusters met 3 knooppunten worden geconfigureerd en operationeel om door te gaan met noodherstel. Op het actieve cluster moeten validators en controllers aan boord zijn. Als u validators en controllers op de DR-site hebt, moeten deze ook aan boord van het actieve cluster zijn en niet op het DR vManage-cluster. 

Cisco beveelt aan dat aan deze vereisten wordt voldaan voordat Disaster Recovery wordt geregistreerd: 

• Zorg ervoor dat de primaire en de secundaire node bereikbaar zijn via HTTPS op een transport VPN (VPN 0). 

• Zorg ervoor dat Cisco vSmart Controllers en Cisco vBond Orchestrators op de secundaire setup zijn aangesloten op de primaire setup. 

• Zorg ervoor dat de Cisco vManage primaire node en secundaire node dezelfde Cisco vManage-versie hebben. 

• Out-of-band cluster interface (service interface) in VPN 0. 

• Voor elke vManage-instantie in een cluster is een derde interface (clusterlink) vereist, naast de interfaces die worden gebruikt voor VPN 0 (transport) en VPN 512 (beheer). 

• Deze interface wordt gebruikt voor communicatie en synchronisatie tussen de vManage-servers in het cluster. 

• Deze interface moet ten minste 1 Gbps zijn en een latentie van 4 ms of minder hebben. Een 10 Gbps interface wordt aanbevolen. 

• Beide vManage-knooppunten moeten elkaar via deze interface kunnen bereiken: of het nu gaat om een laag 2-segment of om een laag 3-routering. 

• In elke vManage moet deze interface in de GUI worden geconfigureerd als een clusterinterface (Beheer > Clusterbeheer – geef uw eigen out-of-band clusterinterface-IP-adres, -gebruiker en -wachtwoord aan). 

• Als u wilt dat Cisco vManage-knooppunten met elkaar kunnen communiceren via datacenters, schakelt u TCP-poorten 8443 en 830 in op uw datacenterfirewalls. 

• Zorg ervoor dat alle services (application-server, configuration-db, messaging server, coordination server en statistics-db) zijn ingeschakeld op beide Cisco vManage-nodes. 

• Verspreid alle controllers, inclusief Cisco vBond Orchestrators, over zowel primaire als secundaire datacenters. Zorg ervoor dat deze controllers bereikbaar zijn via Cisco vManage-knooppunten die over deze datacenters zijn verspreid. De controllers maken alleen verbinding met de primaire Cisco vManage-node. 

• Zorg ervoor dat er geen andere bewerkingen worden uitgevoerd in de actieve (primaire) en de stand-by (secundaire) Cisco vManage-node. Zorg er bijvoorbeeld voor dat er geen servers bezig zijn met het upgraden of koppelen van sjablonen aan apparaten. 

• Schakel de Cisco vManage HTTP/HTTPS-proxyserver uit als deze is ingeschakeld. Zie HTTP/HTTPS-proxyserver voor Cisco vManage-communicatie met externe servers. Als u de proxyserver niet uitschakelt, probeert Cisco vManage noodherstelcommunicatie tot stand te brengen via het proxy-IP-adres, zelfs als Cisco vManage out-of-band cluster IP-adressen direct bereikbaar zijn. U kunt de Cisco vManage HTTP/HTTPS-proxyserver opnieuw inschakelen nadat de registratie voor noodherstel is voltooid. 

• Voordat u het registratieproces voor noodherstel start, gaat u naar het venster Extra > Netwerk herontdekken op de primaire Cisco vManage-node en herontdekt u de Cisco vBond Orchestrators. 

Configuraties

Raadpleeg deze link voor meer informatie over vManage Disaster Recovery. 

De twee afzonderlijke clusters met drie knooppunten zijn al gemaakt, ervan uitgaande dat elke SD-WAN-manager een minimale configuratie heeft en dat het certificeringsgedeelte is voltooid. 

Navigeer naar Beheer > Clusterbeheer op beide clusters en controleer of alle knooppunten in de status Ready zijn. 

 

DC vManage 

 

DR vmanager 

Navigeer naar Beheer>Noodherstel van primair vManage-cluster. Klik op Disaster Recovery beheren. 

 

Vul in het pop-upvenster de gegevens voor zowel primair als secundair vManage in.  

De aan te geven IP-adressen zijn de out-of-band clusterinterfaces en IP-adressen.  Gebruik bij voorkeur het IP-adres van VPN 0-serviceinterface van vManage-1 in elk van de clusters.

De referenties moeten die van een netadmin-gebruiker zijn en ze mogen niet worden gewijzigd zodra de DR is geconfigureerd, tenzij deze wordt verwijderd.  Er kan een afzonderlijke vManage-gebruikersreferentie voor Disaster Recovery worden gebruikt. We moeten ervoor zorgen dat de lokale vManage-gebruiker deel uitmaakt van de netadmin-groep. Zelfs admin credential kan hier worden gebruikt. 

 

Klik na het invullen op Volgende. 

• Vul de gegevens van de vBond-controllers in. 

De vBond-controllers moeten bereikbaar zijn in het opgegeven IP-adres via Netconf. 

 

Klik na het invullen op Volgende. 

• Kies in de herstelmodus Handmatig. De automatiseringsmodus is verouderd. Klik op Next (Volgende). 

 

 

Stel de waarde in en klik op Opslaan. 

 

 

• De DR-registratie begint nu. Klik op de knop Vernieuwen om de status en de voortgangslogboeken handmatig te vernieuwen. Dit proces kan tot 20-30 minuten duren. 

 

 

Verificatie

 

Navigeer naar Beheer>Disaster Recovery om de Disaster Recovery-status te zien en wanneer de gegevens de laatste keer zijn gerepliceerd. 

 

 

Stap 6: Herauthenticatie van controllers en ongeldigverklaring van oude controllers 

Zodra configuratie-db is hersteld, moeten we alle nieuwe controllers (vmanage/vsmart/vbond) in de structuur opnieuw verifiëren 

   

Klik in vmanage UI op Configuratie > Apparaten > Controllers 

• Klik op de drie stippen bij elke controller en klik op Bewerken 

• Vervang het ip-adres (systeem-ip van de controller) door het transport vpn 0 (tunnel interface) ip-adres .Voer de gebruikersnaam en het wachtwoord in en klik op opslaan 
• Doe hetzelfde voor alle nieuwe controllers in de stof 

Synchroniseer de root-cert-chain 

Als alle controllers aan boord zijn, voert u deze stap uit:

Voer op elke Cisco SD-WAN Manager-server in het nieuw actieve cluster de volgende acties uit:

Voer deze opdracht in om het basiscertificaat te synchroniseren met alle Cisco Catalyst SD-WAN-apparaten in het nieuw actieve cluster:

https://vmanage-url/dataservice/system/device/sync/rootcertchain

Voer deze opdracht in om de Cisco SD-WAN Manager UUID te synchroniseren met de Cisco SD-WAN Validator:

https://vmanage-url/dataservice/certificate/syncvbond

Verwijder de vorige SD-WAN Manager-items

Doe dit direct na de root-cert-chain-synchronisatie en vóór een controllercertificaatbewerking of Verzenden naar Validator.

1. Open Configuratie > Certificaten > Besturingscomponenten (20.9/10.12: Configuratie > Certificaten > Controllers) en Beheer > Clusterbeheer. Elk vManage-item dat niet wordt vermeld in Beheer > Clusterbeheer is een eerdere SD-WAN Manager-item en moet worden verwijderd. Maak de vManage-nodes van het cluster Disaster Recovery (secundair) die worden weergegeven in Beheer > Disaster Recovery niet ongeldig. Hier worden alleen vManage-items uit de bron van de back-up van configuratie-db verwijderd.
2. Controleer voordat u een actie Verzenden naar validator of Ongeldig maken uitvoert of er een tegenstrijdig serienummerrecord is. Blader naar https://<vmanage-url>/dataservice/certificate/vsmart/list. Geen enkele vermelding kan een oud serienummer hebben waarvan het serienummer gelijk is aan zijn eigen serienummer. Deze controle is alleen-lezen. Als een dergelijke vermelding bestaat, stop en neem contact op met Cisco TAC: elke Send to Validator of Invalidate verzendt de controllerlijst en die controller zou zijn controleverbindingen verliezen.
3. Navigeer naar Monitor > Taken en open de meest recente Push vSmart List-taak. Inspecteer alleen de bestaande taakresultaten; klik hier niet op Verzenden naar validator. Als er geen recente taak wordt vermeld, wacht dan op de volgende top-of-hour lijstduw. Bij elke vorige SD-WAN Manager-vermelding moet worden aangegeven dat Vmanage Cluster node voor uuid <uuid>niet is gevonden. Als een vManage-uuid met succes is geduwd, is deze een live lid van dit cluster: maak deze niet ongeldig.
4. Klik op de drie punten aan de rechterkant van de eerste SD-WAN Manager-vermelding en klik op Ongeldig maken. Wacht tot de taak is voltooid. Het verwachte resultaat is Succes met waarschuwing, met deze activiteit:

Invalidating Root Certificate Autority of vManage-<uuid>
Sending serial number of vManage-<uuid> as invalid to all controllers
Failed to push serial list to vManage-<uuid> - retry in 30 seconds; Failed to find Vmanage Cluster node for uuid <uuid>   (x3)
Updated serial list will be sent to vManage-<uuid> when it is reachable
Clearing certificate on vManage-<uuid>
Successfully invalidated vManage-<uuid>

De vermelding toont nu Geen certificaat geïnstalleerd. Het vorige serienummer van SD-WAN Manager en de root-CA worden uit de validators verwijderd.

5. Klik op de drie stippen in hetzelfde item en klik opnieuw op Ongeldig maken. Het wordt onmiddellijk voltooid, zonder een taak, en het item wordt verwijderd.
6. Herhaal stap 4 en 5 voor elke vorige SD-WAN Manager-vermelding.
7. Klik op Verzenden naar validator. Het verwachte resultaat is Succes voor elke ontvanger binnen een paar seconden, zonder Mislukte Vmanage Cluster node te vinden.

De oude controllers ongeldig maken

Zodra de structuur is hersteld en de besturings- en BFD-sessies zijn ingesteld voor alle randen en controllers in de structuur, maakt u de oude vBond/Validator- en vSmart/Controller-vermeldingen uit de gebruikersinterface ongeldig:

• Navigeer in vManage UI naar Configuration > Certificates > Control Components (20.9/10.12: Configuration > Certificates > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Ongeldig maken.
• Klik op Verzenden naar Validator (Verzenden naar vBond in 20.9/10.12). Het moet succes tonen voor elke ontvanger.
• Navigeer naar Configuration > Devices > Control Components (20.9/10.12: Configuration > Devices > Controllers).
• Klik op de drie puntjes aan de rechterkant van de oude vBond/vSmart en klik op Verwijderen.

Postcheques

Deze controles achteraf zijn van toepassing op alle implementatiecombinaties.

Cloud Edge-routers opnieuw activeren:

• Als C8000v deel uitmaakt van de overlay en vmanaged ondertekend, moeten ze opnieuw worden geverifieerd, dat wil zeggen:

request platform software sdwan vedge_cloud activate chassis-number <chassis-number >  token <token number>

• Controleverbindingen bevestigen en BFD-sessies worden geopend
• Bevestig dat het toepassingsverkeer van begin tot eind loopt 
• Als er wijzigingen zijn aangebracht in de port-hop voordat de stof aan de randen opnieuw wordt opgebouwd, moeten deze worden teruggezet 

• Controleer of de objecten er zoals verwacht uitzien:

  • Sjablonen

  • Beleid

  • Apparaatpagina (beide tabbladen) WAN vEdge-lijst en controllers

  vManage-controles achteraf

• Toepasbaar voor vManage-knooppunten: 

  Configuration-DB(Neo4j)-controles:

  Voer de opdracht "request nms configuration-db diagnostics" uit op alle vManage-knooppunten:

  1. Controleer op Node online en Leadership status: (niet beschikbaar voor alle versies)

      "Neo4j" moet 3 nodes online en 1 leider en 2 volgers tonen. "systeem" moet ook 3 nodes online en 1 leider en 2 volgers weergeven, maar omdat dit niet de standaard Db is, is de standaardvlag vals. Als er minder dan 3 ingangen in elk neo4j-systeem zijn, betekent dit dat de node uit het cluster is gevallen. Neem contact op met Cisco TAC om hetzelfde probleem op te lossen.

2. Controleer of een knooppunt "quarantaine" is.

Geen van de knooppunten mag in quarantaine staan. 

3. De validatie van het schema moet "succesvol" zijn.

4. Verzamel een configuratie-db back-up met de opdracht "request nms configuration-db diagnostics" en controleer of deze succesvol is. 

Als er inconsistenties of fouten worden gezien, neem dan contact op met Cisco TAC voor het oplossen van problemen.

Als alternatief kunnen we deze API-aanroepen uitvoeren om de status van de vmanage-node voor een cluster te bevestigen ( voor alle COMPUTE+DATA-nodes) - werkt alleen op versie 10.12 en hoger

go to vshell of the vmanage node ( to be done on all vmanages)
===============================================================
curl -u <config-db username>:<config-db password>  -H "Content-Type: application/json"   -d '{"statements":[{"statement":"call dbms.cluster.overview"}]}'   http://<cluster OOB ip>:7474/db/neo4j/tx/commit | jq -r

curl -u <config-db username>:<config-db password>  -H "Content-Type: application/json"   -d '{"statements":[{"statement":"show databases"}]}'   http://<cluster OOB ip>:7474/db/neo4j/tx/commit | jq -r

Zorg ervoor dat in een cluster slechts één leider is voor zowel neo4j als systeem en rust als volgers .Zorg ervoor dat alle knooppunten online zijn .Als u 3 knooppuntclusters hebt ( alle drie zijn COMPUTE + DATA), moet er slechts één leider zijn voor zowel neo4j als systeem .Elke afwijking . U moet contact opnemen met TAC

5. Controleer in /var/log/kern.log op eventuele Disk, Mem, IO fouten. Dit moet worden gecontroleerd op alle vManage-knooppunten.

6.Controleer de stap wanneer u een nieuw cluster voor vmanage vormt dat geen CC tussen elke node heeft
Voer ssh uit als vmanage-admin van knooppunt 1 naar andere knooppunten, cluster-ip en vice versa, om te controleren of de openbare sleutel is uitgewisseld en het wachtwoord minder ssh werkt [Toestemmingstoken is vereist voor de hier weergegeven stappen]

DR-vManage-1:~# ssh -i /etc/viptela/.ssh/id_dsa -p 830 vmanage-admin@<ClusterIP>
The authenticity of host '[192.168.50.5]:830 ([192.168.50.5]:830)' can't be established.
ECDSA key fingerprint is SHA256:rSpscoYCVC+yifUMHVTlxtjqmyrZSFg93msFdoSUieQ.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[192.168.50.5]:830' (ECDSA) to the list of known hosts.
viptela 20.9.3.0.31

Password:

Als de uitvoer vraagt om het wachtwoord in te voeren, neemt u contact op met de TAC

Controller Post-controles:

Van toepassing op alle SD-WAN-controllers (vBond, vManage, vSmart):

Voer de opdrachten uit op alle controllers in de overlay en bevestig dat de vManage UUID en serienummers die worden weergegeven, geldig zijn voor de huidige structuur:

vBond-opdrachten:

Orchestrator Valid-vSmarts weergeven

Orchestrator valid-vManage-ID weergeven 

vManage/vSmart-opdrachten:

Besturingselement Valid-vSmarts weergeven

Besturingselement valid-vManage-ID weergeven 

Houd er rekening mee dat de uitvoer van show control-valide vsmarts de serienummers van zowel vSmarts als vManage-knooppunten bevat.

Vergelijk het met die in vManage UI. Navigeer naar sectie Configuratie > Certificaten > Controllers. 

Bevestig ook:

• Configuratie > Certificaten > Controlecomponenten vermeldt onder de vManage-items alleen de vManage-knooppunten in Beheer > Clusterbeheer. Elke andere vManage-vermelding is een eerdere SD-WAN Manager-vermelding die wordt overgedragen door het terugzetten van de configuratie-db en moet worden verwijderd zoals beschreven in de stap Herverificatie van controllers en ongeldigverklaring van oude controllers van uw combinatie.
• https://<vmanage-url>/dataservice/certificate/vsmart/list heeft geen vermelding waarvan het oude serienummer gelijk is aan het serienummer. Als er een is, neem dan contact op met Cisco TAC voordat u op Verzenden naar Validator klikt.
• Verzenden naar Validator wordt binnen enkele seconden voltooid met Succes voor elke geadresseerde en er is geen fout opgetreden bij het vinden van de Vmanage-clusternode.
• Na de volgende top-of-hour push-lijst, toont de Push vSmart List-taak in Monitor > Taken Succes voor elke ontvanger.

Als er nog meer vermeldingen worden weergegeven voor het UUID/serienummer die momenteel niet op de verbinding zijn geïnstalleerd, neemt u contact op met Cisco TAC.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	04-Nov-2026	Richtlijnen voor het ongeldig maken van de oude vmanager-vermeldingen die zijn toegevoegd
1.0	25-Feb-2026	Eerste vrijgave