Configure o redirecionamento de tráfego para SIG com política de dados: Fallback para roteamento
Contents
Introdução
Este documento descreve como configurar uma política de dados para permitir que o tráfego volte para o roteamento quando os túneis SIG falharem.
Pré-requisitos
Requisitos
A Cisco recomenda que você tenha conhecimento da solução Cisco Software Defined Wide Area Network (SDWAN).
Antes de aplicar uma política de dados para redirecionamento de tráfego de aplicação para um SIG, você deve configurar túneis SIG.
Componentes Utilizados
A política neste artigo foi testada na versão de software 20.9.1 e no Cisco IOS-XE 17.9.1.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Background
Com esse recurso, você pode configurar o tráfego vinculado à Internet para ser roteado através da sobreposição de SD-WAN da Cisco, como um mecanismo de retorno, quando todos os túneis SIG estiverem inoperantes.
Esse recurso é apresentado no Cisco IOS XE versão 17.8.1a e no Cisco vManage versão 20.8.1
Definição do problema
Antes da versão 20.8, a ação SIG na política de dados é estrita por padrão. Se os túneis SIG estiverem inoperantes, o tráfego será descartado.
Arquitetura de software
Você pode ter uma opção adicional para optar por não ser estrito e retornar ao roteamento para enviar tráfego pela sobreposição.
O roteamento pode levar à sobreposição ou a outros caminhos de encaminhamento, como o NAT-DIA.
Em resumo, o comportamento esperado é o seguinte:
- Você tem a opção de escolher a ação SIG para ser o padrão strict ou fallback-to-routing.
- O comportamento padrão é strict. Se os túneis SIG estiverem inoperantes, o tráfego será descartado.
- Se fallback-to-routing estiver habilitado,
- Se os túneis SIG estiverem ATIVADOS, o tráfego será enviado através do SIG.
- Se os túneis SIG estiverem INATIVOS, o tráfego NÃO será descartado. O tráfego passa por roteamento normal.
- Se o túnel SIG se tornar UP, somente novos fluxos serão enviados pelo SIG. Quaisquer fluxos atuais não seriam submetidos à ação SIG.
- Se o túnel SIG se tornar INATIVO, todo o tráfego passará por roteamento, tanto os fluxos atuais quanto os novos fluxos.
Configuração
Política vSmart
Política de dados
vSmart-1# show running-config policy policy data-policy _VPN10_sig-default-fallback-to-routing vpn-list VPN10 sequence 1 match source-data-prefix-list Default ! action accept count Count_26488854sigsig-action fallback-to-routing! ! default-action drop ! ! lists vpn-list VPN10 vpn 10 ! data-prefix-list Default ip-prefix 0.0.0.0/0 ! site-list Site300 site-id 300 ! ! !
Aplicar política
vSmart-1# show running-config apply-policy
apply-policy
site-list Site300
data-policy _VPN10_sig-default-fallback-to-routing all
!
!
Quando o Policy Builder for the vSmart Policy for usado, marque a caixa de seleção Fallback to Routing para rotear o tráfego vinculado à Internet através da sobreposição Cisco SD-WAN quando todos os túneis SIG estiverem inoperantes.
Quando a ação Fallback to Routing é selecionada na interface do usuário, fallback-to-routing e sig-action são adicionados à configuração sob a ação aceitar.
Verificar no cEdge
Política
Site300-cE1#show sdwan policy from-vsmart
from-vsmart data-policy _VPN10_sig-default-fallback-to-routing
direction all
vpn-list VPN10
sequence 1
match
source-data-prefix-list Default
action accept
count Count_26488854
sig
sig-action fallback-to-routing
default-action drop
from-vsmart lists vpn-list VPN10
vpn 10
from-vsmart lists data-prefix-list Default
ip-prefix 0.0.0.0/0Confirmar
Confirme se o tráfego está sendo roteado com o uso do ping.
Site300-cE1# ping vrf 10 8.8.8.8
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 5/6/9 ms
Site300-cE1#Você pode verificar o caminho que se espera que o tráfego siga com o comando show sdwan policy service-path.
Site300-cE1# show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol 6 all
Number of possible next hops: 1
Next Hop: Remote
Remote IP: 0.0.0.0, Interface Index: 29
Site300-cE1# show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol 17 all
Number of possible next hops: 1
Next Hop: Remote
Remote IP: 0.0.0.0, Interface Index: 29
Verificar contadores de política de dados
Primeiro, limpe os contadores com o comando clear sdwan policy data-policy para iniciar em 0. Você pode verificar se o contador estava com o comando show sdwan policy data-policy-filter.
Site300-cE1#clear sdwan policy data-policy
Site300-cE1#show sdwan policy data-policy-filter _VPN10_sig-default-fallback-to-routing
data-policy-filter _VPN10_sig-default-fallback-to-routing
data-policy-vpnlist VPN10
data-policy-counter Count_26488854
packets 0
bytes 0
data-policy-counter default_action_count
packets 0
bytes 0
Use o ping para enviar alguns pacotes que espera rotear através do túnel SIG.
Site300-cE1# ping vrf 10 8.8.8.8
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 5/7/11 ms
Site300-cE1#Verifique se os pacotes ICMP atingem sua sequência de política de dados com o comando show sdwan policy data-policy-filter.
Site300-cE1#show sdwan policy data-policy-filter _VPN10_sig-default-fallback-to-routing
data-policy-filter _VPN10_sig-default-fallback-to-routing
data-policy-vpnlist VPN10
data-policy-counter Count_26488854
packets 5
bytes 500
data-policy-counter default_action_count
packets 0
bytes 0
Rastreamento de pacotes
Configure um rastreamento de pacote para entender o que acontece com os pacotes com o roteador.
Site300-cE1#show platform packet-trace summary
Pkt Input Output State Reason
12 INJ.2 Gi1 FWD
13 Tu100001 internal0/0/rp:0 PUNT 11 (For-us data)
14 INJ.2 Gi1 FWD
15 Tu100001 internal0/0/rp:0 PUNT 11 (For-us data)
16 INJ.2 Gi1 FWD
17 Tu100001 internal0/0/rp:0 PUNT 11 (For-us data)
18 INJ.2 Gi1 FWD
19 Tu100001 internal0/0/rp:0 PUNT 11 (For-us data)
20 INJ.2 Gi1 FWD
21 Tu100001 internal0/0/rp:0 PUNT 11 (For-us data)
Pacote 12
Um trecho do pacote 12 mostra a sequência de acerto de tráfego 1 na política de dados e é redirecionado para SIG.
Feature: SDWAN Data Policy IN
VPN ID : 10
VRF : 1
Policy Name : sig-default-fallback-VPN10 (CG:1)
Seq : 1
DNS Flags : (0x0) NONE
Policy Flags : 0x10110000
Nat Map ID : 0
SNG ID : 0
Action : REDIRECT_SIG Success 0x3
Action : SECONDARY_LOOKUP Success
A pesquisa de entrada para a interface de saída mostra a interface de túnel (lógica).
Feature: IPV4_INPUT_LOOKUP_PROCESS_EXT
Entry : Input - 0x81418130
Input : internal0/0/rp:0
Output : Tunnel100001
Lapsed time : 446 ns
Após a Criptografia IPSec, a interface de entrada é preenchida.
Feature: IPSec
Result : IPSEC_RESULT_SA
Action : ENCRYPT
SA Handle : 42
Peer Addr : 8.8.8.8
Local Addr: 10.30.1.1
Feature: IPV4_OUTPUT_IPSEC_CLASSIFY
Entry : Output - 0x81417b48
Input : GigabitEthernet1
Output : Tunnel100001
Lapsed time : 4419 ns
O roteador executa várias outras ações e, em seguida, transmite o pacote pela interface GigabitEthernet1.
Feature: MARMOT_SPA_D_TRANSMIT_PKT
Entry : Output - 0x8142f02c
Input : GigabitEthernet1
Output : GigabitEthernet1
Lapsed time : 2223 ns
Pacote 13
O roteador recebe a resposta do IP remoto (8.8.8.8), mas não tem certeza de quem deve enviá-la, conforme indicado por Output: <unknown> na saída.
Feature: IPV4(Input)
Input : Tunnel100001
Output : <unknown>
Source : 8.8.8.8
Destination : 10.30.1.1
Protocol : 1 (ICMP)
Feature: DEBUG_COND_INPUT_PKT
Entry : Input - 0x813eb360
Input : Tunnel100001
Output : <unknown>
Lapsed time : 109 ns
Como o pacote é gerado internamente, ele é consumido pelo roteador e a Saída é mostrada como <internal0/0/rp:0>.
Feature: INTERNAL_TRANSMIT_PKT_EXT
Entry : Output - 0x813ebe6c
Input : Tunnel100001
Output : internal0/0/rp:0
Lapsed time : 5785 ns
Depois disso, o pacote é apontado para o processo Cisco IOSd, que registra as ações tomadas no pacote. O endereço ip da interface local no VRF 10 é 10.30.1.1.
IOSd Path Flow: Packet: 13 CBUG ID: 79
Feature: INFRA
Pkt Direction: IN
Packet Rcvd From DATAPLANE
Feature: IP
Pkt Direction: IN
Packet Enqueued in IP layer
Source : 8.8.8.8
Destination : 10.30.1.1
Interface : Tunnel100001
Feature: IP
Pkt Direction: IN
FORWARDED To transport layer
Source : 8.8.8.8
Destination : 10.30.1.1
Interface : Tunnel100001
Feature: IP
Pkt Direction: IN
CONSUMED Echo reply
Source : 8.8.8.8
Destination : 10.30.1.1
Interface : Tunnel100001
Verificar Fallback-to-Routing
Você pode simular o failover com um desligamento administrativo na Interface de Transporte (TLOC) (GigabitEthernet1), que é Biz-Internet. Ele tem a conexão com a Internet.
GigabitEthernet2 - MPLS TLOC é UP/UP, mas não tem conexão com a Internet. O status do controle pode ser visto na saída show sdwan control local-properties wan-interface-list.
Site300-cE1#show sdwancontrollocal-properties wan-interface-list
PUBLIC PUBLIC PRIVATE PRIVATE PRIVATE MAX RESTRICT/ LAST SPI TIME NAT VM
INTERFACE IPv4 PORT IPv4 IPv6 PORT VS/VM COLOR STATE CNTRL CONTROL/ LR/LB CONNECTION REMAINING TYPE CON REG
STUN PRF ID
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
GigabitEthernet1 10.2.6.2 12346 10.2.6.2 :: 12346 0/0 biz-internet down 2 yes/yes/no No/No 0:19:51:05 0:10:31:41 N 5 Default
GigabitEthernet2 10.1.6.2 12346 10.1.6.2 :: 12346 2/1 mpls up 2 yes/yes/no No/No 0:23:41:33 0:06:04:21 E 5 Default
Na saída show ip interface brief, a interface GigabitEthernet1 mostra inoperante administrativamente.
Site300-cE1#show ip interface brief
Interface IP-Address OK? Method Status Protocol
GigabitEthernet1 10.2.6.2 YES other administratively down down
GigabitEthernet2 10.1.6.2 YES other up upO 100001 do túnel está em um estado UP/DOWN.
Tunnel100001 10.2.6.2 YES TFTP up downNão há conexão com a Internet agora, portanto, o alcance do 8.8.8.8 falha no VRF 10.
Site300-cE1# ping vrf 10 8.8.8.8
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
U.U.U
Success rate is 0 percent (0/5)O comando show sdwan policy service-path mostra que se espera que a rota padrão OMP (fallback-to-routing) vá para o DC (data center).
O endereço IP TLOC MPLS do roteador local é 10.1.6.2.
Site300-cE1#show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol 6 all
Number of possible next hops: 1
Next Hop: IPsec
Source: 10.1.6.2 12346 Destination: 10.1.2.2 12366 Local Color: mpls Remote Color: mpls Remote System IP: 10.1.10.1
Site300-cE1#show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol 17 all
Number of possible next hops: 1
Next Hop: IPsec
Source: 10.1.6.2 12346 Destination: 10.1.2.2 12366 Local Color: mpls Remote Color: mpls Remote System IP: 10.1.10.1
No portal Umbrella
Exemplo de política de dados de produção
Um exemplo típico de política de dados de produção.
data-policy _VPN10_SIG_Fall_Back
vpn-list VPN10
sequence 1
match
app-list Google_Apps
source-ip 0.0.0.0/0
!
action accept
sig
sig-action fallback-to-routing
!
!
default-action dropEle combina com o Google Apps de qualquer fonte e volta para o roteamento, se houver um problema.
Informações Relacionadas
Documentação da política SDWAN do Cisco IOS-XE
Documentação do recurso de rastreamento de pacote de caminho de dados do Cisco IOS-XE
Histórico de revisões
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
01-Nov-2022
|
Versão inicial |
FeedbackContate a Cisco
- Abrir um caso de suporte
- (É necessário um Contrato de Serviço da Cisco)