Solucionar problemas de túneis sob demanda dinâmicos SD-WAN

Atualizado:5 de outubro de 2023

ID do documento:221045

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introdução

Pré-requisitos

Componentes Utilizados

Informações de Apoio

Cenário de trabalho

Topologia Usada

Ativação de túnel sob demanda

Cenários comuns de problemas

Topologia Usada

Cenário 1: caminho de backup através do hub considerado inválido e não resolvido por spokes

Sintoma

Troubleshooting

Solução

Cenário 2: as sessões de BFD entre os spokes permanecem ativas

Sintoma

Troubleshooting

Solução

Cenário 3: nenhuma rota de backup do hub é aprendida ou instalada em spokes

Sintoma

Troubleshooting

Solução

Comandos úteis

Introdução

Este documento descreve os comandos de solução de problemas que podem ser usados ao configurar ou verificar um problema relacionado aos túneis SD-WAN dinâmicos sob demanda.

Pré-requisitos

Componentes Utilizados

Este documento é baseado nestas referências de configuração, versões de software e hardware:

vManage versão 20.9.3
Roteador de Borda ISR4K versão 17.9.3
Todos os dispositivos foram configurados para estabelecer túneis dinâmicos sob demanda com base na documentação oficial

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Observação: consulte este documento para obter a configuração de túneis sob demanda dinâmicos.

Informações de Apoio

O Cisco SD-WAN suporta túneis sob demanda dinâmicos entre dois dispositivos spoke Cisco SD-WAN. Esses túneis são acionados para serem configurados somente quando há tráfego entre os dois dispositivos, otimizando o uso da largura de banda e o desempenho do dispositivo.

Cenário de trabalho

Topologia Usada

Em um cenário de operação normal, as condições de disparo dos túneis sob demanda são:

As sessões BFD entre spokes não podem ser estabelecidas ou nem mesmo aparecer como inativas nas sessões show sdwan bfd
As sessões de BFD podem ser acionadas quando o tráfego de interesse é enviado entre os endpoints
As configurações básicas de túneis sob demanda dinâmicos devem ser definidas e confirmadas

Ativação de túnel sob demanda

Inicialmente, as sessões BFD entre os spokes não estão ativas, apenas as sessões de Spokes para Hub estão ativas e o status do sistema sob demanda pode ser visto como inativo em Spokes e na tabela OMP, a rota de backup do Hub é definida como C,I,R, enquanto a rota do Spoke 2 é definida como I,U,IA

Spoke 1#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC             DST PUBLIC    DST PUBLIC         DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR       SOURCE IP   IP            PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100     up    blue        blue        10.10.10.1  10.100.100.1  12366        ipsec     7       1000          2:13:14:35 6

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP   ON-DEMAND STATUS   IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2  yes       inactive  - 

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                               AFFINITY 
                                         PATH                 ATTRIBUTE                                        GROUP 
TENANT    VPN       PREFIX      FROM PEER  ID LABEL STATUS    TYPE     TLOC IP      COLOR     ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0         10       10.2.2.2/32 192.168.0.1 61 1005   C,I,R   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 62 1003   I,U,IA  installed 10.10.10.2   default   ipsec  -     None    None - 
                               192.168.0.1 64 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 65 1003   I,U,IA  installed 10.10.10.2   private1  ipsec  -     None    None - 
                               192.168.0.1 67 1005   Inv,U   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.1 68 1003   I,U,IA  installed 10.10.10.2   private2  ipsec  -     None    None - 
                               192.168.0.2 71 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 72 1003   U,IA    installed 10.10.10.2   default   ipsec  -     None    None - 
                               192.168.0.2 74 1005   C,R     installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 75 1003   U,IA    installed 10.10.10.2   private1  ipsec  -     None    None - 
                               192.168.0.2 77 1005   Inv,U   installed 10.10.10.100 blue      ipsec  -     None    None - 
                               192.168.0.2 78 1003   U,IA    installed 10.10.10.2   private2  ipsec  -     None    None -
 
Spoke 2#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC              DST PUBLIC    DST PUBLIC          DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR        SOURCE IP   IP            PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100    up     blue        blue        10.10.10.2 10.100.100.1    12366       ipsec     7        1000        0:11:10:01 1

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1       10.10.10.1 yes       inactive -

Para acionar a ativação de túnel sob demanda, é necessário tráfego de interesse. Neste exemplo, o tráfego ICMP é usado, depois de enviar o tráfego, o status do sistema remoto sob demanda muda de status inativo para status ativo nas duas extremidades e o prefixo de destino muda na tabela OMP de um status C,I,R do hub para um status C,I,R do spoke 2

Spoke 1#ping vrf 10 10.2.2.2 re 20
Type escape sequence to abort.
Sending 20, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (20/20), round-trip min/avg/max = 1/3/31 ms

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP   ON-DEMAND   STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2  yes         active 56

Spoke 1#show sdwan bfd sessions 
                            SOURCE TLOC REMOTE TLOC            DST PUBLIC   DST PUBLIC       DETECT TX
SYSTEM IP     SITE ID STATE COLOR       COLOR     SOURCE IP    IP           PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100     up blue          blue      10.10.10.1   10.100.100.1 12366      ipsec    7        1000 0:11:14:51 1
10.10.10.2     2       up default       default   10.10.10.1   10.12.12.2   12366      ipsec    7        1000 0:00:00:53 1----> BFD session established due of interest traffic and on-demand configuration
10.10.10.2     2       up blue          blue      10.10.10.1   10.12.12.2   12366      ipsec    7        1000 0:00:00:52 1

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                                 AFFINITY 
                                   PATH                    ATTRIBUTE                                             GROUP 
TENANT   VPN PREFIX      FROM PEER  ID LABEL STATUS         TYPE      TLOC IP     COLOR         ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0        10 10.2.2.2/32 192.168.0.1 61 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 62 1003     C,I,R      installed 10.10.10.2    default      ipsec   -     None      None - 
                        192.168.0.1 64 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 65 1003     C,I,R      installed 10.10.10.2    private1     ipsec   -     None      None - 
                        192.168.0.1 67 1005     Inv,U      installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.1 68 1003     C,I,R      installed 10.10.10.2    private2     ipsec   -     None      None - 
                        192.168.0.2 71 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 72 1003     C,R        installed 10.10.10.2    default      ipsec   -     None      None - 
                        192.168.0.2 74 1005     R          installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 75 1003     C,R        installed 10.10.10.2    private1     ipsec   -     None      None - 
                        192.168.0.2 77 1005     Inv,U      installed 10.10.10.100  blue         ipsec   -     None      None - 
                        192.168.0.2 78 1003     C,R        installed 10.10.10.2    private2     ipsec   -     None      None -

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND    STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1      10.10.10.1 yes         active 53 

Spoke 2#show sdwan bfd sessions 
                           SOURCE TLOC  REMOTE TLOC              DST PUBLIC    DST PUBLIC       DETECT TX
SYSTEM IP    SITE ID STATE COLOR        COLOR     SOURCE IP      IP            PORT     ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100     up   blue          blue    10.10.10.2      10.100.100.1  12366    ipsec    7          1000 0:11:14:56 1
10.10.10.1    2       up   default       default 10.10.10.2      10.11.11.1    12366    ipsec    7          1000 0:00:00:53 1----> BFD session established due of interest traffic and on-demand configuration
10.10.10.1    2       up   blue          blue    10.10.10.2      10.11.11.1    12366    ipsec    7          1000 0:00:00:52

Depois que o tráfego de juros pára e o tempo limite ocioso expira, as sessões de BFD entre os spokes desaparecem e o status sob demanda retorna para inativo e a rota retorna para o status de rota de backup C,I,R a partir do hub na tabela OMP

Spoke 1#show sdwan bfd sessions 
                             SOURCE TLOC REMOTE TLOC               DST PUBLIC     DST PUBLIC     DETECT TX
SYSTEM IP     SITE ID STATE   COLOR        COLOR    SOURCE IP      IP              PORT    ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100      up     blue         blue     10.10.10.1      10.100.100.1   12366   ipsec   7           1000 0:11:19:11 1

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2      10.10.10.2  yes      inactive - 

Spoke 2#show sdwan bfd sessions 
                              SOURCE TLOC REMOTE TLOC              DST PUBLIC       DST PUBLIC    DETECT TX
SYSTEM IP     SITE ID   STATE COLOR         COLOR   SOURCE IP       IP               PORT   ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100  100       up    blue          blue    10.10.10.2      10.100.100.1    12366   ipsec  7            1000 0:11:19:11 1

Spoke 2#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
1 10.10.10.1 yes inactive -

Cenários comuns de problemas

Topologia Usada

Topology Used

Cenário 1: caminho de backup através do hub considerado inválido e não resolvido por spokes

Sintoma

O prefixo de destino do Spoke 2 está inacessível, o caminho de backup do hub é visto, mas é considerado inválido/desinstalado

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                         AFFINITY 
                                    PATH                  ATTRIBUTE                                      GROUP 
TENANT VPN PREFIX      FROM PEER    ID      LABEL  STATUS TYPE       TLOC IP    COLOR   ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0     10   10.2.2.2/32 192.168.0.1  61  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  62  1003       U,IA  installed 10.10.10.2   default ipsec   -          None     None - 
                       192.168.0.1  64  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  65  1003       U,IA  installed 10.10.10.2   private1ipsec   -          None     None - 
                       192.168.0.1  67  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.1  68  1003       U,IA  installed 10.10.10.2   private2ipsec   -          None     None - 
                       192.168.0.2  71  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  72  1003       U,IA  installed 10.10.10.2   default ipsec   -          None     None - 
                       192.168.0.2  74  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  75  1003       U,IA  installed 10.10.10.2   private1ipsec   -          None     None - 
                       192.168.0.2  77  1005       Inv,U installed 10.10.10.100 blue    ipsec   -          None     None - 
                       192.168.0.2  78  1003       U,IA  installed 10.10.10.2   private2ipsec   -          None     None -

Troubleshooting

Verificar se as sessões BFD do hub em relação aos spokes foram estabelecidas

Hub#show sdwan bfd sessions 
                          SOURCE TLOC    REMOTE TLOC                    DST PUBLIC DST PUBLIC       DETECT     TX
SYSTEM IP  SITE ID  STATE COLOR          COLOR.          SOURCE IP      IP         PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.2  2       up   blue           blue             10.10.10.100   10.12.12.2 12366      ipsec 7          1000         1:23:58:15  2
10.10.10.1  1       up   default        default          10.10.10.100   10.11.11.1 12366      ipsec 7          1000         1:23:59:12  6

Verifique a política de túnel sob demanda para confirmar se todos os locais estão incluídos nas listas de locais corretas de acordo com sua função (hub ou spoke)

Confirme se o recurso sob demanda está habilitado e ativo em spokes usando o comando show sdwan system on-demand

Spoke 1#show sdwan system on-demand 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-CFG(min)
-------------------------------------------------------------------------
1       10.10.10.1 yes       active 10

Spoke 2#show sdwan system on-demand 
SITE-ID SYSTEM-IP  ON-DEMAND STATUS IDLE-TIMEOUT-CFG(min)
-------------------------------------------------------------------------
2       10.10.10.2 yes       active 10

Confirme se o serviço de Engenharia de Tráfego (TE de serviço) está habilitado no local do hub. O comando útil pode ser show sdwan run | TE inc

hub#show sdwan run | inc TE
!

Solução

Nesse caso, o TE de serviço não está habilitado no local do hub. Para corrigir, configure-o no lado do hub:

hub#config-trans
hub(config)# sdwan
hub(config-vrf-global)# service TE vrf global
hub(config-vrf-global)# commit

Verifique se na tabela OMP do spoke 1 mudou e agora tem essa rota como C,I,R para a entrada que vem do hub 10.10.10.100 (antes de gerar tráfego de juros) e obtém C,I,R para a entrada que vem do spoke 2 10.10.10.2 (enquanto o tráfego de juros é gerado). Verifique também se a sessão BFD entre spoke 1 e spoke 2 e o túnel sob demanda está ativo com o comando show sdwan system on-demand remote-system <remote system ip> :

Before interest traffic

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
                                   PATH               ATTRIBUTE GROUP 
TENANT   VPN PREFIX      FROM PEER ID LABEL STATUS    TYPE     TLOC IP        COLOR      ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0        10 10.2.2.2/32 192.168.0.1 61 1005 C,I,R    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 62 1003 I,U,IA   installed 10.10.10.2     default    ipsec   -          None None - 
                        192.168.0.1 64 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 65 1003 I,U,IA   installed 10.10.10.2     private1   ipsec   -          None None - 
                        192.168.0.1 67 1005 Inv,U    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.1 68 1003 I,U,IA   installed 10.10.10.2     private2   ipsec   -          None None - 
                        192.168.0.2 71 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 72 1003 U,IA     installed 10.10.10.2     default    ipsec   -          None None - 
                        192.168.0.2 74 1005 C,R      installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 75 1003 U,IA     installed 10.10.10.2     private1   ipsec   -          None None - 
                        192.168.0.2 77 1005 Inv,U    installed 10.10.10.100   blue       ipsec   -          None None - 
                        192.168.0.2 78 1003 U,IA     installed 10.10.10.2     private2   ipsec   -          None None -

While interest traffic

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                            AFFINITY 
                                  PATH             ATTRIBUTE                                GROUP 
TENANT VPN PREFIX      FROM PEER  ID LABEL STATUS  TYPE      TLOC IP COLOR ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10 10.2.2.2/32 192.168.0.1 61 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 62 1003 C,I,R    installed 10.10.10.2     default       ipsec - None None - 
                      192.168.0.1 64 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 65 1003 C,I,R    installed 10.10.10.2     private1      ipsec - None None - 
                      192.168.0.1 67 1005 Inv,U    installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.1 68 1003 C,I,R    installed 10.10.10.2     private2      ipsec - None None - 
                      192.168.0.2 71 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 72 1003 C,R      installed 10.10.10.2     default       ipsec - None None - 
                      192.168.0.2 74 1005 R        installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 75 1003 C,R      installed 10.10.10.2     private1      ipsec - None None - 
                      192.168.0.2 77 1005 Inv,U    installed 10.10.10.100   blue          ipsec - None None - 
                      192.168.0.2 78 1003 C,R      installed 10.10.10.2     private2      ipsec - None None -

Spoke 1#show sdwan bfd sessions 
                                      SOURCE TLOC REMOTE TLOC            DST PUBLIC      DST PUBLIC      DETECT TX
SYSTEM IP         SITE ID    STATE     COLOR       COLOR   SOURCE IP      IP              PORT    ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100       100         up      blue        blue    10.10.10.1     10.100.100.1    12366   ipsec    7        1000     1:23:58:15 2
10.10.10.2         2           up      default     default 10.10.10.1     10.12.12.2      12366   ipsec    7        1000     0:00:01:50 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2         2           up      blue        blue    10.10.10.1     10.12.12.2      12366   ipsec    7        1000     0:00:01:52 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes      active  41 ------>on-demand tunnel established to spoke 2 10.10.10.2 due of interest traffic

Cenário 2: As sessões de BFD entre os spokes permanecem ativas

Sintoma

Nesse caso, o ponto final Spoke 2 remoto é listado nos pontos finais remotos sob demanda vistos com o comando show sdwan system on-demand remote-system com um status de no on-demand, a sessão BFD entre Spoke 1 e Spoke 2 permanece ativa mesmo quando nenhum tráfego de interesse é enviado e o prefixo de destino é aprendido diretamente do Spoke 2

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 no        -     - 

Spoke 1#show sdwan bfd sessions 
                           SOURCE TLOC REMOTE TLOC           DST PUBLIC   DST PUBLIC       DETECT TX
SYSTEM IP    SITE ID STATE COLOR       COLOR      SOURCE IP  IP           PORT       ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100 100      up   blue        blue       10.10.10.1 10.100.100.1 12366      ipsec 7           1000 1:23:58:15 3
10.10.10.2   2        up   default     default    10.10.10.1 10.12.12.2   12366      ipsec 7           1000 0:00:18:53 4
10.10.10.2   2        up   blue        blue       10.10.10.1 10.12.12.2   12366      ipsec 7           1000 0:00:18:52 3

Spoke 1#show sdwan omp route vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                          AFFINITY 
                                     PATH              ATTRIBUTE                                          GROUP 
TENANT VPN PREFIX          FROM PEER ID LABEL STATUS   TYPE      TLOC IP      COLOR      ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10 10.2.2.2/32     192.168.0.1 73 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 74 1003 C,I,R    installed 10.10.10.2    default   ipsec  -          None       None      -  
                          192.168.0.1 76 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 77 1003 C,I,R    installed 10.10.10.2    private1  ipsec  -          None       None      - 
                          192.168.0.1 79 1005 Inv,U    installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.1 80 1003 C,I,R    installed 10.10.10.2    private2  ipsec  -          None       None      - 
                          192.168.0.2 89 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 90 1003 C,R      installed 10.10.10.2    default   ipsec  -          None       None      - 
                          192.168.0.2 92 1005 R        installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 93 1003 C,R      installed 10.10.10.2    private1  ipsec  -          None       None      - 
                          192.168.0.2 95 1005 Inv,U    installed 10.10.10.100  blue      ipsec  -          None       None      - 
                          192.168.0.2 96 1003 C,R      installed 10.10.10.2    private2  ipsec  -          None       None      -

Troubleshooting

Verifique a política de túnel sob demanda para confirmar se todos os locais estão incluídos nas listas de locais corretas de acordo com sua função (hub ou spoke)

viptela-policy:policy
 control-policy ondemand
    sequence 1
     match route
      site-list Spokes
      prefix-list _AnyIpv4PrefixList
     !
     action accept
      set
       tloc-action backup
       tloc-list hub
      !
     !
    !
  default-action accept
 !
 lists
  site-list Spokes
   site-id 1-2 
  !
  tloc-list hub
   tloc 10.10.10.100 color blue encap ipsec 
   tloc 10.10.10.100 color default encap ipsec 
   tloc 10.10.10.100 color private1 encap ipsec 
   tloc 10.10.10.100 color private2 encap ipsec 
  !
  prefix-list _AnyIpv4PrefixList
   ip-prefix 0.0.0.0/0 le 32 
  !
 !
!
apply-policy
 site-list Spokes
  control-policy ondemand out
 !
!

Verifique se o recurso sob demanda está habilitado com o comando show sdwan run | inc sob demanda em Spokes e TE está habilitado no hub com o comando show sdwan run | TE inc

Spoke 1#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Spoke 2#show sdwan run | inc on-demand
Spoke 2#

Hub#show sdwan run | inc TE
service TE vrf global

Solução

Nesse caso, a solicitação sob demanda não está habilitada no Spoke 2. Para corrigir, configure-o no lado do Spoke 2

Spoke 2#config-trans
Spoke 2(config)# system
Spoke 2(config-vrf-global)# on-demand enable
Spoke 2(config-vrf-global)# on-demand idle-timeout 10
Spoke 2(config-vrf-global)# commit

Verifique se no spoke 1 agora o spoke 2 é visto como sim sob demanda e a tabela OMP mudou e agora tem essa rota como C,I,R para a entrada que vem do hub 10.10.10.100 (antes de gerar tráfego de interesse) e não diretamente do spoke 2

Spoke 1#show sdwan system on-demand remote-system 
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes inactive - 

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
        PATH ATTRIBUTE GROUP 
TENANT VPN PREFIX       FROM PEER   ID LABEL STATUS TYPE     TLOC IP      COLOR       ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10  10.2.2.2/32  192.168.0.1 61 1005 C,I,R  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 62 1003 I,U,IA installed 10.10.10.2    default    ipsec      -        None    None - 
                        192.168.0.1 64 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 65 1003 I,U,IA installed 10.10.10.2    private1   ipsec      -        None    None - 
                        192.168.0.1 67 1005 Inv,U  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.1 68 1003 I,U,IA installed 10.10.10.2    private2   ipsec      -        None    None - 
                        192.168.0.2 71 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 72 1003 U,IA   installed 10.10.10.2    default    ipsec      -        None    None - 
                        192.168.0.2 74 1005 C,R    installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 75 1003 U,IA   installed 10.10.10.2    private1   ipsec      -        None    None - 
                        192.168.0.2 77 1005 Inv,U  installed 10.10.10.100  blue       ipsec      -        None    None - 
                        192.168.0.2 78 1003 U,IA   installed 10.10.10.2    private2   ipsec      -        None    None -

Quando o tráfego de juros é gerado, ele recebe C,I,R para a entrada que vem do Spoke 2 10.10.10.2. Verifique também se a sessão BFD entre Spoke 1 e Spoke 2 está ativa, verifique também se o túnel sob demanda está ativo com o comando show sdwan system on-demand remote-system <remote system ip>

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

                                                                                                                AFFINITY 
                                               PATH               ATTRIBUTE                                     GROUP 
TENANT  VPN        PREFIX          FROM PEER   ID LABEL STATUS    TYPE     TLOC IP      COLOR ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0       10         10.2.2.2/32     192.168.0.1 61 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 62 1003 C,I,R     installed 10.10.10.2    default  ipsec   - None None - 
                                   192.168.0.1 64 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 65 1003 C,I,R     installed 10.10.10.2    private1 ipsec   - None None - 
                                   192.168.0.1 67 1005 Inv,U     installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.1 68 1003 C,I,R     installed 10.10.10.2    private2 ipsec   - None None - 
                                   192.168.0.2 71 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 72 1003 C,R       installed 10.10.10.2    default  ipsec   - None None - 
                                   192.168.0.2 74 1005 R         installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 75 1003 C,R       installed 10.10.10.2    private1 ipsec   - None None - 
                                   192.168.0.2 77 1005 Inv,U     installed 10.10.10.100  blue     ipsec   - None None - 
                                   192.168.0.2 78 1003 C,R       installed 10.10.10.2    private2 ipsec   - None None -

Spoke 1#show sdwan bfd sessions 
                        SOURCE TLOC REMOTE TLOC             DST PUBLIC  DST PUBLIC          DETECT      TX
SYSTEM IP SITE ID STATE COLOR       COLOR       SOURCE IP   IP          PORT         ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100 100  up blue          blue         10.10.10.1 10.100.100.1 12366       ipsec     7        1000 2:04:34:11 2
10.10.10.2   2    up default       default      10.10.10.1 10.12.12.2   12366       ipsec     7        1000 0:00:02:10 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2   2    up blue          blue         10.10.10.1 10.12.12.2   12366       ipsec     7        1000 0:00:02:08 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2        10.10.10.2 yes      active   41 ------>on-demand tunnel established to Spoke 2 10.10.10.2 due of interest traffic

Cenário 3: nenhuma rota de backup do hub é aprendida ou instalada em spokes

Sintoma

Nesse caso, não há rotas de backup para o prefixo 10.2.2.2/32 originadas no Spoke 2 na tabela OMP, apenas entradas inativas sob demanda vistas. Confirmado que a demanda em spokes e o TE no hub estão configurados

Spoke 1#show sdwan omp route vpn 10 10.2.2.2/32 
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
PATH ATTRIBUTE GROUP 
TENANT VPN      PREFIX     FROM PEER   ID LABEL STATUS TYPE     TLOC IP   COLOR   ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10      10.2.2.2/32 192.168.0.1 108 1003 U,IA installed 10.10.10.2 default  ipsec -             None  None - 
                           192.168.0.1 113 1003 U,IA installed 10.10.10.2 private1 ipsec -             None  None - 
                           192.168.0.1 141 1003 U,IA installed 10.10.10.2 private2 ipsec -             None  None - 
                           192.168.0.2 112 1003 U,IA installed 10.10.10.2 default  ipsec -             None  None - 
                           192.168.0.2 117 1003 U,IA installed 10.10.10.2 private1 ipsec -             None  None - 
                           192.168.0.2 144 1003 U,IA installed 10.10.10.2 private2 ipsec -             None  None - 



Spoke 1#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Spoke 2#show sdwan run | inc on-demand
on-demand enable
on-demand idle-timeout 10

Hub#show sdwan run | inc TE
service TE vrf global

Troubleshooting

Verifique a política centralizada sob demanda e confirme se todos os spokes estão incluídos na lista de sites correta

viptela-policy:policy
 control-policy ondemand
    sequence 1
     match route
      site-list Spokes
      prefix-list _AnyIpv4PrefixList
     !
     action accept
      set
       tloc-action backup
       tloc-list hub
      !
     !
    !
  default-action accept
 !
 lists
  site-list Spokes
   site-id 1 
  !
  tloc-list hub
   tloc 10.10.10.100 color blue encap ipsec 
   tloc 10.10.10.100 color default encap ipsec 
   tloc 10.10.10.100 color private1 encap ipsec 
   tloc 10.10.10.100 color private2 encap ipsec 
  !
  prefix-list _AnyIpv4PrefixList
   ip-prefix 0.0.0.0/0 le 32 
  !
 !
!
apply-policy
 site-list Spokes
  control-policy ondemand out
 !

Solução

Observe que a ID 2 do site do Spoke 2 está ausente na lista de sites de spokes na política. Depois de incluí-lo na lista de sites, os caminhos de backup são instalados corretamente, o túnel sob demanda e as sessões BFD entre os spokes são ativados quando o tráfego de interesse é enviado.

Spokes site list from policy before
lists 
site-list Spokes 
site-id 1 
!

Spokes site list from policy after
lists
site-list Spokes 
site-id 1-2
!

Spoke 1#show sdwan omp routes vpn 10 10.2.2.2/32
Generating output, this might take time, please wait ...
Code:
C -> chosen
I -> installed
Red -> redistributed
Rej -> rejected
L -> looped
R -> resolved
S -> stale
Ext -> extranet
Inv -> invalid
Stg -> staged
IA -> On-demand inactive
U -> TLOC unresolved
BR-R -> border-router reoriginated
TGW-R -> transport-gateway reoriginated

AFFINITY 
PATH ATTRIBUTE GROUP 
TENANT VPN PREFIX           FROM PEER   ID LABEL STATUS TYPE      TLOC IP      COLOR    ENCAP PREFERENCE NUMBER REGION ID REGION PATH 
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0      10  10.2.2.2/32      192.168.0.1 61 1005 C,I,R   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 62 1003 I,U,IA  installed 10.10.10.2   default  ipsec    -        None     None - 
                            192.168.0.1 64 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 65 1003 I,U,IA  installed 10.10.10.2   private1 ipsec    -        None     None - 
                            192.168.0.1 67 1005 Inv,U   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.1 68 1003 I,U,IA  installed 10.10.10.2   private2 ipsec    -        None     None - 
                            192.168.0.2 71 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 72 1003 U,IA    installed 10.10.10.2   default  ipsec    -        None     None - 
                            192.168.0.2 74 1005 C,R     installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 75 1003 U,IA    installed 10.10.10.2   private1 ipsec    -        None     None - 
                            192.168.0.2 77 1005 Inv,U   installed 10.10.10.100 blue     ipsec    -        None     None - 
                            192.168.0.2 78 1003 U,IA    installed 10.10.10.2   private2 ipsec    -        None     None -

Spoke 1#show sdwan bfd sessions 
SOURCE                     TLOC REMOTE TLOC DST PUBLIC     DST PUBLIC              DETECT        TX
SYSTEM IP    SITE ID STATE COLOR       COLOR    SOURCE IP  IP           PORT ENCAP MULTIPLIER INTERVAL(msec) UPTIME TRANSITIONS 
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
10.10.10.100   100   up    blue         blue    10.10.10.1 10.100.100.1 12366 ipsec  7          1000         2:07:01:43 6
10.10.10.2      2    up    default      default 10.10.10.1 10.12.12.2   12366 ipsec  7          1000         0:00:00:56 2----> BFD session established due of on-demand tunnel configuration.
10.10.10.2      2    up    blue         blue    10.10.10.1 10.12.12.2   12366 ipsec  7          1000         0:00:00:56 2

Spoke 1#show sdwan system on-demand remote-system system-ip 10.10.10.2
SITE-ID SYSTEM-IP ON-DEMAND STATUS IDLE-TIMEOUT-EXPIRY(sec)
---------------------------------------------------------------------------
2       10.10.10.2 yes      active    56 ------>on-demand tunnel established to Spoke 2 10.10.10.2 due of interest traffic

Comandos úteis

show sdwan system on-demand
show sdwan system on-demand remote-system
show sdwan system on-demand remote-system system-ip <system ip>
show sdwan run | inc sob demanda
show sdwan run | TE inc
show sdwan ompo routes vpn <vpn number>

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	05-Oct-2023	Versão inicial

Colaborado por engenheiros da Cisco

Daniel Alva Vargas
Engenheiro de consultoria técnica

Este documento lhe foi útil?

Feedback

Contate a Cisco

Abrir um caso de suporte
(É necessário um Contrato de Serviço da Cisco)

Solucionar problemas de túneis sob demanda dinâmicos SD-WAN

Linguagem imparcial

Sobre esta tradução

Contents

Introdução

Pré-requisitos

Componentes Utilizados

Informações de Apoio

Cenário de trabalho

Topologia Usada

Ativação de túnel sob demanda

Cenários comuns de problemas

Topologia Usada

Cenário 1: caminho de backup através do hub considerado inválido e não resolvido por spokes

Sintoma

Troubleshooting

Solução

Cenário 2: As sessões de BFD entre os spokes permanecem ativas

Sintoma

Troubleshooting

Solução

Cenário 3: nenhuma rota de backup do hub é aprendida ou instalada em spokes

Sintoma

Troubleshooting

Solução

Comandos úteis

Histórico de revisões

Colaborado por engenheiros da Cisco

Este documento lhe foi útil?

Contate a Cisco

Este documento se refere a estes produtos