Configurar práticas recomendadas para sincronização de NTP em implantações de SD-WAN

Introdução

Este documento descreve como o NTP é crucial para manter a sincronização de tempo precisa entre dispositivos na estrutura SD-WAN.

Background

Sem a sincronização de tempo adequada, operações críticas como comunicação segura, validação de certificado e registro podem falhar. A SD-WAN é uma solução de rede baseada em certificado, segura e orientada por políticas. A sincronização de tempo usando NTP é fundamental para manter a integridade, a segurança e a funcionalidade da estrutura SD-WAN.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento da solução Cisco Software Defined Wide Area Network (SDWAN).

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• C8000V versão 17.15.03a
•  vManage versão 20.15.03.1

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Principais motivos

• A SD-WAN usa o certificado digital para autenticação do dispositivo. Esses certificados têm datas válidas de e de expiração. Se o relógio do dispositivo não estiver preciso, ele pode achar que o certificado expirou ou ainda não é válido.
  

  vbond-west# show orchestrator connections-history
           PEER     PEER     PEER             SITE        DOMAIN      PEER             PRIVATE  PEER             PUBLIC                                                     REPEAT               
  INSTANCE TYPE     PROTOCOL SYSTEM IP        ID          ID          PRIVATE IP       PORT     PUBLIC IP        PORT    REMOTE COLOR     STATE             LOCAL/REMOTE    COUNT DOWNTIME       
  -----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
  0        vmanage  dtls     10.1.1.7          101019      0           10.1.2.190       12646    192.168.2.190    12646   default          tear_down          CRTVERFL/CRTVERFL​

  
  

  CRTVERFL - Falha ao verificar Certificado de Mesmo Nível

  Nesse caso, como a hora está fora da data de validade do certificado, ocorre o erro Falha ao Verificar Certificado de Mesmo Nível.
• Os túneis DTLS/TLS entre o Roteador de Borda e os controladores dependem da autenticação baseada em certificado. A incompatibilidade de tempo pode causar falhas de handshake, interrompendo a conexão de controle.
• Registros em dispositivos de borda e controladores são carimbados com data e hora. Se o tempo estiver fora de sincronia, os registros de dispositivos diferentes estariam desalinhados, dificultando a correlação de eventos e a solução de problemas.
• Ferramentas como vAnalytics e sistemas de monitoramento externo dependem de carimbos de data e hora precisos para monitoramento de SLA, relatórios de desempenho e correlação de eventos.

Configurar

Este documento descreve como você pode configurar o NTP usando o modelo de recurso, os grupos de configuração e a CLI.

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/system-interface/vedge-20-x/systems-interfaces-book/systems-interfaces.html#c-NTP-12298

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/system-interface/ios-xe-17/systems-interfaces-book-xe-sdwan/m-02system-and-interfaces.html#ntp-server-cg

Configuração de referência

Controlador

system
 ntp
  keys
   authentication 1001 md5 $4$KXLzYT9k6M8zj4BgLEFXKw==
   authentication 1002 md5 $4$KXLzYTxk6M8zj4BgLEFXKw==
   authentication 1003 md5 $4$KXLzYT1k6M8zj4BgLEFXKw==
   trusted 1001 1002
  !
  server 192.168.15.243
   key     1001
   vpn     512
   version 4
  exit
  server 192.168.15.242
   key     1002
   vpn     512
   version 4
  exit
  server us.pool.ntp.org
   vpn     512
   version 4
  exit
 !
!

Roteador Cisco Edge

cEdge_DC1_West_R01#show running-config | sec ntp
ntp server time.google.com prefer
ntp server pool.ntp.org

cEdge_DC1_West_R01#show sdwan running-config ntp 
ntp server pool.ntp.org version 4
ntp server time.google.com prefer version 4

If Mgmt VRF is used:
ntp server vrf Mgmt-intf pool.ntp.org version 4

Note: Se a VPN 0 for usada para a configuração NTP, o serviço NTP deverá ser permitido na interface de túnel. Se os hosts FQDN forem usados para servidores NTP, o dispositivo deverá ter o DNS configurado para poder resolver o FQDN para o endereço IP.

Troubleshooting

Este documento pode ser usado para verificar o NTP e entender diferentes estágios de sincronização do NTP para solucionar problemas em controladores e dispositivos de borda:

Controladores:
https://www.cisco.com/c/en/us/support/docs/routers/sd-wan/221015-understand-ntp-association-codes-in-sd-w.html

vEdge:

https://www.cisco.com/c/en/us/support/docs/routers/vedge-router/220330-troubleshoot-network-time-protocol-ntp.html

Borda:
https://www.cisco.com/c/en/us/support/docs/ip/network-time-protocol-ntp/116161-trouble-ntp-00.html