Configurar a topologia ISP dupla com dois hubs e quatro spokes na mesma região

Opções de download

  • PDF     (2.6 MB)
    Ver no Adobe Reader em vários dispositivos
Atualizado:31 de dezembro de 2024
ID do documento:222683

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

    Introdução

    Este documento descreve como configurar uma topologia ISP dupla com dois hubs e quatro spokes na mesma região usando o assistente de SD-WAN.

    Pré-requisitos

    Requisitos

    A Cisco recomenda que você tenha conhecimento destes tópicos:

    • Defesa contra ameaças (FTD) do Cisco Secure Firewall
    • Cisco Secure Firewall Management Center (FMC)
    • WAN definida por software (SD-WAN)

    Componentes Utilizados

    As informações neste documento são baseadas nestas versões de software e hardware:

    • FTD versão 7.6.0
    • FMC versão 7.6.0

    As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

    Informações de Apoio

    Plataformas de software e hardware suportadas

    Gerenciador

    FTD

    Plataformas suportadas

    • FMC >= 7.6.0 e FMC REST API

    • cdFMC >= 7.6.0

    • FDM - Sem Suporte

    • FTD de Hub >= 7.6.0

    • FTD spoke >= 7,3,0

    Todas as plataformas que o FMC >= 7.6.0 pode gerenciar

    Configurar

    Diagrama de Rede

    Network Topology DiagramDiagrama da topologia de rede

    Device ListLista de dispositivos

    Etapa 1. Criar uma topologia SD-WAN com WAN-1 como a interface VPN

    Navegue até Devices > VPN > Site To Site. Escolha Add e insira um nome adequado no campo Topology Name para a primeira topologia com WAN-1 como a interface VPN. Clique em SD-WAN Topology>Create.

    SDWAN Topology with WAN 1 as the VPN InterfaceCriar uma topologia SD-WAN com WAN-1 como a interface VPN

    Etapa 2. Configurar o Dynamic Virtual Tunnel Interface (DVTI) no hub principal

    Clique em Add Hub e escolha o hub principal na lista suspensa Device. Clique no ícone + ao lado de Dynamic Virtual Tunnel Interface (DVTI). Configure um nome, zona de segurança e ID de modelo e atribua WAN-1 como a interface Tunnel Source para o DVTI.

    Configure a Loopback Interface

    Escolha uma interface física ou de loopback na lista suspensa IP emprestado. Na topologia atual, o DVTI herda um endereço IP de interface de loopback. Click OK.

    Configure DVTI on WAN 1

    Escolha um pool de endereços ou clique no ícone + ao lado de Spoke Tunnel IP Address Pool para criar um novo pool de endereços. Quando você adiciona spokes, o assistente gera automaticamente interfaces de túnel spoke e atribui endereços IP a essas interfaces spoke a partir desse pool de endereços IP.

    Create Spoke IP Address Pool

    Quando a configuração do hub principal estiver concluída, escolha Add para salvar o hub principal na topologia.

    Save Primary Hub in Topology

    Etapa 3. Configurar o DVTI no hub secundário

    Agora escolha Add Hub novamente para configurar o hub secundário na topologia com WAN-1 como a interface VPN repetindo as etapas 1 e 2. Clique em Next.

    Configure the DVTI on the Secondary Hub

    Etapa 4. Configurar os raios

    Escolha Add Spoke para adicionar um único dispositivo spoke ou clique em Add Spokes (Bulk Addition) para adicionar vários spokes à sua topologia. A topologia atual usa a última opção para adicionar vários FTDs de filial à topologia. Na caixa de diálogo Add Bulk Spokes, escolha os FTDs necessários para adicioná-los como spokes. Escolha um Padrão de Nome de Interface comum que corresponda ao nome lógico de WAN-1 em todos os spokes ou a Zona de Segurança associada à WAN-1.

    Choose Spokes to Add to the Topology

    Clique em Avançar para que o assistente valide se os spokes têm interfaces com o padrão ou a zona de segurança especificada.

    Save the Spokes in the Topology

    Escolha Add e o assistente automaticamente escolhe o hub DVTI como o endereço IP origem do túnel para cada spoke.

    Save the Spokes in the Topology

    Etapa 5. Definir as configurações de autenticação

    Clique em Next para configurar Authentication Settings. Para a autenticação do dispositivo, você pode escolher uma chave pré-compartilhada manual, uma chave pré-compartilhada gerada automaticamente ou um certificado na lista suspensa Authentication Type. Escolha um ou mais algoritmos nas listas suspensas Transform Sets e IKEv2 Policies.

    Configure the Authentication Settings

    Etapa 6. Definir as configurações de SD-WAN

    Clique em Next para configurar as Configurações de SD-WAN. Essa etapa envolve a geração automática de interfaces de túnel spoke e a configuração do BGP (Border Gateway Protocol) da rede de sobreposição. Na lista suspensa Spoke Tunnel Interface Security Zone, escolha uma zona de segurança ou clique em + para criar uma zona de segurança à qual o assistente adiciona automaticamente as interfaces de túnel virtual estático (SVTIs) geradas automaticamente pelos spokes.

    Marque a caixa de seleção Enable BGP on the VPN Overlay Topology para automatizar as configurações BGP entre a interface de túnel de sobreposição. No campo Autonomous System Number, insira um número de Autonomous System (AS). Marque a caixa de seleção Redistribute Connected Interfaces e escolha um grupo de interface na lista suspensa ou escolha + para criar um grupo de interface com interfaces LAN conectadas dos hubs e spokes para redistribuição de rota BGP na topologia de sobreposição.

    Configure the SDWAN Settings

    No campo Community Tag for Local Routes, insira o atributo de comunidade BGP para marcar rotas locais conectadas e redistribuídas. Este atributo permite uma filtragem de rota fácil. Marque a caixa de seleção O hub secundário está no sistema autônomo diferente se você tiver um hub secundário em um AS diferente. Por fim, marque a caixa de seleção Enable Multiple Paths for BGP para permitir que o BGP faça o balanceamento de carga do tráfego em vários links.

    Overlay Routing Configuration

    Clique em Finish para salvar e validar a topologia SD-WAN.

    Save and Validate the SDWAN Topology

    Você pode visualizar a topologia em Devices > Site-to-site VPN. O número total de túneis na primeira topologia de SD-WAN é 8.

    View the Topology under Site to Site VPN

    Etapa 7. Criar uma topologia SD-WAN com WAN-2 como a interface VPN

    Repita as etapas de 1 a 6 para configurar uma topologia SD-WAN com WAN-2 como a interface VPN. O número total de túneis na segunda topologia SD-WAN é 8. As topologias finais devem ter a aparência da imagem mostrada:

    Create an SDWAN Topology with WAN 2 as the VPN Interface

    Etapa 8. Configurar regiões ECMP (Equal-Cost Multi-Path)

    Em cada filial, navegue para Roteamento > ECMP e configure Zonas ECMP para as interfaces WAN e os SVTIs que se conectam ao hub principal e secundário, como mostrado. Isso pode fornecer redundância de link e permitir o balanceamento de carga do tráfego VPN.

    Configure ECMP Zones

    Etapa 9. Modificar a Preferência Local de BGP no Hub

    Navegue para Routing > General Settings > BGP no hub secundário. Clique em Enable BGP, configure o AS Number e defina o valor de default local preference em Best Path Selection para um valor inferior ao configurado no hub principal. Click Save. Isso garante que as rotas para o hub principal tenham preferência sobre as rotas para o hub secundário. Quando o hub principal fica inativo, as rotas para o hub secundário assumem o controle.

    Modify the BGP Local Preference on the Hub

    Implante as configurações em todos os dispositivos.

    Verificar

    Verifique o status do túnel

    Para verificar se os túneis VPN das topologias SD-WAN estão ativos, navegue para Device > VPN > Site-to-Site.

    Verify Tunnel Statuses in Site to Site VPN Topology

    Para visualizar os detalhes dos túneis VPN SD-WAN, escolha Overview > Dashboards > Site-to-site VPN.

    Verify Tunnel Statuses in Site to Site VPN Dashboard

    Para exibir mais detalhes de cada túnel VPN:

    1. Passe o mouse sobre um túnel.
    2. Clique em View Full Information (View Full Information Icon). Um painel com detalhes do túnel e mais ações é exibido.
    3. Clique na guia Detalhes da CLI no painel lateral para exibir os comandos show e os detalhes das associações de segurança IPsec.

    CLI Details

    Verificar interfaces de túnel virtual (VTIs)

    Para visualizar os VTIs dinâmicos de hubs e VTIs estáticos de spokes:

    1. Navegue até Devices > Device Management.
    2. Escolha o ícone de edição para um hub ou dispositivo spoke.
    3. Clique na guia Interface.
    4. Clique no botão Túneis virtuais guia.


    Para cada VTI, você pode exibir detalhes como nome, endereço IP, modo IPsec, detalhes da interface de origem do túnel, topologia e IP de peer remoto.

    DVTIs no hub principal:

    DVTIs on the Primary Hub

    DVTIs no hub secundário:

    DVTIs on the Secondary Hub

    SVTIs no spoke:

    SVTIs on the Spoke

    Para verificar o balanceamento de carga, a redundância dupla do ISP e a redundância no nível do hub, somente o tráfego da Filial 1 para o hub é usado. Os detalhes da configuração são mostrados aqui:

    10.1.0.0.100 - Cliente na rede conectada da Filial 1

    10.10.0.0.100 - Cliente na rede conectada ao hub

    WAN-1_static_vti_1 - SVTI para hub 1 via ISP 1
    WAN-2_static_vti_3 - SVTI para hub 1 via ISP 2
    WAN-1_static_vti_2 - SVTI para hub 2 via ISP 1
    WAN-2_static_vti_4 - SVTI para hub 2 via ISP 2

    Verifique o balanceamento de carga do tráfego de VPN

    O status do túnel pode ser visto no painel VPN site a site. Idealmente, todos os túneis devem estar ativos:

    VPN Load Balancing Dashboard

    As rotas para o hub principal são as preferidas. O comando show route na Filial 1 indica que o tráfego de VPN tem balanceamento de carga entre os dois SVTIs no ISP 1 e ISP 2 para o hub principal:

    VPN Load Balancing Route

    A interface de saída usada para o tráfego VPN real pode ser vista em Unified Events:

    VPN Load Balancing Events

    Verificar a redundância dupla do ISP

    Quando ISP-2 está inativo, o status do túnel indica que os túneis via ISP-1 estão ativos:

    Link Redundancy Dashboard

    As rotas para o hub principal são as preferidas. O comando show route na Filial 1 indica que o tráfego VPN é roteado através dos SVTIs no ISP-1 para o hub principal:

    Link Redundancy Routes

    A interface de saída usada para o tráfego VPN real pode ser vista em Unified Events:

    Link Redundancy Events

    Verificar a Redundância no Nível do Hub

    Quando o hub principal está inativo, o status do túnel indica que os túneis para o hub secundário estão ativos:

    Hub Redundancy Dashboard

    Como o hub principal está desativado, as rotas para o hub secundário são as preferidas. O comando show route na Filial 1 indica que o tráfego de VPN tem balanceamento de carga entre os dois SVTIs no ISP 1 e ISP 2 para o hub secundário:

    Hub Redundancy Route

    A interface de saída usada para o tráfego VPN real pode ser vista em Unified Events:

    Hub Redundancy Events

    Histórico de revisões

    Revisão Data de publicação Comentários
    1.0
    02-Jan-2025
    Versão inicial

    Colaboração de

    • Ashlin Leroy Dsilva
      Engenheiro de software da Cisco

    Este documento lhe foi útil?

    FeedbackFeedback

    Contate a Cisco

    Este documento se refere a estes produtos