Solucionar problemas de encapsulamento automático SD-WAN

Introdução

Este documento descreve como o encapsulamento automático SD-WAN funciona.

Overview

Este artigo explica como funciona o encapsulamento automático do roteador SD-WAN.

O pré-requisito e o guia de configuração estão disponíveis:

• Guia de configuração de segurança do Cisco SD-WAN, Cisco IOS XE versão 17.x
• Guia de configuração de segurança para roteadores vEdge, Cisco SD-WAN versão 20

Detalhes

Uma vez concluída a configuração no Cisco vManage, o modelo é enviado para o roteador SD-WAN:

• O roteador SD-WAN faz uma chamada de API (para management.api.umbrella.com com chave + segredo) para criar o túnel no Umbrella Dashboard 
• Em seguida, o roteador SD-WAN (anterior à v17.5) resolve o FQDN codificado e determina o DC mais próximo:
  • global-a.vpn.sig.umbrella.com
  • global-b.vpn.sig.umbrella.com
• No v17.5 ou mais recente, o vManage fornece a opção de escolher o DC do túnel de guarda-chuva. Isso é útil quando o FQDN codificado é resolvido para um DC de túnel Umbrella indesejado.

       captura de tela.png

• O roteador SD-WAN inicia a conexão IPsec com o headend da Umbrella VPN

Solução de problemas e perguntas frequentes

P: O que acontece se eu não puder ver o registro do túnel no painel do Umbrella?

R: Verifique se a chave e o segredo da API de gerenciamento do Umbrella estão corretos.  Verifique se não há nada bloqueando a conexão com management.api.umbrella.com sobre TCP 443

P: Por que o túnel automático IPSec está se conectando ao DC fora da região?

R: Aqui está a lista de Umbrella Tunnel DC: Conecte-se ao Cisco Umbrella através do túnel. A Umbrella usa a tecnologia Anycast para determinar o DC mais próximo. O DC escolhido pode não estar geograficamente mais próximo.

Se o DC do túnel Umbrella conectado não for ideal, atualize o roteador SD-WAN para v17.5 ou use o método manual: vEdge cEdge

P: O que acontece se eu renomear o nome do túnel no Umbrella Dashboard para refletir o site de um cliente?

R: Não é recomendado porque, sob certas condições (como a reinicialização do roteador), o roteador SD-WAN faz uma chamada de API para o Umbrella Dashboard para verificar se o túnel existe ou se é necessário um novo fornecimento de túnel. Se o nome de túnel padrão tiver sido renomeado, a API chamará provisionar um novo túnel e o cliente precisará associar o novo túnel à política apropriada.