快速入門手冊 — Catalyst SD-WAN簡化配置和策略

簡介

本文檔介紹在Catalyst SD-WAN中簡化配置和策略的快速入門手冊。

摘要

使用Cisco Catalyst SD-WAN軟體版本20.12/17.12時，建議使用者開始從基於裝置和功能模板的傳統配置遷移到基於配置組和策略組的新配置方法。本文檔介紹了新配置方法的重要詳細資訊。

本文的主要目標是以20.12 golden版本為指南，開始使用配置、策略和自註冊的新結構。本文檔並不包含各個功能的說明。

新部署

為了成功利用新的配置方法，您必須執行以下步驟：

1. 網路：定義網路層次結構和系統結構。
2. 組態:使用工作流建立配置組配置。
3. 應用程式：如果需要，使用應用程式目錄定義自定義應用程式。
4. 策略：使用策略組建立策略。
5. 拓撲：定義拓撲。
6. 板載：板載和標籤裝置。
7. 部署：關聯並部署配置組和策略組。啟用拓撲。

新部署的流程圖

現有部署

1. 執行Existing Deployments部分中提到的步驟。
2. 使用Conversion工具將現有配置和策略轉換為新的配置組和策略組。

增強使用者體驗和操作簡化

Cisco Catalyst SD-WAN提供增強的使用者體驗並簡化操作。

• 通用UI:在Catalyst SD-WAN Manager和其他思科產品中引入了一個新的使用者體驗(UX)框架，以確保UX的一致性，並提供跨產品的通用外觀和感覺。
• 組態:通過直觀的基於意圖的工作流程和使用思科推薦的智慧預設值，簡化配置和策略建立和部署。
• 監控：通過新的小部件和可定製且增強的控制面板，深入瞭解網路和應用的效能和運行狀況。
• 疑難排解:動態站點和網路拓撲檢視、基於情景的故障排除工具訪問、網路報告和應用效能報告。

優勢：

定義網路層次結構和系統結構

網路層次結構

為網路提供「層次結構」的概念，即站點、區域和區域。您可以根據網路建立此檔案。

範例：

網路層次結構管理員(NHM)

這有助於定義使用者友好的站點名稱，有助於實現操作簡化。

系統結構

這些池可在裝置配置部署期間自動分配系統IP和站點ID。

您可以為System-IP自動分配定義IP池。站點ID是從Global_Site池中分配的。

新增池引數

檢視和管理池

工作流程

工作流是一組指導性步驟，可幫助您輕鬆執行特定任務。

• 工作流程的目標是幫助Novice使用者輕鬆建立配置並將其部署到裝置。
• 大多數配置旋鈕/設定都設定為思科建議的智慧預設值。
• 使用者只能指定一些配置。
• 高級配置旋鈕可在工作流程之外使用，可以在工作流程中手動編輯配置組。

工作流庫列出了所有可用的工作流。

工作流庫

配置組

配置組是一種基於簡單、可重複利用性和結構原理的交換矩陣配置新方法。

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/config-groups/configuration-group-guide/using-config-groups.html。

配置組結構

配置組：

• 在WAN內共用同一用途的裝置的邏輯分組。
• 使用者可以根據自己的業務需求定義並自定義該分組。

例如；東/西、美洲/APJC/EMEAR、零售店/配送中心。

功能配置檔案：

• 可在配置組之間共用的配置的靈活「儲存桶」。
• 根據所需的功能建立功能配置檔案。
• 將配置檔案組合在一起，以便完成裝置配置，如構建塊。
• 構建、儲存和重新使用。

例如；基本配置檔案、WAN配置檔案、LAN配置檔案。

配置組部署示例

附註：

• 配置組與裝置型號無關。
• 功能配置檔案可在配置組間共用。

使用案例1:政府客戶

例項1 — 配置組

配置組中心：

執行建立配置組工作流。

建立配置組工作流選項

WAN配置檔案

使用例項1 - WAN配置檔案1

使用工作流程，可以生成此使用案例的完整WAN配置檔案配置。

實際靜態IP、靜態預設路由IP/子網/下一跳等實體可指定為全域性或特定於裝置。

在將配置組部署到裝置期間，可以使用實際值指定裝置特定的選項。

LAN配置檔案

使用案例1 - LAN設定檔1

使用工作流程，可以生成此用例的大部分LAN配置檔案配置。

• 2個VPN
• 每個VPN中的BGP路由（AS編號、網路字首、鄰居）

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

附註：必須在工作流程後通過手動編輯配置組來配置高級配置（如路由重新分發和預設路由通告）以及子介面（如果在部署期間使用這些子介面）。

系統配置檔案

使用例項1 — 系統配置檔案1

使用工作流，可以生成此用例的大部分系統配置檔案配置 — OMP、AAA、NTP、日誌記錄等。

附註：必須通過在工作流程後手動編輯配置組來配置OMP-BGP重分發等高級配置以及對系統功能（如OMP、AAA、NTP等）的任何其他更改。

配置組SiteType1:

執行創建配置組工作流。

WAN配置檔案

使用案例1 - WAN設定檔2

使用工作流程，可以生成此用例的大部分WAN配置檔案配置。Internet和Starlink的乙太網介面。DHCP.

附註：LTE鏈路的蜂窩介面（包括靜態路由）必須在工作流程後通過手動編輯配置組進行配置。

LAN配置檔案

使用案例1 - LAN設定檔2

使用工作流程，可以生成此用例的一些LAN配置檔案配置。2個VPN，DIA靜態路由。

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

附註：SVI、無線SSID、接入交換機埠等必須在工作流程後通過手動編輯配置組進行配置。

系統配置檔案

使用例項1 — 系統配置檔案2

使用工作流，可以生成此用例的大部分系統配置檔案配置 — OMP、AAA、NTP、日誌記錄等。

附註：必須在工作流程後通過手動編輯配置組來配置高級配置（如應用程式效能監視）。

CLI設定檔

使用案例1 - CLI設定檔2

通過GUI不支援的功能(如應用/流可視性(NBAR)啟用)可使用CLI配置檔案進行配置。

應用/流可視性：

要啟用應用可視性和流可視性，請使用CLI配置檔案/包。

(在20.13及更高版本中，可以在Advanced Settings in Policy Group下使用)

但是，在20.12中，如果配置了AAR策略，則應用/流可視性已啟用。並且不需要使用CLI配置檔案/包裹進行配置。

配置組SiteType2:

執行創建配置組工作流。

WAN配置檔案

使用案例1 - WAN設定檔3

使用工作流程，可以生成此用例的大部分WAN配置檔案配置。Internet的乙太網介面。DHCP.

附註：LTE鏈路的蜂窩介面（包括靜態路由）必須在工作流程後通過手動編輯配置組進行配置。

LAN配置檔案

使用案例1 - LAN設定檔3

使用工作流程，可以生成此用例的一些LAN配置檔案配置。1個VPN、DIA靜態路由。

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

附註：SVI、接入交換機埠等必須在工作流程後通過手動編輯配置組進行配置。

系統配置檔案：

與配置組SiteType1相同。

CLI配置檔案：

與配置組SiteType1相同。

配置組SiteType3:

執行創建配置組工作流。

WAN配置檔案：

與配置組SiteType2相同。

LAN配置檔案

使用案例1 - LAN設定檔4

使用工作流程，可以生成此用例的一些LAN配置檔案配置。1個VPN、DIA靜態路由。

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

附註：SVI、無線SSID、接入交換機埠等必須在工作流程後通過手動編輯配置組進行配置。

系統配置檔案：

與配置組SiteType1相同。

CLI配置檔案：

與配置組SiteType1相同。

使用案例2:零售客戶

使用案例2 — 配置組

配置組HQ和倉庫

執行創建配置組工作流。

WAN配置檔案：

使用工作流程，可以生成此用例的所有WAN配置檔案配置。

LAN設定檔：

使用工作流程，可以生成此用例的所有LAN配置檔案配置。

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

系統配置檔案：

使用工作流，可以生成此用例的所有系統配置檔案配置。

附註：如果需要任何更改或需要高級配置（如應用程式效能監視），則必須通過手動編輯配置組在工作流之後對其進行配置。

配置組儲存：

執行創建配置組工作流。

WAN配置檔案：

使用工作流程，可以生成此用例的大部分WAN配置檔案配置。

附註：LTE鏈路的蜂窩介面（包括路由）必須在工作流程後通過手動編輯配置組進行配置。

LAN設定檔：

使用工作流程，可以生成此用例的所有LAN配置檔案配置。

在將Configuration-group部署到裝置的過程中，可以使用實際值指定實體，例如實際的Dot1Q子介面和標籤為Device-specific的任何其他實體。

系統配置檔案：

與配置組HQ和Warehouse相同。

聯營公司

在Configuration Group編輯頁面(Configuration -> Configuration Groups)中，您可以將裝置與配置組相關聯。

按一下Associate Devices，然後瀏覽工作流中的步驟。

關聯裝置 — 配置組

部署

執行部署配置組工作流。

部署配置組工作流

附註：

• 在配置組中，更改裝置值僅更改Manager資料庫中的值，不會將任何更改推送到裝置。如果您希望立即進行更改，則必須使用Deploy進行更改。
• 可以在「新增/檢視裝置配置」步驟的「部署」工作流程中匯出裝置變數值(作為CSV檔案)。

可重複利用性

1. 配置組與裝置型號無關。

配置組 — 與裝置型號無關

附註：如果裝置型號不支援特定配置，則不會發生相應的功能包推送，並且會在部署任務中顯示相應的消息。

範例：裝置不支援Wi-Fi，但配置組包含Wi-Fi包。在部署時，跳過Wi-Fi包配置，部署任務消息通知已跳過Wi-Fi配置推送。

2. 使用配置變數 — 特定於裝置的值。

配置組 — 裝置特定變數

功能配置檔案可以將某些配置定義為特定於裝置，類似於模板變數。

範例：介面IP地址、埠號、介面名稱等。

這些裝置特定的值可以在部署時提供。對於不同的裝置，它可能不同。

配置組 — 裝置特定變數示例1

配置組 — 裝置特定變數示例2

配置組 — 裝置特定變數示例3

3. 重複使用功能配置檔案。 

功能配置檔案可在配置組中重複使用。

插圖：

例如，對於多個裝置，如果WAN和系統配置相同，並且只有LAN配置不同，則可以在其配置組中重複使用WAN和系統配置檔案，而每個配置組具有不同的LAN配置檔案。

重複使用功能配置檔案 — 1

LAN配置檔案1

重複使用功能配置檔案 — 2

LAN配置檔案2

重複使用功能配置檔案 — 3

LAN配置檔案3

應用程式目錄

傳統裝置能夠通過源IP地址、源/目標埠和協定的條件匹配來控制流量。由於越來越多的應用依賴於DNS或嵌入到HTTP中，很難在應用級別準確識別網路流量。

思科的基於網路的應用識別(NBAR)引擎能夠對1500多個應用進行分類，使網路工程師能夠更精確地分類和操作流量。思科的Catalyst SD-WAN Manager能夠連線到思科應用程式儲存庫，該儲存庫可快速更新應用程式的簽名；這對於雲提供商更改託管位置或流量模式具有重大意義。

Application catalog提供了根據伺服器名稱、IP地址、埠或協定的匹配建立自定義應用程式的能力。然後，該應用程式被定義為特定的應用程式系列、應用程式組、流量類別和業務相關性。

應用程式目錄

可以將應用程式拖放到適當的業務相關性和/或流量分類中。儲存更改後，將在資料庫中更新定義。

附註：應用程式分類是全球性的，應用程式目錄中的更改會影響所有裝置分類。

策略組

與配置組類似，策略組是部署到與策略組關聯的裝置的一組策略

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/Policy-Groups/policy-groups/m-policy-groups.html。

策略組根據意圖處理策略的建立和部署。簡化的UI和工作流程使建立策略、將策略分組和部署到裝置成為一項輕鬆的任務。

策略組

應用優先順序和SLA

使用此策略意圖，可以指定：

• 應用感知路由和SLA策略
• QoS策略
• 流量資料策略
• DIA策略
• SIG策略

提供了兩種模式。

簡單模式

這是預設模式。

簡單模式

這為定義網路的應用優先順序和SLA提供了一種快速簡單的方法。

附註：1.預設策略操作為DROP。

2.匹配條件只能是應用程式。如果您需要Prefixes，請使用Advanced模式

進階模式

這是一個完整且靈活的模式。

進階模式

附註：

1.預設策略操作為DROP。

2. 「應用清單」和「流量類」本質上是應用的清單。

可以使用其中任何一個來匹配應用程式清單。應用程式到流量類的對映可以在應用程式目錄中完成。

簡單模式使用其中任意或兩者生成規則，而高級模式僅提供應用程式清單。

服務品質

在QoS Queue選項中，可以新增QoS策略：

新增Qos策略

排隊模型

接下來，您可以定義流量資料策略(新增流量策略)。

新增規則以匹配所需的流量並重定向到相應的轉發類。

QoS策略2

應用感知路由

您可以定義SLA類並在流量策略中使用它們以實現AAR策略的意圖。

AAR策略

應用/流可視性：

要啟用應用可視性和流可視性，請在配置組中使用CLI配置檔案/包。

(在20.13及更高版本中，可以在Advanced Settings in Policy Group下使用)。

但是，在20.12中，如果配置了AAR策略，則應用/流可視性已啟用。並且不需要使用CLI配置檔案/包裹進行配置。

流量策略

流量策略還可用於建立DIA策略、SIG重定向等。根據需要新增規則。

流量策略

附註：如果在簡單模式下建立應用優先順序和SLA策略，然後切換到高級模式，則某些「匹配」選項不可選擇。範例：「目標資料字首」呈灰色顯示。
若要使這些選項可用，請根據需要將Protocol從BOTH更改為IPv4或IPv6。

內嵌式安全

定義機載NGFW、IPS、惡意軟體和內容過濾的安全策略。

安全網際網路閘道/安全服務邊緣

定義為基於雲的內容和安全實體（如思科安全訪問）建立隧道所需的設定。

附註：使用傳統配置方法時，可作為功能模板使用。

DNS安全

定義設定以允許使用基於雲的DNS安全服務進行內容過濾。

利益集團

定義要在策略中使用的對象清單。範例：應用清單、VPN清單、站點清單、字首清單等。

此外，對於安全策略，請定義您的配置檔案，如高級檢查配置檔案、SSL解密策略等。

政策組 — 利益組

關聯和部署

與配置組類似，將裝置與策略組關聯並進行部署。

本地化策略

ACL、路由策略、裝置訪問策略等本地化策略在配置組中定義。

拓撲

定義網路拓撲。

從全網狀或星型網路開始，根據需要進行自定義。

拓撲選單

拓撲和VPN

建立拓撲和指定VPN時，請記住這些設計更改。

新設計允許將VPN名稱動態對映到VPN ID，而不是1:1對映。

對映到多個VPN ID的VPN名稱

插圖：
假設在兩個不同的配置組中有一個名為Corporate的VPN。

一個具有VPN ID 10，另一個具有VPN ID 20。

拓撲工作流VPN清單只顯示一個公司VPN例項。

選擇Corporate VPN後，SD-WAN Manager會根據拓撲確定VPN ID。
假設兩個站點中有兩個裝置：
1.站點100中的裝置1使用企業作為VPN 10
2.站點200中的裝置2，企業作為VPN 20

如果站點100和站點200都是拓撲的一部分，則SD-WAN Manager將建立一個VPN清單，該清單將同時具有兩個VPN ID（10和20）。
如果只有站點100是拓撲的一部分，則SD-WAN Manager將建立一個VPN清單，該清單將僅具有VPN ID 10。
如果只有站點200是拓撲的一部分，則SD-WAN Manager將建立一個VPN清單，該清單將僅具有VPN ID 20。

對映到同一VPN ID的多個VPN名稱

您可以使用對映到不同站點中不同VPN ID的相同VPN名稱配置多個拓撲策略。

SD-WAN Manager根據與哪些站點關聯的拓撲確定實際對映。

插圖：

兩個使用者可以建立兩個不同的配置組。

一個指定VPN ID 100為財務 VPN，另一個指定為工程VPN。

然後，它們可以使用各自的VPN名稱建立拓撲。

自註冊

要加入物理路由器，請使用快速連線工作流。

使用此工作流程，為要登入的裝置預定義主機名、系統IP和站點名稱/ID。Manager會自動生成這些檔案，但如果您想修改，可以對其進行修改。您還可以標籤裝置，然後這些裝置可用於將裝置自動關聯到配置組。

在PnP ZTP自註冊過程中，裝置會建立到SD-WAN Manager的控制平面隧道連線。SD-WAN Manager現在將預定義的交換矩陣配置推送到裝置，裝置將加入SD-WAN交換矩陣。

快速連線工作流

快速連線工作流描述

標籤

裝置可以與使用者定義的標籤關聯。

標籤可用於分組、描述、查詢或管理裝置。

標籤允許對裝置進行分組，然後這些裝置可用於其它功能。

標籤示例

範例：配置組與裝置的關聯。

可以設定配置組規則以使具有特定標籤的裝置能夠自動與該配置組相關聯。

新增標籤

在Configuration > Devices中，可以建立/新增標籤，或者將標籤從裝置中移除。

標籤配置組中的規則

在Configuration Group > Associated Devices頁面中，可以新增/編輯標籤規則。

插圖

標籤插圖

現有部署

在SD-WAN網路中，使用傳統配置和策略的裝置可以與使用簡化配置和策略的裝置共存。

本節為希望利用簡化配置和策略的客戶提供了一些建議，而本節提供了一些建議。

第一步是需要將裝置從裝置模板遷移到配置組。一旦完成，就可以部署策略組和/或拓撲。

配置組

裝置模板和配置組提供邊緣裝置配置。因此很容易發生共存。從裝置模板遷移到配置組的步驟如下：

為變數維護一致的命名方案可簡化特定於裝置的設定。如果所有裝置值都位於單個CSV中，則只需重新命名列標題一次。

附註：存在一個python指令碼，該指令碼與裝置模板或配置組的CSV檔案配合使用，以便合併列標題並按字母順序排列。該指令碼可在以下位置獲得：

https://github.com/BradEdgeworth/CSVMerger。

策略組

通過配置組配置的裝置可以使用集中策略，也可以向策略組遷移；但是對於同一應用程式不能同時執行兩者。從本質上講，目標是為邊緣裝置保留相同的底層策略。策略組將原始AAR和資料策略合併到單個應用程式優先順序和SLA PG元件中。實質上，策略配置的構建方式正在發生改變（但未傳送到SD-WAN管理器）。

必須注意的是，不能讓資料策略或AAR策略引用具有應用程式優先順序和SLA元件的站點的站點清單，因為它們都配置相同的設定。

當集中策略配置集中策略的不同元件時，集中策略僅引用使用具有應用程式優先順序和SLA)的策略組的站點。

將裝置從集中式策略遷移到策略組的步驟涉及以下步驟：

附註：雖然策略組可以與集中策略共存，但建議在將邊緣裝置轉換為配置組時，繼續使用集中策略（適用於AAR和資料策略）。然後，開始從集中式策略遷移到策略組，以獲得應用程式優先順序和SLA元件中的功能。

這樣做純粹是為了簡化操作，減少操作人員的混亂。

附註：策略組引擎以不同的格式儲存內容。因此，必須在策略組中重新建立集中策略中使用的字首清單。對於網站清單等其它內容可能會發生這種情況。

拓撲

通過配置組配置的裝置可以使用集中策略，也可以向拓撲遷移。實質上，目標是為SD-WAN控制器保留相同的底層控制策略。拓撲是控制策略的最新版本。  

必須注意的是，不能讓控制策略策略引用站點清單以及具有與其關聯的拓撲的站點，因為這兩個站點都配置相同的設定。

可以只使用資料策略和/或AAR策略的集中策略，以及配置不同元件的拓撲策略。

將裝置從集中策略遷移到策略組的步驟：

附註：雖然拓撲可以與集中式策略共存，但建議在將邊緣裝置轉換為配置組時保持集中式策略（用於拓撲和路由操作）。然後，開始從集中式策略到拓撲的遷移，以實現修改拓撲和路由操作的功能。

這樣做純粹是為了簡化，減少業務人員的混亂。

轉換工具

範圍

配置轉換工具將模板和策略轉換為配置組和策略組。它從目標SD-WAN Manager收集模板和策略配置，將其轉換為相應的配置組和策略組，並將新配置上載到目標SD-WAN Manager。該工具目前為20.12和20.13提供模板和策略轉換支援。 

訪問詳細資訊

SD-WAN門戶（正式名稱為SSP）上提供配置轉換工具。

使用方法

必要條件

使用該工具之前，請確保您的SD-WAN管理器正在運行20.12.x。如果沒有，請升級到20.12，然後再繼續。

此外，目標SD-WAN Manager必須通過網際網路訪問，並且必須接受來自74.207.103.254的傳入流量。

配置轉換工具工作流

轉換後

您的新配置現已可供使用。執行現有部署部分中的步驟，將裝置遷移到新轉換的配置組和策略組。

注意事項

• 該工具提供的轉換旨在作為指導。在生產環境中部署之前進行分析和測試。
• 此工具未考慮配置組的與裝置無關的能力。使用者可以分析其模板，然後選擇要轉換或分析轉換的配置組，並相應地關聯裝置，以從與裝置無關的功能中獲益。
• 將原始配置中的變數名稱和全域性值複製到新轉換的配置中。裝置特定的值則不是。
• 該工具不會將配置推送到裝置。執行轉換後，使用者負責將裝置從模板中分離，並將它們關聯到新的配置組。

支援

有關配置轉換工具的任何問題，請傳送電子郵件至sdwan-conversiontool-support@cisco.com。

20.12注意事項

相關資訊

• Cisco SD-WAN和雲網路YouTube通道
• UX2.0 — 操作簡化：1.配置單個路由器站點
• 思科技術支援與下載