解決常見的SD-WAN控制和資料平面問題

下載選項

  • PDF     (416.6 KB)
    在多種裝置上使用 Adobe Reader 檢視
已更新: 2024 年 8 月 15 日
文件 ID:222302

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本文說明如何開始排解常見軟體定義廣域網(SD-WAN)控制和資料平面問題。

    必要條件

    需求

    思科建議您瞭解Cisco Catalyst解決方案。

    採用元件

    本文件所述內容不限於特定軟體和硬體版本。  

    本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

    概觀

    本文設計為一個Runbook，為調試跨生產環境中出現的挑戰提供起點。每個部分都提供了常見的使用案例以及可能的資料點，以便在調試這些常見問題時進行收集或查詢。 

    基本配置

    確保路由器上存在基本配置，且重疊中每台裝置的裝置特定值是唯一的:

    系統配置

    system 
     system-ip <system –ip> 
     site-id <site-id> 
     admin-tech-on-failure 
     organization-name <organization name> 
     vbond <vbond–ip> 
    !

    Example:
    system 
     system-ip 10.2.2.1 
     site-id 2 
     admin-tech-on-failure 
     organization-name "TAC - 22201" 
     vbond 10.106.50.235
    !

    介面配置

    interface Tunnel0 
     no shutdown 
     ip unnumbered GigabitEthernet0/0/0 
     tunnel source GigabitEthernet0/0/0 
     tunnel mode sdwan 
    exit 

    sdwan 
     interface GigabitEthernet0/0/0 
      tunnel-interface 
       encapsulation ipsec 
       color blue restrict 
       no allow-service all 
       no allow-service bgp 
       no allow-service dhcp 
       no allow-service dns 
       no allow-service icmp 
       allow-service sshd 
       allow-service netconf 
       no allow-service ntp 
       no allow-service ospf 
       no allow-service stun 
       allow-service https 
       no allow-service snmp 
       no allow-service bfd 
      exit 
    exit

    確保路由器具有路由表中提供了路由，用於與控制器(vBond、vManage和vSmart)建立控制連線。 您可以使用此命令檢視路由表中安裝的所有路由：

    show ip route

    如果使用的是vBond FQDN，請確保配置的DNS伺服器或名稱伺服器具有用於解析vBond主機名的條目。您可以檢查是否使用以下命令配置了哪個DNS伺服器或名稱伺服器： 

    show run | in ip name-server

    憑證

    使用以下命令驗證路由器上是否已安裝憑證： 

    show sdwan certificate installed
    note-icon

    注意：如果您不使用企業證書，則路由器上已提供該證書。  對於硬體平台，裝置證書內建於路由器硬體中。對於虛擬路由器,vManage充當證書頒發機構，並為雲路由器生成證書。 

    如果您在控制器上使用企業證書，請確保在路由器上安裝企業CA的根證書。 

    使用以下命令驗證路由器上是否安裝了根證書:

    show sdwan certificate root-ca-cert
    show sdwan certificate root-ca-cert | inc Issuer

    檢查show sdwan control local-properties的輸出，以確保所需的配置和證書已準備就緒。 

    SD-WAN-Router#show sdwan control local-properties 
personality                       vedge 
sp-organization-name              TAC - 22201 
organization-name                 TAC - 22201 
root-ca-chain-status              Installed 
 
certificate-status                Installed 
certificate-validity              Valid 
certificate-not-valid-before      Nov 23 07:21:37 2015 GMT 
certificate-not-valid-after       Nov 23 07:21:37 2025 GMT 

 

enterprise-cert-status            Not-Applicable 
enterprise-cert-validity          Not Applicable 
enterprise-cert-not-valid-before  Not Applicable 
enterprise-cert-not-valid-after   Not Applicable 
 
dns-name                          10.106.50.235 
site-id                           2 
domain-id                         1 
protocol                          dtls 
tls-port                          0 
system-ip                         10.2.2.1 
chassis-num/unique-id             ASR1001-X-JAE194707HJ 
serial-num                        983558 
subject-serial-num                JAE194707HJ 
enterprise-serial-num             No certificate installed 
token                             -NA- 
keygen-interval                   1:00:00:00 
retry-interval                    0:00:00:18 
no-activity-exp-interval          0:00:00:20 
dns-cache-ttl                     0:00:02:00 
port-hopped                       TRUE 
time-since-last-port-hop          0:00:01:26 
embargo-check                     success 
number-vbond-peers                1 
 
INDEX   IP                                      PORT 
----------------------------------------------------- 
0       10.106.50.235                           12346 
 
number-active-wan-interfaces      2 
 
 
 NAT TYPE: E -- indicates End-point independent mapping 
           A -- indicates Address-port dependent mapping 
           N -- indicates Not learned 
           Note: Requires minimum two vbonds to learn the NAT type 
 
                         PUBLIC          PUBLIC PRIVATE         PRIVATE                                 PRIVATE                              MAX   RESTRICT/           LAST         SPI TIME    NAT  VM 

INTERFACE                IPv4            PORT   IPv4            IPv6                                    PORT    VS/VM COLOR            STATE CNTRL CONTROL/     LR/LB  CONNECTION   REMAINING   TYPE CON 
                                                                                                                                                   STUN                                              PRF 
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 
GigabitEthernet0/0/0          10.197.240.4    12426  10.197.240.4    ::                                      12426    0/0  blue             up     2     yes/yes/no   No/No  0:00:00:14   0:00:00:00  N    5 
GigabitEthernet0/0/1          10.197.242.10   12406  10.197.242.10   ::                                      12406    0/0  red              up     2     yes/yes/no   No/No  0:00:00:03   0:00:00:00  N    5

    檢查show sdwan control local-properties的輸出時，請確保滿足以下所有條件： 

    • 正確反映了organization-name。
    • 證書有效性在您檢查輸出時有效。 
    • vBond FQDN/IP地址正確。
    • System-ip/Site-id正確。
    • vBond IP地址可在「number-vbond-peers」條目中看到。如果未看到vBond IP地址，則使用命令ping <vBond FQDN>檢查vBond URL的DNS是否正在解析。
    • 使用正確的顏色、IP地址對映介面，並且介面狀態為UP。
    • 形成控制連線所需的介面的MAX CNTRL不是0。 

    控制連線的狀態

    使用以下命令檢查控制連線的狀態：  

    show sdwan control connections

    如果所有控制連線都已啟動，則裝置具有形成到vBond、vManage和vSmart的控制連線。建立所需的vSmart和vManage連線後，vBond控制連線即關閉。  

    note-icon

    附註：如果重疊中只有一個vSmart，並且max-control connections設定為預設值2，則除了預期的vManage和vSmart連線外，還會將持續控制連線保留為vBond。  

    此配置在sdwan介面部分的隧道介面配置下可用。可以使用show sdwan run sdwan命令進行驗證。如果在介面上將max-control-connection配置為0，則路由器不會在該介面上形成控制連線。 

    如果重疊中存在2個vSmarts，則路由器會在為控制連線配置的每個傳輸定位器(TLOC)顏色上與每個vSmart形成控制連線。 

    note-icon

    附註：在路由器有多個介面配置為形成控制連線的場景中，與vManage的控制連線僅形成在路由器的一種介面顏色上。

    SD-WAN-Router#show sdwan control connections 
                                                                                       PEER                                          PEER                                          CONTROLLER  
PEER    PEER PEER            SITE       DOMAIN PEER                                    PRIV  PEER                                    PUB                                           GROUP       
TYPE    PROT SYSTEM IP       ID         ID     PRIVATE IP                              PORT  PUBLIC IP                               PORT  ORGANIZATION            LOCAL COLOR     PROXY STATE UPTIME      ID          
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 
vsmart  dtls 10.1.1.3        1          1      10.106.50.254                           12346 10.106.50.254                           12346 vTAC-India - 22201      blue            No    up     0:00:00:23  0            
vbond   dtls  0.0.0.0        0          0      10.106.50.235                           12346 10.106.50.235                           12346 vTAC-India - 22201      blue            -     up     0:00:00:31  0            
vmanage dtls 10.1.1.2        1          0      10.106.65.182                           12346 10.106.65.182                           12346 vTAC-India - 22201      blue            No    up     0:00:00:27  0

    排除控制連線故障

    在show sdwan control connections的輸出中，如果所需的所有控制連線均未啟動，請驗證show sdwan control connection-history的輸出。

    SD-WAN-Router#show sdwan control connection-history
  
Legend for Errors 

ACSRREJ    - Challenge rejected by peer.               NOVMCFG   - No cfg in vmanage for device. 
BDSGVERFL  - Board ID Signature Verify Failure.        NOZTPEN   - No/Bad chassis-number entry in ZTP. 
BIDNTPR    - Board ID not Initialized.                 OPERDOWN  - Interface went oper down. 
BIDNTVRFD  - Peer Board ID Cert not verified.          ORPTMO    - Server's peer timed out. 
BIDSIG    - Board ID signing failure.                  RMGSPR    - Remove Global saved peer. 
CERTEXPRD  - Certificate Expired                       RXTRDWN   - Received Teardown. 
CRTREJSER  - Challenge response rejected by peer.      RDSIGFBD  - Read Signature from Board ID failed. 
CRTVERFL   - Fail to verify Peer Certificate.          SERNTPRES - Serial Number not present. 
CTORGNMMIS - Certificate Org name mismatch.            SSLNFAIL  - Failure to create new SSL context. 
DCONFAIL   - DTLS connection failure.                  STNMODETD - Teardown extra vBond in STUN server mode. 
DEVALC     - Device memory Alloc failures.             SYSIPCHNG - System-IP changed.  
DHSTMO     - DTLS HandShake Timeout.                   SYSPRCH   - System property changed  
DISCVBD    - Disconnect vBond after register reply.    TMRALC    - Timer Object Memory Failure. 
DISTLOC    - TLOC Disabled.                            TUNALC    - Tunnel Object Memory Failure. 
DUPCLHELO  - Recd a Dup Client Hello, Reset Gl Peer.   TXCHTOBD  - Failed to send challenge to BoardID.  
DUPSER     - Duplicate Serial Number.                  UNMSGBDRG - Unknown Message type or Bad Register msg. 
DUPSYSIPDEL- Duplicate System IP.                      UNAUTHEL  - Recd Hello from Unauthenticated peer. 
HAFAIL     - SSL Handshake failure.                    VBDEST    - vDaemon process terminated. 
IP_TOS     - Socket Options failure.                   VECRTREV  - vEdge Certification revoked. 
LISFD      - Listener Socket FD Error.                 VSCRTREV  - vSmart Certificate revoked. 
MGRTBLCKD  - Migration blocked. Wait for local TMO.    VB_TMO    - Peer vBond Timed out. 
MEMALCFL   - Memory Allocation Failure.                VM_TMO    - Peer vManage Timed out. 
NOACTVB    - No Active vBond found to connect.         VP_TMO    - Peer vEdge Timed out. 
NOERR      - No Error.                                 VS_TMO    - Peer vSmart Timed out. 
NOSLPRCRT  - Unable to get peer's certificate.         XTVMTRDN  - Teardown extra vManage. 
NEWVBNOVMNG- New vBond with no vMng connections.       XTVSTRDN  - Teardown extra vSmart. 
NTPRVMINT  - Not preferred interface to vManage.       STENTRY    - Delete same tloc stale entry. 
HWCERTREN  - Hardware vEdge Enterprise Cert Renewed    HWCERTREV - Hardware vEdge Enterprise Cert Revoked. 
EMBARGOFAIL - Embargo check failed  

                                                                       PEER                      PEER                                                                               
PEER     PEER     PEER             SITE        DOMAIN PEER             PRIVATE  PEER             PUBLIC                                   LOCAL      REMOTE     REPEAT                
TYPE     PROTOCOL SYSTEM IP        ID          ID     PRIVATE IP       PORT     PUBLIC IP        PORT    LOCAL COLOR      STATE           ERROR      ERROR      COUNT ORGANIZATION            DOWNTIME        
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              challenge       LISFD      NOERR      2     	TAC - 22201		2024-03-25T01:08:13-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   blue             up              LISFD      NOERR      0     	TAC - 22201		2024-03-25T01:08:13-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              connect         DCONFAIL   NOERR      16727 	TAC - 22201		2024-03-25T01:08:02-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   blue             connect         DCONFAIL   NOERR      2008  	TAC - 22201		2024-03-25T01:06:36-0700 
vmanage  dtls    10.1.1.2          1           0      10.106.65.182    12346    10.106.65.182    12346   blue             tear_down       DISTLOC    NOERR      4     	TAC - 22201		2024-03-25T01:06:18-0700 
vsmart   dtls    10.1.1.3          1           1      10.106.50.254    12346    10.106.50.254    12346   blue             tear_down       DISTLOC    NOERR      1     	TAC - 22201		2024-03-25T01:06:18-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   blue             up              LISFD      NOERR      15    	TAC - 22201 	2024-03-25T01:06:13-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              connect         DCONFAIL   NOERR      12912 	TAC - 22201 	2024-03-25T01:05:20-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   blue             connect         DCONFAIL   NOERR      11468 	TAC - 22201 	2024-03-25T01:04:36-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              connect         DCONFAIL   NOERR      10854 	TAC - 22201		2024-03-25T00:57:49-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              connect         DCONFAIL   NOERR      4660  	TAC - 22201 	2024-03-25T00:51:30-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              connect         DCONFAIL   NOERR      2600  	TAC - 22201		2024-03-25T00:48:48-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   red              tear_down       DISTLOC    NOERR      6     	TAC - 22201 	2024-03-25T00:44:23-0700 
vbond    dtls     0.0.0.0          0           0      10.106.50.235    12346    10.106.50.235    12346   blue             connect         DCONFAIL   NOERR      9893  	TAC - 22201 	2024-03-25T00:37:00-0700

    在show sdwan control connection-history 輸出中，檢查以下專案：

    • 在給定時間戳時控制連線失敗的控制器型別。
    • 控制元件連線失敗時出現的錯誤。錯誤列、本地錯誤和遠端錯誤有2列。Local error表示路由器生成的錯誤。「遠端錯誤」表示各個控制器生成的錯誤。 輸出開頭有一個錯誤圖例。 
    • Repeat count，指示連線失敗次數，原因相同。

    常見錯誤代碼故障

    • DCONFAIL（DTLS連線失敗）:此錯誤表示在路由器和相應的控制器之間交換的DTLS資料包丟失，因此DTLS握手無法完成。為了更好地理解這一點，您可以在路由器和各自的控制器上設定同步資料包捕獲。Embedded Packet Capture 部分中介紹了設定資料包捕獲的不同方法。分析資料包捕獲時，確保從一端傳送的資料包在另一端接收而不進行任何修改非常重要。如果在另一端未收到從一端傳送的資料包，則表示底層電路中存在資料包丟失，需要向服務提供商進行驗證。有關如何捕獲資料包的更多詳細資訊，請參閱底層問題部分。
    • BIDNTVRFD（未驗證主機板ID）：此錯誤表示UUID和證書序列號不是控制器vEdge清單中的有效項目。您可以使用以下命令檢查控制器上有效來源清單的輸出：
    vBond: show orchestrator valid-vedges
    vManage/vSmart: show control valid-vedges

    通常，BIDNTVRFD是路由器上的遠端錯誤，因為它是控制器上產生的。在各自的控制器上，可以使用以下命令驗證/var/log/tmplog目錄中的vdebug檔案中的日誌：  

    vmanage# vshell 
    vmanage:~$ cd /var/log/tmplog/ 
    vmanage:/var/log/tmplog$ tail -f vdebug
    • CRTVERFL（證書驗證失敗）：此錯誤表示無法驗證對等體傳送的證書。
    • 如果這是路由器上的本地錯誤，則表示路由器無法驗證作為DTLS握手的一部分傳送的控制器的證書。發生此問題的常見原因之一是，路由器沒有簽署控制器憑證的憑證機構的根憑證。使用這些命令驗證證書的狀態，以確保需要路由器上存在所需的根證書。
    show sdwan certificate root-ca-cert
    show sdwan certificate root-ca-cert | inc Issuer
    • 如果此錯誤是路由器上的遠端錯誤，請檢查相應控制器上的vdebug日誌檔案，使用以下命令瞭解原因：
    vmanage# vshell 
    vmanage:~$ cd /var/log/tmplog/ 
    vmanage:/var/log/tmplog$ tail -f vdebug
    • VB_TMO（vBond超時）/VM_TMO（vManage超時）/VP_TMO（vPeer超時）/VS_TMO（vSmart超時）:這些錯誤表示裝置之間存在資料包丟失，從而導致控制連線超時。為了更好地理解這一點，您可以在路由器和相應的控制器上設定同步資料包捕獲。Embedded Packet Capture 部分中介紹了設定資料包捕獲的不同方法。分析封包擷取時，必須確保從一端傳送的封包會在另一端收到，而不會進行任何修改，這一點非常重要。如果一端傳送的封包沒有在另一端接收，這表示底層電路中有封包遺失，需要向服務提供者驗證

    有關如何排除其它控制連線故障錯誤代碼的指導，請參閱以下文檔：

    排除SD-WAN控制連線故障

    底層問題

    用於解決底層中資料包丟失問題的工具因裝置而異。對於SD-WAN控制器和vEdge路由器，可以使用tcpdump命令。 對於Catalyst IOS® XE邊緣，請使用嵌入式資料包捕獲(EPC)和功能呼叫陣列(FIA)跟蹤。 

    要瞭解控制連線失敗的原因並瞭解問題所在，您需要瞭解資料包丟失的發生位置。   例如，如果您有vBond和Edge路由器未形成控制連線，本指南說明了如何隔離問題。 

    TCP傾印

      

    tcpdump vpn 0 interface ge0/0 options "host 10.1.1.x -vv"

    根據封包的要求和回應，使用者可以瞭解負責捨棄的裝置。tcpdump命令可用於所有控制器和vEdge裝置。

    嵌入式封包擷取

                                                                          

    在裝置上建立ACL。

    ip access-list extended TAC
    10 permit ip host <edge-private-ip> host <controller-public-ip>
    20 permit ip host <controller-public-ip> host <edge-private-ip>

    配置並啟動監控器捕獲。

    monitor capture CAP access-list TAC bidirectional
    monitor capture CAP start

    停止捕獲並匯出捕獲檔案。

    monitor capture CAP stop 
    monitor capture CAP export bootflash:

    在Wireshark中檢視檔案的內容以瞭解丟包。您可以在配置和捕獲軟體上的嵌入式封包中尋找其他詳細資訊。

    FIA跟蹤

    配置FIA跟蹤。

    debug platform condition ipv4  both
    debug platform packet-trace packet 2048 fia-trace data-size 4096
    debug platform condition start

    檢視封包輸出的最後短語。 

    debug platform condition stop
    show platform packet-trace summary
    show platform packet-trace summary | i DROP

    如果存在丟包，則分析已丟棄資料包的FIA跟蹤輸出。 

    show platform packet-trace packet <packet-no> decode

    若要瞭解其他FIA追蹤選項，請參閱以下檔案：使用IOS-XE資料路徑封包追蹤功能進行疑難排解

    「Determine Policy Drops on Catalyst SD-WAN Edge with FIA Trace」影片提供了使用FIA跟蹤的示例。 

    正在生成Admin-Tech

    請參閱在SD-WAN環境中收集管理技術並上傳到TAC案例 — Cisco

    相關資訊

    技術支援與文件 - Cisco Systems

    修訂記錄

    修訂 發佈日期 意見
    1.0
    15-Aug-2024
    初始版本
    TAC Authored

    由思科工程師貢獻

    • Afroz Dalal
      Cisco TAC Technical Leader
    • Accamma Muddappa
      Cisco TAC Engineer
    • Md Aamir Sadique
      Cisco TAC Engineer

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品