排除SD-WAN自動隧道故障

簡介

本檔案將說明SD-WAN自動通道運作方式。

概觀

本文說明SD-WAN路由器自動隧道的工作原理。

已提供先決條件和配置指南：

• Cisco SD-WAN安全配置指南，Cisco IOS XE版本17.x
• vEdge路由器安全配置指南，Cisco SD-WAN版本20

詳細資料

在Cisco vManage上完成配置後，模板將被推送到SD-WAN路由器：

• SD-WAN路由器執行API呼叫(使用Key + Secret到management.api.umbrella.com)，在Umbrella控制面板上建立隧道 
• 接下來，SD-WAN路由器（v17.5之前的版本）解析硬編碼FQDN並確定最近的DC:
  • global-a.vpn.sig.umbrella.com
  • global-b.vpn.sig.umbrella.com
• 在v17.5或更高版本上，vManage提供選擇Umbrella Tunnel DC的選項。當硬編碼FQDN解析到不需要的傘狀通道DC時，此功能非常有用。

       screenshot.png

• SD-WAN路由器發起到Umbrella VPN頭端的IPsec連線

故障排除和常見問題

Q:如果我無法看到Umbrella控制面板上的隧道註冊器，會發生什麼情況？

A:檢查Umbrella Management API Key和Secret是否正確。  確保沒有阻塞通過TCP 443與management.api.umbrella.com的連線

Q:為什麼IPSec自動隧道連線到區域之外的DC?

A:以下是Umbrella通道DC的清單：透過通道連線至Cisco Umbrella。Umbrella使用任播技術確定最近的DC。所選的DC可能不是地理上最接近的。

如果連線的Umbrella隧道DC不理想，請將SD-WAN路由器升級到v17.5或使用手動方法：cEdge vEdge

Q:如果我重新命名了Umbrella Dashboard上的隧道名稱以反映客戶的站點，會發生什麼情況？

A:建議不要這樣做，因為在特定情況下（例如路由器重新啟動），SD-WAN路由器會對Umbrella控制面板執行API呼叫，以檢查是否存在隧道或是否需要新的隧道設定。如果已重新命名預設隧道名稱，則API呼叫將預配新隧道，並且客戶需要將新隧道與相應的策略相關聯。