目录

简介

先决条件

要求

使用的组件

背景

问题定义

软件架构

配置

vSmart策略

在cEdge上验证

策略

确认

检查数据策略计数器

数据包跟踪

数据包12

数据包13

检验回退到路由

在Umbrella门户上

生产数据策略示例

相关信息

简介

本文档介绍如何配置数据策略，以允许流量在SIG隧道失败时回退到路由。

先决条件

要求

思科建议您了解思科软件定义广域网(SDWAN)解决方案。

在应用数据策略将应用流量重定向到SIG之前，必须配置SIG隧道。

使用的组件

本文中的策略在软件版本20.9.1和Cisco IOS-XE 17.9.1上进行了测试。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景

通过此功能，您可以配置在所有SIG隧道关闭时通过思科SD-WAN重叠路由的互联网绑定流量，作为回退机制。

此功能在Cisco IOS XE 17.8.1a版和Cisco vManage 20.8.1版中引入

问题定义

在20.8版本之前，默认情况下，数据策略中的SIG操作是严格的。   如果SIG隧道关闭，流量将被丢弃。

软件架构

您还可以选择不严格并回退到路由以通过重叠发送流量。

路由可能导致重叠或其他转发路径（如NAT-DIA）。

总之，预期行为如下：

- 您可以选择将SIG操作设为默认严格或回退到路由。

- 默认行为是strict。 如果SIG隧道关闭，流量将被丢弃。

- 如果回退到路由已启用，

- 如果SIG隧道为UP状态，则通过SIG发送流量。

- 如果SIG隧道关闭，流量不会丢弃。流量通过正常路由。
注意：如果用户同时配置了SIG路由（通过配置或通过策略操作）和NAT DIA(ip nat route vrf 1 0.0.0.0 0.0.0.0 global)，并且如果隧道关闭，则路由将指向NAT DIA，路由也可以通过NAT DIA。如果您关注安全性（即所有流量可以经过重叠或通过SIG，但不能通过DIA），则不得配置NAT DIA。

- 如果SIG隧道变为UP，则仅通过SIG发送新流。任何当前流量都不会执行SIG操作。

- 如果SIG隧道关闭，所有流量都会通过路由，包括任何当前流和新流。

注意：当前流量先于SIG隧道传输，然后切换到路由会中断端到端会话。新流经过路由

配置

vSmart策略

数据策略

vSmart-1# show running-config policy

policy

data-policy _VPN10_sig-default-fallback-to-routing

vpn-list VPN10

sequence 1

match

source-data-prefix-list Default

!

action accept

count Count_26488854

sig

sig-action fallback-to-routing

!

!

default-action drop

!

!

lists

vpn-list VPN10

vpn 10

!

data-prefix-list Default

ip-prefix 0.0.0.0/0

!

site-list Site300

site-id 300

!

!

!

应用策略

vSmart-1# show running-config apply-policy

apply-policy

site-list Site300

data-policy _VPN10_sig-default-fallback-to-routing all

!

!

使用vSmart策略的策略生成器时，选中Fallback to Routing复选框，以便在所有SIG隧道关闭时通过思科SD-WAN重叠路由互联网绑定的流量。

在UI上选择Fallback to Routing操作时，fallback-to-routing和sig-action将添加到操作accept下的配置中。

在cEdge上验证

策略

Site300-cE1#show sdwan policy from-vsmart

from-vsmart data-policy _VPN10_sig-default-fallback-to-routing

direction all

vpn-list VPN10

sequence 1

match

source-data-prefix-list Default

action accept

count Count_26488854

sig

sig-action fallback-to-routing

default-action drop

from-vsmart lists vpn-list VPN10 vpn 10

from-vsmart lists data-prefix-list Default

ip-prefix 0.0.0.0/0

确认

使用ping确认流量正在路由。

Site300-cE1#  ping vrf 10 8.8.8.8

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/6/9 ms

Site300-cE1#

您可以使用show sdwan policy service-path命令验证流量预期采用的路径。

Site300-cE1# show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol  6 all

Number of possible next hops: 1

Next Hop: Remote

Remote IP: 0.0.0.0, Interface  Index: 29

Site300-cE1# show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol  17  all

Number of possible next hops: 1

Next Hop: Remote

Remote IP: 0.0.0.0, Interface  Index: 29

检查数据策略计数器

首先，使用clear sdwan policy data-policy命令清除计数器，使其从0开始。  您可以使用show sdwan policy data-policy-filter命令验证计数器是否处于活动状态。

Site300-cE1#clear sdwan policy data-policy

Site300-cE1#show sdwan policy data-policy-filter _VPN10_sig-default-fallback-to-routing

data-policy-filter _VPN10_sig-default-fallback-to-routing

data-policy-vpnlist VPN10

data-policy-counter Count_26488854

packets 0

bytes   0

data-policy-counter default_action_count

packets 0

bytes   0

使用ping发送您期望通过SIG隧道路由的一些数据包。

Site300-cE1#  ping vrf 10 8.8.8.8

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 5/7/11 ms

Site300-cE1#

使用show sdwan policy data-policy-filter命令验证ICMP数据包是否到达您的数据策略序列。

Site300-cE1#show sdwan policy data-policy-filter _VPN10_sig-default-fallback-to-routing

data-policy-filter _VPN10_sig-default-fallback-to-routing

data-policy-vpnlist VPN10

data-policy-counter Count_26488854

packets 5

bytes   500

data-policy-counter default_action_count

packets 0

bytes   0

数据包跟踪

设置数据包跟踪以了解路由器对数据包的响应。

Site300-cE1#show platform packet-trace summary

Pkt   Input                     Output                    State  Reason

12    INJ.2                     Gi1                       FWD

13    Tu100001                  internal0/0/rp:0          PUNT   11  (For-us data)

14    INJ.2                     Gi1                       FWD

15    Tu100001                  internal0/0/rp:0          PUNT   11  (For-us data)

16    INJ.2                     Gi1                       FWD

17    Tu100001                  internal0/0/rp:0          PUNT   11  (For-us data)

18    INJ.2                     Gi1                       FWD

19    Tu100001                  internal0/0/rp:0          PUNT   11  (For-us data)

20    INJ.2                     Gi1                       FWD

21    Tu100001                  internal0/0/rp:0          PUNT   11  (For-us data)

数据包12

来自数据包12的片段显示在数据策略中的流量命中序列1，并且被重定向到SIG。

Feature: SDWAN Data Policy IN

VPN ID       : 10

VRF          : 1

Policy Name  : sig-default-fallback-VPN10 (CG:1)

Seq          : 1

DNS Flags    : (0x0) NONE

Policy Flags : 0x10110000

Nat Map ID   : 0

SNG ID       : 0

Action       : REDIRECT_SIG Success 0x3

Action       : SECONDARY_LOOKUP Success

输出接口的Input lookup显示隧道接口（逻辑）。

Feature: IPV4_INPUT_LOOKUP_PROCESS_EXT

Entry       : Input - 0x81418130

Input       : internal0/0/rp:0

Output      : Tunnel100001

Lapsed time : 446 ns

在IPSec加密后，输入接口将被填充。

Feature: IPSec

Result    : IPSEC_RESULT_SA

Action    : ENCRYPT

SA Handle : 42

Peer Addr : 8.8.8.8

Local Addr: 10.30.1.1

Feature: IPV4_OUTPUT_IPSEC_CLASSIFY

Entry       : Output - 0x81417b48

Input       : GigabitEthernet1

Output      : Tunnel100001

Lapsed time : 4419 ns

路由器会执行其他几项操作，然后将数据包通过GigabitEthernet1接口传输出去。

Feature: MARMOT_SPA_D_TRANSMIT_PKT

Entry       : Output - 0x8142f02c

Input       : GigabitEthernet1

Output      : GigabitEthernet1

Lapsed time : 2223 ns

数据包13

路由器收到来自远程IP(8.8.8.8)的响应，但不确定发送该响应的人员，如输出中的Output: <unknown>所示。

Feature: IPV4(Input)

Input       : Tunnel100001

Output      : <unknown>

Source      : 8.8.8.8

Destination : 10.30.1.1

Protocol    : 1 (ICMP)

Feature: DEBUG_COND_INPUT_PKT

Entry       : Input - 0x813eb360

Input       : Tunnel100001

Output      : <unknown>

Lapsed time : 109 ns

由于数据包是在内部生成的，因此由路由器使用，输出显示为<internal0/0/rp:0>。

Feature: INTERNAL_TRANSMIT_PKT_EXT

Entry       : Output - 0x813ebe6c

Input       : Tunnel100001

Output      : internal0/0/rp:0

Lapsed time : 5785 ns

之后，数据包被传送到Cisco IOSd进程，该进程记录对数据包执行的操作。VRF 10中的本地接口IP地址为10.30.1.1。

IOSd Path Flow: Packet: 13    CBUG ID: 79

Feature: INFRA

Pkt Direction: IN

Packet Rcvd From DATAPLANE

Feature: IP

Pkt Direction: IN

Packet Enqueued in IP layer

Source      : 8.8.8.8

Destination : 10.30.1.1

Interface   : Tunnel100001

Feature: IP

Pkt Direction: IN

FORWARDED To transport layer

Source        : 8.8.8.8

Destination   : 10.30.1.1

Interface     : Tunnel100001

Feature: IP

Pkt Direction: IN

CONSUMED Echo reply

Source        : 8.8.8.8

Destination   : 10.30.1.1

Interface     : Tunnel100001

检验回退到路由

您可以通过管理关闭传输接口(TLOC)(GigabitEthernet1)（即Biz-Internet）来模拟故障切换。  它有Internet连接。

GigabitEthernet2 - MPLS TLOC为UP/UP，但没有互联网连接。  可以在show sdwan control local-properties wan-interface-list输出中看到控制状态。

Site300-cE1#show sdwancontrollocal-properties wan-interface-list

PUBLIC          PUBLIC PRIVATE         PRIVATE                                 PRIVATE                              MAX   RESTRICT/           LAST         SPI TIME    NAT  VM

INTERFACE                IPv4            PORT   IPv4            IPv6                                    PORT    VS/VM COLOR            STATE CNTRL CONTROL/     LR/LB  CONNECTION   REMAINING   TYPE CON REG

STUN                                              PRF ID

-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

GigabitEthernet1              10.2.6.2        12346  10.2.6.2        ::                                      12346    0/0  biz-internet     down   2     yes/yes/no   No/No  0:19:51:05   0:10:31:41  N    5  Default

GigabitEthernet2              10.1.6.2        12346  10.1.6.2        ::                                      12346    2/1  mpls             up     2     yes/yes/no   No/No  0:23:41:33   0:06:04:21  E    5  Default

从show ip interface brief输出中，GigabitEthernet1接口显示为管理性关闭。

Site300-cE1#show ip interface brief

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet1       10.2.6.2        YES other  administratively down down

GigabitEthernet2       10.1.6.2        YES other  up                    up

隧道100001口处于UP/DOWN状态。

Tunnel100001           10.2.6.2        YES TFTP   up                    down

现在没有互联网连接，因此从VRF 10到8.8.8.8的连通性失败。

Site300-cE1#  ping vrf 10 8.8.8.8

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:

U.U.U

Success rate is 0 percent (0/5)

show sdwan policy service-path命令显示，预期将采用要转到DC（数据中心）的OMP默认路由（回退到路由）。

本地路由器MPLS TLOC IP地址为10.1.6.2。

Site300-cE1#show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol  6 all

Number of possible next hops: 1

Next Hop: IPsec

Source: 10.1.6.2 12346 Destination: 10.1.2.2 12366 Local Color: mpls Remote Color: mpls Remote System IP: 10.1.10.1

Site300-cE1#show sdwan policy service-path vpn 10 interface GigabitEthernet 3 source-ip 10.30.1.1 dest-ip 8.8.8.8 protocol  17 all

Number of possible next hops: 1

Next Hop: IPsec

Source: 10.1.6.2 12346 Destination: 10.1.2.2 12366 Local Color: mpls Remote Color: mpls Remote System IP: 10.1.10.1

在Umbrella门户上

生产数据策略示例

典型的生产数据策略示例。

data-policy _VPN10_SIG_Fall_Back

vpn-list VPN10

sequence 1

match

app-list Google_Apps

source-ip 0.0.0.0/0

!

action accept

sig

sig-action fallback-to-routing

!

!

default-action drop

如果有问题，它会匹配来自任何来源的Google Apps，然后回退到路由。

相关信息

Cisco IOS-XE SDWAN策略文档

Cisco IOS-XE数据路径数据包跟踪功能文档

技术支持和文档 - Cisco Systems