- Katılım
- 15 May 2013
- Konular
- 1,209
- Mesajlar
- 7,330
- Çözüm
- 6
- Online süresi
- 2mo 16d
- Reaksiyon Skoru
- 5,963
- Altın Konu
- 410
- Başarım Puanı
- 349
- MmoLira
- 1,998
- DevLira
- 6
ROHAN2 WORLD 1-120 TR TİPİ OFFICIAL YOHARA, BALATHOR VE AMON! 80. GÜNÜNDE! +10.000 ONLİNE! HİLE VE BOT %100 ENGELLİ HEMEN TIKLA!
OMP Nedir?
Cisco Overlay Management Protocol (OMP), BGP'ye benzer, SD-WAN kontrol düzlemini kuran ve koruyan, hepsi bir arada TCP tabanlı bir protokoldür. OMP, vEdge yönlendiricileri ile vSmart denetleyicileri arasında ve denetleyicilerin kendileri arasında çalışır. Protokol şunlardan sorumludur:
- Sd-wan alanındaki ağ siteleri arasında Taşıma Konum Belirleyicilerinin (TLOC) dağılımı.
- Hizmet tarafı ulaşılabilirlik bilgilerinin dağıtımı.
- Hizmet zinciri bilgilerinin dağıtımı.
- Veri düzlemi güvenlik parametrelerinin, VPN etiketlerinin ve kripto anahtarlarının dağıtımı.
- Veri dağıtımı ve uygulamaya duyarlı yönlendirme (AAR) politikaları.
vEdges , kaplama yapısına katıldığında otomatik olarak vSmart denetleyicilerine OMP eşlemesi başlatır . Buradaki önemli nokta, bu OMP eşlemesinin iki uç noktasının vEdge yönlendiricisinin ve denetleyicinin Sistem IP'leri olmasıdır, bu da geri döngü arayüzleri arasında kurulan bir rota yansıtıcısı ile bir RR istemcisi arasındaki BGP eşlemesine benzer. Bu nedenle, OMP eşlemesi vSmart'a olan DTLS kontrol bağlantılarından hiçbirine kesin olarak bağlı değildir. Geri döngüler arasındaki bir BGP eşlemeye benzer şekilde, OMP eşlemesi, BGP eşlemesinin geri döngüler arasındaki tüm kullanılabilir IP yollarını kullanacağı şekilde tüm kullanılabilir kontrol bağlantılarını kullanır.
OMP, ölçeklendiğinde geleneksel IGP protokollerinin karşılaştığı zorlukları ele alır. OMP, katmanda çalıştığı için, yönlendirme eşleri kavramı geleneksel bir WAN ortamından farklıdır. Mantıksal bir bakış açısından, katman yapısı birkaç vSmart denetleyicisi ve birçok vEdge yönlendiricisinden oluşur. Yönlendiriciler yalnızca vSmart denetleyicileriyle eşleşir. vEdge'ler, Cisco SD-WAN yapısı üzerinde kendi aralarında herhangi bir kontrol düzlemi ilişkisi oluşturmaz . Bu, geleneksel IGP'lerdeki yönlendirme eşleme modelinden önemli bir farktır. vEdge yönlendiricilerinin kendi aralarında yönlendirme bitişiklikleri oluşturması gerekmez ve aşırı sayıda yönlendirme güncellemesine yanıt vermek zorunda değildir. Tüm bunlar, özellikle yüzlerce konuşmacının bulunduğu büyük ölçekli dağıtımlarda, OMP'yi geleneksel yönlendirmeye kıyasla daha yönetilebilir, güvenli ve daha verimli hale getirir.
OMP, temel bileşendirWAN'ın yatay olarak ölçeklenmesini sağlar.vSmart denetleyicisi, kaplama için tüm yönlendirme hesaplamalarını yapar ve OMP bu bilgileri yapı boyunca yayar. Bu nedenle, SD-WAN etki alanına yeni vEdge yönlendiricileri eklemek, mevcut WAN kenar yönlendiricilerinin performansını etkilemez çünkü tek tek yönlendiriciler, kaplama yapısının tamamı için yönlendirme hesaplamaları yapmaz.
OMP, ölçeklendiğinde geleneksel IGP protokollerinin karşılaştığı zorlukları ele alır. OMP, katmanda çalıştığı için, yönlendirme eşleri kavramı geleneksel bir WAN ortamından farklıdır. Mantıksal bir bakış açısından, katman yapısı birkaç vSmart denetleyicisi ve birçok vEdge yönlendiricisinden oluşur. Yönlendiriciler yalnızca vSmart denetleyicileriyle eşleşir. vEdge'ler, Cisco SD-WAN yapısı üzerinde kendi aralarında herhangi bir kontrol düzlemi ilişkisi oluşturmaz . Bu, geleneksel IGP'lerdeki yönlendirme eşleme modelinden önemli bir farktır. vEdge yönlendiricilerinin kendi aralarında yönlendirme bitişiklikleri oluşturması gerekmez ve aşırı sayıda yönlendirme güncellemesine yanıt vermek zorunda değildir. Tüm bunlar, özellikle yüzlerce konuşmacının bulunduğu büyük ölçekli dağıtımlarda, OMP'yi geleneksel yönlendirmeye kıyasla daha yönetilebilir, güvenli ve daha verimli hale getirir.
OMP, temel bileşendirWAN'ın yatay olarak ölçeklenmesini sağlar.vSmart denetleyicisi, kaplama için tüm yönlendirme hesaplamalarını yapar ve OMP bu bilgileri yapı boyunca yayar. Bu nedenle, SD-WAN etki alanına yeni vEdge yönlendiricileri eklemek, mevcut WAN kenar yönlendiricilerinin performansını etkilemez çünkü tek tek yönlendiriciler, kaplama yapısının tamamı için yönlendirme hesaplamaları yapmaz.
OMP Eşleştirme
OMP, tüm Cisco SD-WAN uç aygıtlarında varsayılan olarak etkindir. vEdges Zero-Touch Provisioning sürecinden geçtiğinde, tüm kullanılabilir vSmart denetleyicilerinin adreslerini öğrenir ve bunlara otomatik olarak güvenli bağlantılar başlatır. Varsayılan olarak, bu bağlantılar Datagram Transport Layer Security (DTLS) protokolü aracılığıyla doğrulanır ve şifrelenir. Kullanılabilir aktarım sayısına bağlı olarak, her vEdge yönlendirici her TLOC aracılığıyla güvenli bir kontrol bağlantısı kurmaya çalışır. Ancak, Şekil 2'de gösterildiği gibi, OMP eşlemesi Sistem IP'lerini kullanır ve aynı denetleyiciye birden fazla DTLS bağlantısı olsa bile, bir WAN Edge aygıtı ile bir vSmart denetleyicisi arasında yalnızca bir eşleme oturumu kurulur.
Aşağıdaki çıktıda WAN uç cihazının vSmart kontrol cihazına 1.1.0.3 IP adresiyle başlatılan iki DTLS kontrol bağlantısına sahip olduğunu görebilirsiniz. Bir bağlantı MPLS taşıma yoluyla, diğeri ise İnternet yoluyla.
show control connections
vsmart dtls 1.1.0.3 1 1.1.1.70 12346 mpls up
vsmart dtls 1.1.0.3 1 1.1.1.70 12346 public-internet up
vbond dtls - 0 1.1.1.60 12346 mpls up
vbond dtls - 0 1.1.1.60 12346 public-internet up
vmanage dtls 1.1.0.1 1 1.1.1.50 12346 mpls up
Ancak, denetleyiciye kaç tane omp peering oturumu olduğunu kontrol edersek, yalnızca bir tane olduğunu görebiliriz.
show omp peers
R -> routes received
I -> routes installed
S -> routes sent
DOMAIN OVERLAY SITE
PEER TYPE ID ID ID STATE UPTIME R/I/S
-------------------------------------------------------------
1.1.0.3 vsmart 1 1 1 up 0:14:25:18 4/1/8
Bilmeniz gereken bir diğer önemli şey ise bu DTLS kontrol düzlemi tünellerinin diğer protokoller tarafından da kullanıldığıdır. Örneğin, OMP'nin yanı sıra NETCONF ve SNMP de bu güvenli bağlantılar üzerinden taşınacaktır. Bu şifreli DTLS tünellerini kullanarak, artık SNMP, NTP vb. gibi protokollerin yerel güvenliği konusunda endişelenmemize gerek kalmayacaktır.
Tipik bir üretim dağıtımında, yedeklilik amaçları için en az iki veya üç denetleyici bulunur. Birden fazla vSmart'ımız olduğunda, Şekil 4'te gösterildiği gibi, bunlar arasında tam ağ biçiminde OMP eşlemesi de kurarlar.
Aşağıdaki çıktıda WAN uç cihazının vSmart kontrol cihazına 1.1.0.3 IP adresiyle başlatılan iki DTLS kontrol bağlantısına sahip olduğunu görebilirsiniz. Bir bağlantı MPLS taşıma yoluyla, diğeri ise İnternet yoluyla.
show control connections
vsmart dtls 1.1.0.3 1 1.1.1.70 12346 mpls up
vsmart dtls 1.1.0.3 1 1.1.1.70 12346 public-internet up
vbond dtls - 0 1.1.1.60 12346 mpls up
vbond dtls - 0 1.1.1.60 12346 public-internet up
vmanage dtls 1.1.0.1 1 1.1.1.50 12346 mpls up
Ancak, denetleyiciye kaç tane omp peering oturumu olduğunu kontrol edersek, yalnızca bir tane olduğunu görebiliriz.
show omp peers
R -> routes received
I -> routes installed
S -> routes sent
DOMAIN OVERLAY SITE
PEER TYPE ID ID ID STATE UPTIME R/I/S
-------------------------------------------------------------
1.1.0.3 vsmart 1 1 1 up 0:14:25:18 4/1/8
Bilmeniz gereken bir diğer önemli şey ise bu DTLS kontrol düzlemi tünellerinin diğer protokoller tarafından da kullanıldığıdır. Örneğin, OMP'nin yanı sıra NETCONF ve SNMP de bu güvenli bağlantılar üzerinden taşınacaktır. Bu şifreli DTLS tünellerini kullanarak, artık SNMP, NTP vb. gibi protokollerin yerel güvenliği konusunda endişelenmemize gerek kalmayacaktır.
Tipik bir üretim dağıtımında, yedeklilik amaçları için en az iki veya üç denetleyici bulunur. Birden fazla vSmart'ımız olduğunda, Şekil 4'te gösterildiği gibi, bunlar arasında tam ağ biçiminde OMP eşlemesi de kurarlar.
OMP Rota Reklamları
Cisco vEdge yönlendiricileri, doğrudan bağlı ağlardan, site-yerel ortamda çalışan statik ve dinamik yönlendirme protokollerinden öğrendikleri rotaları toplar. Bu rotalar daha sonra tüm OMP eşlerine (denetleyicilere) karşılık gelen TLOC sonraki atlamalarıyla birlikte duyurulur. Ulaşılabilirlik bilgilerini temsil eden rotalara OMP rotaları veya sadece vRoutes (geleneksel IP rotalarından ayırt etmek için) denir. Ancak vEdge'ler ayrıca site-yerel ağda çalışan tüm yerel olarak bağlı hizmetleri vSmart'a duyurur. Hizmetler arasında yük dengeleyiciler, güvenlik duvarları, IDS (İhlal Algılama Sistemleri) bulunur ve ayrıca müşteri tarafından tanımlananlar da olabilir.
vSmart kontrolcüleri, vEdges'ten gelen bu OMP rota duyuruları aracılığıyla, kaplama yapısının topolojisini ve tüm mevcut ağ servislerini öğrenir.
vSmart kontrolcüleri, vEdges'ten gelen bu OMP rota duyuruları aracılığıyla, kaplama yapısının topolojisini ve tüm mevcut ağ servislerini öğrenir.
- OMP rotaları: OMP Rotaları, vRoutes olarak da adlandırılır, vEdge'in servis tarafında çalışan bağlı arayüzler, statik rotalar ve dinamik yönlendirme protokolleri (OSPF, EIGRP ve BGP gibi) aracılığıyla yerel sitede öğrenilen öneklerdir. Bu önekler OMP'ye yeniden dağıtılır ve vSmart denetleyicisine duyurulur, böylece kaplama yapısı üzerinden diğer tüm WAN kenar düğümlerine taşınabilirler. OMP rotaları bir sonraki sıçramalarını bir TLOC'ye çözümler. Bir OMP rotası, yalnızca bir sonraki sıçrama TLOC'si biliniyorsa ve bu TLOC ile ilişkili UP durumunda bir BFD oturumu varsa yönlendirme tablosuna yüklenir;
- TLOC rotaları, bağlı WAN taşımalarının Taşıma Konum Belirleyicilerini, genel ve özel IP adresleri, renk, TLOC tercihi, site kimliği, ağırlık, etiketler ve şifreleme anahtarları gibi ek niteliklerle birlikte duyurur.
- Hizmet yolları, vEdge yerel site ağına bağlı güvenlik duvarları ve IPS gibi gömülü ağ hizmetlerini duyurur.
OMP Rotaları
Her Cisco vEdge yönlendiricisi, yerel sitede öğrenilen önekleri vSmart denetleyicilerine OMP rotaları (vRoutes) olarak duyurur. OMP, EIGRP, OSPF ve BGP gibi geleneksel protokollerden ulaşılabilirlik bilgilerini içe aktarabilir ve ayrıca bağlı ve statik rotaları duyurur. OMP rota güncellemeleri, geleneksel yönlendirme güncellemelerine çok benzer. Ancak, temel fark, bir vRoute'un bir sonraki atlamasının bir TLOC rotasına işaret etmesidir. BGP'de, bir sonraki atlama IP adresi yönlendirme tablosunda çözülmezse rota geçersizdir. OMP'de, bir vRoute'un TLOC rota tablosunda çözülemeyen bir sonraki atlama TLOC'si varsa, BGP'ye benzer şekilde Geçersiz olarak işaretlenir.
Üsteki şekilde, vEdge-1 doğrudan VPN1'deki 1.1.1.0/24 alt ağına bağlıdır ve biz-internet ve mpls renkleriyle işaretlenmiş iki taşıma arayüzüne sahiptir (TLOC'ler T1 ve T2). Yönlendirici, denetleyiciye 1.1.1.0/24'ün VPN1'de TLOC'ler T1 ve T2 aracılığıyla ulaşılabilir olduğunu duyurur. Bu duyuru bir OMP GÜNCELLEME mesajında vRoute olarak taşınır. Diğer tarafta, vEdge-2 VPN1'deki OSPF aracılığıyla öğrenilen ulaşılabilirlik bilgisini içe aktarır ve 2.2.2.0/24 alt ağının VPN1'de TLOC'ler T3 ve T4 aracılığıyla ulaşılabilir olduğunu duyurur.
vRoutes, erişilebilirlik bilgilerine ek olarak birçok öznitelikten oluşur. Her bir özniteliği kısa bir açıklama ile listeleyelim:
Üsteki şekilde, vEdge-1 doğrudan VPN1'deki 1.1.1.0/24 alt ağına bağlıdır ve biz-internet ve mpls renkleriyle işaretlenmiş iki taşıma arayüzüne sahiptir (TLOC'ler T1 ve T2). Yönlendirici, denetleyiciye 1.1.1.0/24'ün VPN1'de TLOC'ler T1 ve T2 aracılığıyla ulaşılabilir olduğunu duyurur. Bu duyuru bir OMP GÜNCELLEME mesajında vRoute olarak taşınır. Diğer tarafta, vEdge-2 VPN1'deki OSPF aracılığıyla öğrenilen ulaşılabilirlik bilgisini içe aktarır ve 2.2.2.0/24 alt ağının VPN1'de TLOC'ler T3 ve T4 aracılığıyla ulaşılabilir olduğunu duyurur.
vRoutes, erişilebilirlik bilgilerine ek olarak birçok öznitelikten oluşur. Her bir özniteliği kısa bir açıklama ile listeleyelim:
- VPN : Her OMP rotası bir VPN ile ilişkilendirilir ve her Cisco SD-WAN cihazı her VPN için ayrı bir yönlendirme tablosu tutar. Bu, farklı VPN'lerde olmaları koşuluyla, örtüşen alt ağ aralıklarının kullanılmasına olanak tanır. Yukarıdaki örnekte, her iki alt ağ 1.1.1.0/24 ve 2.2.2.0/24 VPN1 ile ilişkilendirilmiştir ve yalnızca o ağ segmentinde erişilebilir olacaktır;
- Originator : Bu, rotanın başlangıçta öğrenildiği yönlendiricinin Sistem IP'sidir. 1.1.1.0/24 öneki örneğimizde, bu değer vEdge-1'in sistem IP'si olacaktır;
- TLOC : Bu, OMP rotasının bir sonraki atlama tanımlayıcısıdır. Örnekte vEdge-1'in 1.1.1.0/24 öneki için iki vroute duyurduğuna dikkat edin, biri tloc T1 ve diğeri tloc T2 üzerinden. Bu, vSmart denetleyicisine ve ardından tüm uzak WAN kenar yönlendiricilerine 1.1.1.0/24 alt ağına ulaşmak için tloc T1 veya T2'ye etkin bir üst katman tüneli olması gerektiğini söyler. Etkin, bu tünelle ilişkili BFD durumunun UP durumunda olması gerektiği anlamına gelir;
- Site Kimliği : Site kimliği, BGP AS numarasına benzer bir rol oynar. Öncelikle döngü önleme için kullanılır. Tüm sitelerin benzersiz bir site kimliği olmalı ve aynı konumdaki tüm cihazların aynı site kimliği olmalıdır. Yukarıdaki örnekte, 1.1.1.0/24 öneki için site kimliği 1 olurdu;
- Origin-Protocol : Bu, vEdge yönlendiricisinin yönlendirme bilgilerini öğrendiği orijinal protokoldür. Bağlı bir arayüz, statik rota veya OSPF, EIGRP veya BGP gibi mevcut dinamik yönlendirme protokollerinden herhangi biri olabilir. T1 üzerinden 1.1.1.0/24 öneki örneğinde, origin-proto Connected ve 2.2.2.0/24 için OSPF-IA olacaktır.
- Origin-Metric : OMP, origin protokolüyle birlikte orijinal metrik değerini içerir. Bu değerler daha sonra OMP hedeflere doğru en iyi rotaları hesapladığında en iyi yol algoritmasında kullanılır. T1 üzerinden 1.1.1.0/24 öneki örneğinde origin-metric 0 olacaktır.
- Tercih : Bu öznitelik OMP tercihi veya vRoute tercihi olarak da adlandırılır, bu nedenle TLOC rotalarındaki TLOC tercihi özniteliğiyle karıştırılmaz. OMP Tercihi, belirli bir vroute için OMP en iyi yol seçimini etkilemek için kullanılır. Daha yüksek daha iyidir. Yukarıdaki örnekte, 1.1.1.0/24'e giden trafiğin her zaman MPLS bulutundan geçmesini sağlayacak şekilde kaplama yönlendirmesini değiştirmek istersek, T2 aracılığıyla 1.1.1.0/24 vroute'una daha yüksek bir OMP Tercihi değeri ayarlayabiliriz. OMP tercihi, BGP'deki local_peference'a çok benzer şekilde çalışır;
- Etiket : Bu, geleneksel yönlendirmedeki rota etiketlerine benzer. Bir değer ayarlandığında, politika aracılığıyla üzerinde işlem yapılabilen geçişli bir niteliktir.
Tek bir vRoute'un gerçek bir örneği aşağıdaki çıktıda görülebilir:
vEdge-1# show omp route 172.16.1.0/24
---------------------------------------------------
omp route entries for vpn 1 route 172.16.1.0/24
---------------------------------------------------
RECEIVED FROM:
peer 1.1.1.30
path-id 5
label 1004
status C,I,R
loss-reason not set
lost-to-peer not set
lost-to-path-id not set
Attributes:
originator 3.3.3.3
type installed
tloc 3.3.3.3, mpls, ipsec
ultimate-tloc not set
domain-id not set
overlay-id 1
site-id 2
preference not set
tag not set
origin-proto connected
origin-metric 0
as-path not set
community not set
unknown-attr-len not set
OMP, çoğu geleneksel yönlendirme protokolü gibi, yalnızca birden fazla eşit maliyetli vroute veya vroutes varsa en iyi vroute veya vroutes'u duyurur. Mantıksal olarak, geçersiz vroutes (çözümlenmemiş TLOC sonraki sıçraması olan) en iyi özniteliklere sahip olsalar bile duyurulmaz.
vEdge-1# show omp route 172.16.1.0/24
---------------------------------------------------
omp route entries for vpn 1 route 172.16.1.0/24
---------------------------------------------------
RECEIVED FROM:
peer 1.1.1.30
path-id 5
label 1004
status C,I,R
loss-reason not set
lost-to-peer not set
lost-to-path-id not set
Attributes:
originator 3.3.3.3
type installed
tloc 3.3.3.3, mpls, ipsec
ultimate-tloc not set
domain-id not set
overlay-id 1
site-id 2
preference not set
tag not set
origin-proto connected
origin-metric 0
as-path not set
community not set
unknown-attr-len not set
OMP, çoğu geleneksel yönlendirme protokolü gibi, yalnızca birden fazla eşit maliyetli vroute veya vroutes varsa en iyi vroute veya vroutes'u duyurur. Mantıksal olarak, geçersiz vroutes (çözümlenmemiş TLOC sonraki sıçraması olan) en iyi özniteliklere sahip olsalar bile duyurulmaz.
TLOC Rotaları
TLOC rotası, bir tünel uç noktası olarak hizmet veren ve {System-IP, Color, Encapsulation} ile benzersiz bir şekilde tanımlanan bir WAN bağlantısını temsil eder . Sistem IP adresinin, bir TLOC rotası için tanımlayıcı olarak arayüz IP adresi yerine kullanıldığını unutmayın. Bunun nedeni, arayüz IP'sinin herhangi bir anda değişebilmesidir. Sabit Sistem IP'sini kullanmak,TLOC, herhangi bir arayüz IP değişikliğinden bağımsız olarak her zaman benzersiz bir şekilde tanımlanabilir. Bu çok önemlidir çünkü bir OMP rotası (vRoute) bir TLOC'ye işaret eden bir sonraki sıçramaya sahiptir. Bu bilgi ayrımı, bağımlı vRoute'ları geçersiz kılmaya gerek kalmadan TLOC rotalarının yeni parametrelerle güncellenmesini sağlar. Bir vEdge yönlendiricisinin, Şekil 7'de gösterildiği gibi farklı WAN sağlayıcılarına bağlı birden fazla taşıma arayüzü varsa, her WAN arayüzü için bir TLOC rotası oluşturulur ve duyurulur.
TLOC rota duyurularını kontrol etmek, kaplama topolojisini özelleştirirken önemlidir. vEdge yönlendiricileri, vSmart'tan aldıkları tüm uzak TLOC'lere tüm yerel TLOC'ler üzerinden IPsec tünelleri oluşturmaya çalışır. vSmart'a hiçbir politika uygulanmazsa, tüm vEdge'ler tüm TLOC'leri bilir ve bu da tam bir ağ kaplamasıyla sonuçlanır (tüm TLOC'ler arasında tam IP erişilebilirliği olduğu varsayılarak). Şekil 7'ye bakalım. vEdge-1'in vEdge-3'e asla bir kaplama tüneli oluşturmayacağından emin olmak istiyorsak, vSmart'a TLOC rota duyurularında TLOC T5 ve T6'yı vEdge-1'e doğru filtreleyen bir politika uygularız. Sonuç olarak, vEdge-1 T5 ve T6 TLOC'leri bilmez ve vEdge-3 ile asla bir veri düzlemi bağlantısı kurmaz.
Bir TLOC rota duyurusu aşağıdaki öznitelikleri içerir:
TLOC rota duyurularını kontrol etmek, kaplama topolojisini özelleştirirken önemlidir. vEdge yönlendiricileri, vSmart'tan aldıkları tüm uzak TLOC'lere tüm yerel TLOC'ler üzerinden IPsec tünelleri oluşturmaya çalışır. vSmart'a hiçbir politika uygulanmazsa, tüm vEdge'ler tüm TLOC'leri bilir ve bu da tam bir ağ kaplamasıyla sonuçlanır (tüm TLOC'ler arasında tam IP erişilebilirliği olduğu varsayılarak). Şekil 7'ye bakalım. vEdge-1'in vEdge-3'e asla bir kaplama tüneli oluşturmayacağından emin olmak istiyorsak, vSmart'a TLOC rota duyurularında TLOC T5 ve T6'yı vEdge-1'e doğru filtreleyen bir politika uygularız. Sonuç olarak, vEdge-1 T5 ve T6 TLOC'leri bilmez ve vEdge-3 ile asla bir veri düzlemi bağlantısı kurmaz.
Bir TLOC rota duyurusu aşağıdaki öznitelikleri içerir:
- Özel IPv4/IPv6 adresleri ve portları : Bunlar vEdge'in WAN arayüzünde DHCP aracılığıyla yapılandırılan veya atanan IP adresleridir.
- Genel IPv4/IPv6 adresi/portu : vEdge bir NAT aygıtının arkasında bulunuyorsa, dışarıdaki NAT'lı IP adresleri ve portları TLOC rota duyurularına dahil edilir. Yönlendirici NAT'ın arkasında bulunmuyorsa, genel ve özel adresler ve portlar aynıdır;
- Renk : Renk, bir WAN uç yönlendiricisindeki belirli bir WAN arayüzünü tanımlamak için kullanılan mantıksal bir soyutlamadır. Bir arayüz altında açıkça bir renk yapılandırılmamışsa, varsayılan renkle işaretlenir - "varsayılan";
- Kapsülleme türü : Kapsülleme GRE veya IPsec olabilir. Başarılı bir tünel oluşturmak için, bir TLOC'nin kapsülleme türü uzak TLOC'nin kapsüllemesiyle eşleşmelidir. Tipik bir üretim dağıtımında, güvenlik nedenleriyle kapsülleme her zaman IPsec olacaktır. Ancak, kişi özellikleri incelerken veya test ederken, kaplama tünellerinden geçen her şeyin açık metin olması ve Wireshark ile incelenebilmesi için GRE kapsülleme kullanmak iyi bir uygulamadır.
- Tercih : Bu öznitelik TLOC Tercihi olarak da adlandırılır, bu nedenle OMP Tercihi ile karıştırılmaz. Aynı hedef için birden fazla vroute'u karşılaştırırken OMP en iyi yol algoritmasında kullanılır. Daha yüksek daha iyidir ve varsayılan 0'dır;
- Site Kimliği : Bu öznitelik, bu TLOC rotası için kaynak siteyi tanımlar. WAN kenar yönlendiricileri, aynı site kimliğine sahip uzak bir TLOC'ye asla bir üst katman tüneli oluşturmaya çalışmaz.
- Etiket : Bir kontrol politikasında işlem yapılabilen kullanıcı tanımlı bir değer;
- Ağırlık : Ağırlık, eşit tercihlere sahip birden fazla yerel TLOC'de eşit olmayan trafik dağılımı elde etmek için kullanılan bir parametredir. Daha yüksek bir ağırlık değeri yerel TLOC'ye daha fazla trafik gönderir. Örneğin, TLOC-A 20 ağırlığıyla ve TLOC B 1 ağırlığıyla yapılandırılmışsa, TLOC-B tarafından gönderilen her akış için TLOC A tarafından yaklaşık 20 akış gönderilir.
Aşağıdaki çıktıda TLOC rotasının gerçek bir örneğini görebilirsiniz:
vEdge-1# show omp tlocs
---------------------------------------------------
tloc entries for 1.2.3.4
public-internet
ipsec
---------------------------------------------------
RECEIVED FROM:
peer 1.1.1.30
status C,I,R
loss-reason not set
lost-to-peer not set
lost-to-path-id not set
Attributes:
attribute-type installed
encap-key not set
encap-proto 0
encap-spi 261
encap-auth sha1-hmac,ah-sha1-hmac
encap-encrypt aes256
public-ip 24.5.4.1
public-port 12366
private-ip 192.168.1.2
private-port 12366
public-ip ::
public-port 0
private-ip ::
private-port 0
bfd-status up
domain-id not set
site-id 14
overlay-id not set
preference 0
tag not set
stale not set
weight 1
version 3
gen-id 0x80000007
carrier default
restrict 0
on-demand 0
groups [ 0 ]
bandwidth 0
qos-group default-group
border not set
unknown-attr-len not set
vEdge-1# show omp tlocs
---------------------------------------------------
tloc entries for 1.2.3.4
public-internet
ipsec
---------------------------------------------------
RECEIVED FROM:
peer 1.1.1.30
status C,I,R
loss-reason not set
lost-to-peer not set
lost-to-path-id not set
Attributes:
attribute-type installed
encap-key not set
encap-proto 0
encap-spi 261
encap-auth sha1-hmac,ah-sha1-hmac
encap-encrypt aes256
public-ip 24.5.4.1
public-port 12366
private-ip 192.168.1.2
private-port 12366
public-ip ::
public-port 0
private-ip ::
private-port 0
bfd-status up
domain-id not set
site-id 14
overlay-id not set
preference 0
tag not set
stale not set
weight 1
version 3
gen-id 0x80000007
carrier default
restrict 0
on-demand 0
groups [ 0 ]
bandwidth 0
qos-group default-group
border not set
unknown-attr-len not set
Hizmet yolları
Bir servis rotası, bir güvenlik duvarı veya bir WAN Edge yönlendiricisine bağlı bir yük dengeleyici gibi bir ağ servisini temsil eder. Ağ servisleri genellikle bir veya birkaç merkezi konumda, örneğin bir veri merkezinde veya bölgesel hub sitesinde dağıtılır. Ağ, bu servisler aracılığıyla katmandaki herhangi bir uzak konumdan gelen trafiği yeniden yönlendirebilmeli ve ardından trafiği orijinal hedefine geri yönlendirebilmelidir. Buna servis zincirleme denir ve servis rotaları kullanılarak yapılır.
vEdge-3, üst katman ağına bir FW hizmeti sağlayan bir güvenlik duvarına (5.5.5.5) bağlanır. Buradaki önemli nokta, ağ hizmetini sağlayan cihazın vEdge yönlendiricisine bitişik katman 2 olması gerektiğidir (arada katman 3 düğümü olmamalıdır). Ek olarak, bir ağ hizmeti her zaman bir VPN ile ilişkilendirilir.
Bir vEdge yönlendiricisinde bir ağ hizmetini yapılandırmak tek bir komut satırı kadar basittir. VPN yapılandırma hiyerarşisi altında, aşağıdaki çıktıda gösterildiği gibi hizmet türünü ve hizmet IP adresini tanımlarız:
vEdge-3
vpn 50
service FW address 5.5.5.5
!
Yapılandırmayı tamamladıktan sonra vEdge-3, kaplama yönetim protokolü aracılığıyla bir servis rotası kullanarak FW servisini vSmart denetleyicisine duyuracaktır.
Bir servis rotası aşağıdaki öznitelikleri içerir:
vEdge-3, üst katman ağına bir FW hizmeti sağlayan bir güvenlik duvarına (5.5.5.5) bağlanır. Buradaki önemli nokta, ağ hizmetini sağlayan cihazın vEdge yönlendiricisine bitişik katman 2 olması gerektiğidir (arada katman 3 düğümü olmamalıdır). Ek olarak, bir ağ hizmeti her zaman bir VPN ile ilişkilendirilir.
Bir vEdge yönlendiricisinde bir ağ hizmetini yapılandırmak tek bir komut satırı kadar basittir. VPN yapılandırma hiyerarşisi altında, aşağıdaki çıktıda gösterildiği gibi hizmet türünü ve hizmet IP adresini tanımlarız:
vEdge-3
vpn 50
service FW address 5.5.5.5
!
Yapılandırmayı tamamladıktan sonra vEdge-3, kaplama yönetim protokolü aracılığıyla bir servis rotası kullanarak FW servisini vSmart denetleyicisine duyuracaktır.
Bir servis rotası aşağıdaki öznitelikleri içerir:
- VPN Kimliği : Örneğimizde bu hizmetin uygulanacağı VPN 50 olacaktır;
- Hizmet Kimliği: Hizmet kimliği, duyurulan hizmetin türünü tanımlar. 7 adet önceden tanımlanmış değer vardır:
- FW svc-id 1'e eşlenir;
- IDS , svc-id 2'ye eşlenir;
- IDP svc-id 3'e eşlenir;
- Özel Hizmetler: Son dört değer müşteri tanımlı hizmetler için kullanılır:
- netsvc1 svc-id 4'e eşlenir;
- netsvc2 svc-id 5'e eşlenir;
- netsvc3 svc-id 6'ya eşlenir;
- netsvc4 svc-id 7'ye eşlenir;
- Oluşturucu Kimliği : Hizmet yolunu oluşturan vEdge'in Sistem IP adresi;
- TLOC : Hizmetin bulunduğu TLOC (Ulaşım Bulucu).
Buradaki önemli nokta ve Cisco SD-WAN servis zincirlemesi ile Geleneksel WAN arasındaki en büyük fark, herhangi bir uzak WAN uç yönlendiricisinde herhangi bir yapılandırmaya gerek olmamasıdır. Şekil 8'de gösterilen örneğe bakarsak, bu vEdge-1 ve vEdge-2'de herhangi bir yapılandırmanın uygulanması gerekmediği anlamına gelir. Servis zincirlemesi, daha sonra trafiği servis üzerinden yönlendirmesi gereken tüm uzak sitelere yayılan bir politika kullanılarak tamamen vSmart denetleyicisinde yapılır. Bunun aksine, geleneksel WAN'da, servis zincirleme yolu boyunca her düğüm, trafiği ağ servisi üzerinden yönlendirmek için manuel olarak sağlanmalıdır.
Üst düzeyde, hizmet zincirlemesini etkinleştirme adımları aşağıdaki gibidir:
Üst düzeyde, hizmet zincirlemesini etkinleştirme adımları aşağıdaki gibidir:
- Bir veya birden fazla WAN kenar yönlendiricisi, bir OMP servis rotası kullanarak vSmart denetleyicisine bir ağ hizmeti duyurur. Şekil 9'da, vEdge-3 güvenlik duvarı hizmetini bir servis rotası aracılığıyla duyurur;
- Daha sonra vSmart'ta uzak sitelerden gelen trafiği FW hizmeti aracılığıyla yeniden yönlendiren bir politika tanımlanır. FW tarafından işlendikten sonra trafik nihai hedefine iletilir.
Aşağıdaki çıktıda gösterildiği gibi show omp services komutunu kullanarak bir vEdge yönlendiricisindeki ağ hizmetlerini kontrol edebiliriz.
Moderatör tarafında düzenlendi: