小乔 发表于 2021-5-13 15:07:57

08思科SD-WAN策略框架-集中式控制策略

本帖最后由 小乔 于 2021-5-13 15:13 编辑

思科SD-WAN策略框架-集中式控制策略目录：
[*]章节1：集中式控制策略-任意VPN拓扑
[*]章节2：集中式控制策略-服务链
[*]章节3：集中式控制策略-数据中心优先
[*]章节4：集中式控制策略-Extranet VPN
[*]章节5：集中式控制策略-流量工程/路径冗余
思科SD-WAN控制策略详解提供灵活的部署，以下是OMP的路由策略：
[*]在vSmart上应用并执行控制策略以影响overlay域中的路由
[*]控制策略过滤或操作OMP路由信息以①启用服务，② 影响路径选择
[*]控制策略控制以下服务①服务链 ②流量工程 ③外联网VPN ④服务和路径关联 ⑤任意VPN拓扑 ⑥更多
[*]控制策略是cisco SD-WAN工具箱中集中且功能强大的工具之一
一、集中式策略-任意VPN拓扑      数据平面或VPN平面拓扑
[*]数据平面或单个VPN受特定拓扑/连接模型的约束
以下数据平面和VPN Hub-and-Spoke拓扑的命令行配置：①基础配置

1
2
3
4
5
6
7
8
9
10
11
12
Policy
lists
tloc-list hub-site_tlocs # 定义了3个tloc
   tloc 1.1.1.1 color red encap ipsec preference 100#定义tloc 1.1.1.1 颜色red，ipsec封装，优先级100
   tloc 2.2.2.2 color red encap ipsec preference 100
   tloc 3.3.3.3 color red encap ipsec
!
site-list branch_sites site-id 1000-2000# branch_sites站点是1000-2000
!
site-list hub_sites site-id 1-100   # hub_sites站点是1-100
!
!　　




②策略配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
Policy
control-policy restricted_data_plane
sequence 10   #第一条策略
   match tloc   # 数据层面匹配tloc
    site-list hub_sites# 匹配hub_sites站点
!
action accept #应用
!
!
sequence 20 match route#第二条策略，# 数据层面匹配route
   site-list branch_sites
!
   action accept set
    tloc-list hub_site_tlocs # 匹配hub_site_tlocs站点
    !
   !
!
sequence 30 match tloc # 第三条策略
   !
   action reject
   !
!
default-action accept　　




③ 应用策略

1
2
3
4
5
apply-policy
site-list branch_sites
control-policy restricted_data_plane out
!
!




以下VPN1全网状结构和VPN2 Hub-and-Spoke拓扑的命令行配置：　　一种VPN2流量通信是通过hub转：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
Policy lists
vpn-list VPN2
vpn 2
!
site-list branch_sites
site-id 100-200
!
!
control-policy vpn_multi-topology
sequence 10
   match route
    site-list branch_sites vpn-list VPN2
!
action accept
   set
    tloc 1.1.1.1 color red
   !
!
!
default-action accept




一种VPN2流量通信是不通的（Hub-and-Spoke之间不通）：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
Policy lists
vpn-list VPN2
vpn 2
!
site-list hub_sites
site-id 100-200
!
!
control-policy vpn_multi-topology
sequence 10
   match route
    site-list hub_sites vpn-list VPN2
   !
   action accept
!
sequence 20
   match route
   !
   action reject
!
default-action accept




二、集中式策略-服务链Services Chaining问题：将针对选定流量在路径中使用服务            某些部门在于数据中心网络进行交互时需要防火墙保护，而其他部门则不需要解决方案：跨WAN启用服务链vEdge1 ： VPN1，PrefixA，label10发给vSmart； 将学习过来通过PrefixA，label101转发给vEdge2；vEdge2 ： VPN1，PrefixB，label20发给vSmart； 将学习过来通过PrefixB，label20转发给vEdge100；ServiceFW，label101至vSmart，在通过PrefixB，label101转发给vEdge。命令行配置如下：① 添加防火墙地址
1
2
3
vEdge-100
vpn 1
service FW address 10.0.13.150　　




②站点配置
1
2
3
4
5
6
7
policy lists
site-list upstream-exit
site-id 20
!
site-list service-chain-branches
site-id 10
!　　




③策略配置
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
policy
control-policy service-chain-upstream   # 以下定义从tloc 20.20.20.20 color red vpn1过来的流量直接扔给FW（10.0.13.150）
sequence 10
   match route
    tloc 20.20.20.20 color red   #表示方式：针对某一个站点， 此处站点vpn1 tloc 20.20.20.20
    vpn 1
   !
   action accept
    set
   service FW
    !
   !
!
default-action accept
!
control-policy service-chain-downstream#以下定义从site10过来的流量扔到FW（10.0.13.130）
sequence 10
   match route
    site-list service-chain-branches   #表示方式：针对好多站点
   !
   action accept
    set
   service FW
    !
   !
!
default-action accept
!　　




④应用策略
1
2
3
4
5
6
7
8
apply-policy
site-list upstream-exit       #应用到站点10发送出去
control-policy service-chain-downstream out
!
site-list service-chain-branches#应用到站点20发送出去
control-policy service-chain-upstream out
!
!




三、集中式策略-数据中心优先 网络资源（例如数据中心） 首选项或活动/备份 问题：与DR数据中心相比，首选主数据中心，如果主数据中心发生故障，流量应该重新路由到灾难恢复备数据中心解决方案：部署控制策略以影响TLOC优先级通过Site-ID识别区域，并将主要和备用DC位置与区域相关联使用控制策略进行关联并定义DC优先级。
[*]两个数据中心站点宣告同样的网段路由给vSmart；
[*]vSmart需要做路由选择，以判断去vEdge的路由；
如上图所示：
[*]vSmart设置策略VPN1，PrefixA网段与站点10.10.10.10/20.20.20.20数据，通过100.100.100.100的优先级是400（首选数据中心）,101.101.101.101的优先级是200
[*]vSmart设置策略VPN1，PrefixA网段与站点30.30.30.30/40.40.40.40数据，通过101.101.101.101的优先级是200（首选数据中心）,100.100.100.100的优先级是200
① 站点配置
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
policy lists
tloc-list dc-preference-west #定义站点去往100优先级400，去往101优先级200
   tloc 100.100.100.100 color mpls encap ipsec preference 400
   tloc 101.101.101.101 color mpls encap ipsec preference 200
!
tloc-list dc-preference-east #定义站点去往101优先级400，去往100优先级200
   tloc 100.100.100.100 color mpls encap ipsec preference 200
   tloc 101.101.101.101 color mpls encap ipsec preference 400
!
site-list sites-region-west #定义站点west是1~20
   site-id 1-20
!
site-list sites-region-east #定义站点east是20~40
   site-id 21-40
!
site-list dc-sites #定义数据中心站点是100~101
   site-id 100-101
！




②控制策略
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
control-policy adv-dc-preference-west #设置west策略：站点dc-sites设置TLOC dc-preference-west
sequence 10
match route
   site-list dc-sites
!
action accept
   set
    tloc-list dc-preference-west
   !
!
!
default-action accept
!
control-policy adv-dc-preference-east #设置east策略：站点dc-sites设置TLOC dc-preference-east
sequence 10
match route
   site-list dc-sites
!
action accept
   set
    tloc-list dc-preference-east
   !
!
!
default-action accept
!
!　　




③应用策略
1
2
3
4
5
6
7
8
apply-policy
site-list sites-region-west
control-policy adv-dc-preference-west out
!
site-list sites-region-east
control-policy adv-dc-preference-east out
!
!




四、集中式策略-Extranet VPN（共享服务） 问题： VPN中的服务必须在多个其他VPN中的用户之间共享，某些VPN不需要访问共享服务（比如两个站点VPN1都需要访问共享资源，两个站点VPN2直接互访）。 解决方案：通过路由导出部署控制策略。
[*] VPN3宣告的网段PrefixC，通过vSmart导出给VPN1（VPN1和VPN3路由互通）。
① 站点设置
1
2
3
4
5
6
7
Policy lists
site-list spokes
site-id 3002
site-id 3003
site-id 3004
!
!




②控制策略　　
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
Policy
control-policy extranet
sequence 10#在VPN1的路由里面导入VPN3
   match route
    vpn 1
   !
   action accept
    export-to
   vpn 3
    !
   !
!
sequence 20#在VPN3的路由里面导入VPN1
   match route
    vpn 3
   !
   action accept
    export-to
   vpn 1
    !
   !
!
default-action accept
!
!




③策略应用
1
2
3
4
5
apply-policy
site-list spokes
control-policy extranet in
!
!




五、集中式策略-Extranet VPN（流量工程/路径冗余）
问题：直接overlay路径需要备份以管理中间路径问题解决方案：确定并配置选择间接overlay路径以实现冗余和容量。
[*]确定目标网站的间接路径 （如上图首选走1-4-2；备选走1-3-4-2）
[*]确定是否将他们用作主路径，ECMP路径或备份路径
① 备选上面创建TE流量工程
1
2
3
4
vEdge3
vpn 1
service te
！




② 策略站点
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
Policy lists
vpn-list VPN1
vpn 1
!
tloc-list backup-tloc
tloc 30.30.30.30 color mpls encap ipsec
!
site-list vEdge1
site-id 10
!
site-list vEdge4
site-id 40
!
!
!




③ 策略设置　
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
policy control-policy backup-node
sequence 10
match route
   site-list vEdge4
   vpn-list VPN1
!
action accept
   set
    tloc-action backup
    tloc-list backup-tloc
   !
!
!
default-action accept
!




④ 策略应用
1
2
3
4
apply-policy
site-list vEdge1
control-policy backup-node out
！　






作者：CARLOS_CHIANG
出处：http://www.cnblogs.com/yaoyaojcy/




来源: 01思科SD-WAN架构概念和基本术语介绍
来源: 02思科SD-WAN控制层面连接的建立过程
来源: 03SD-WAN控制层面连接的建立过程
来源: 04思科SD-WAN OMP协议原理详解（Overlay Management Protocol）
来源: 05思科SD-WAN Segmentation
来源: 06思科SD-WAN 设备集、产品线
来源: 07思科SD-WAN 策略框架概论

xz蓝精灵 发表于 2021-5-13 15:34:16

{:6_264:}

f1662 发表于 2021-5-14 08:49:40

{:6_290:}

wxxcsm 发表于 2022-3-7 13:11:59

666666666666666
页: [1]
查看完整版本: 08思科SD-WAN策略框架-集中式控制策略