08思科SD-WAN策略框架-集中式控制策略

小乔

思科SD-WAN策略框架-集中式控制策略

目录：

• 章节1：集中式控制策略-任意VPN拓扑
• 章节2：集中式控制策略-服务链
• 章节3：集中式控制策略-数据中心优先
• 章节4：集中式控制策略-Extranet VPN
• 章节5：集中式控制策略-流量工程/路径冗余
  

思科SD-WAN控制策略详解

提供灵活的部署，以下是OMP的路由策略：

• 在vSmart上应用并执行控制策略以影响overlay域中的路由
• 控制策略过滤或操作OMP路由信息以①启用服务，② 影响路径选择
• 控制策略控制以下服务①服务链 ②流量工程 ③外联网VPN ④服务和路径关联 ⑤任意VPN拓扑 ⑥更多
• 控制策略是cisco SD-WAN工具箱中集中且功能强大的工具之一
  

一、集中式策略-任意VPN拓扑

      数据平面或VPN平面拓扑

• 数据平面或单个VPN受特定拓扑/连接模型的约束
  

以下数据平面和VPN Hub-and-Spoke拓扑的命令行配置：

①基础配置

1 2 3 4 5 6 7 8 9 10 11 12

Policy lists   tloc-list hub-site_tlocs # 定义了3个tloc    tloc 1.1.1.1 color red encap ipsec preference 100  #定义tloc 1.1.1.1 颜色red，ipsec封装，优先级100    tloc 2.2.2.2 color red encap ipsec preference 100    tloc 3.3.3.3 color red encap ipsec   !   site-list branch_sites site-id 1000-2000  # branch_sites站点是1000-2000   !   site-list hub_sites site-id 1-100   # hub_sites站点是1-100   ! !

②策略配置

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23

Policy control-policy restricted_data_plane   sequence 10     #第一条策略    match tloc     # 数据层面匹配tloc     site-list hub_sites  # 匹配hub_sites站点   !   action accept #应用   ! !   sequence 20 match route  #第二条策略，  # 数据层面匹配route    site-list branch_sites   !    action accept set     tloc-list hub_site_tlocs # 匹配hub_site_tlocs站点     !    !   !   sequence 30 match tloc # 第三条策略    !    action reject    !   ! default-action accept

③ 应用策略

1 2 3 4 5

apply-policy site-list branch_sites   control-policy restricted_data_plane out ! !

以下VPN1全网状结构和VPN2 Hub-and-Spoke拓扑的命令行配置：　　

一种VPN2流量通信是通过hub转：

[size=1em]

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

Policy lists vpn-list VPN2   vpn 2 ! site-list branch_sites   site-id 100-200   ! ! control-policy vpn_multi-topology   sequence 10    match route     site-list branch_sites vpn-list VPN2   !   action accept    set     tloc 1.1.1.1 color red    !   ! ! default-action accept

一种VPN2流量通信是不通的（Hub-and-Spoke之间不通）：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

Policy lists vpn-list VPN2   vpn 2 ! site-list hub_sites   site-id 100-200   ! ! control-policy vpn_multi-topology   sequence 10    match route     site-list hub_sites vpn-list VPN2    !    action accept   !   sequence 20    match route    !    action reject   ! default-action accept

二、集中式策略-服务链Services Chaining

问题：将针对选定流量在路径中使用服务

            某些部门在于数据中心网络进行交互时需要防火墙保护，而其他部门则不需要

解决方案：跨WAN启用服务链

vEdge1 ： VPN1，PrefixA，label10发给vSmart； 将学习过来通过PrefixA，label101转发给vEdge2；

vEdge2 ： VPN1，PrefixB，label20发给vSmart； 将学习过来通过PrefixB，label20转发给vEdge100；ServiceFW，label101至vSmart，在通过PrefixB，label101转发给vEdge。

命令行配置如下：

① 添加防火墙地址

[size=1em]

1 2 3

vEdge-100 vpn 1 service FW address 10.0.13.150

②站点配置

1 2 3 4 5 6 7

policy lists site-list upstream-exit   site-id 20 ! site-list service-chain-branches   site-id 10 !

③策略配置

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28

policy control-policy service-chain-upstream   # 以下定义从tloc 20.20.20.20 color red vpn1过来的流量直接扔给FW（10.0.13.150）   sequence 10    match route     tloc 20.20.20.20 color red   #表示方式：针对某一个站点， 此处站点vpn1 tloc 20.20.20.20     vpn 1    !    action accept     set      service FW     !    !   !   default-action accept ! control-policy service-chain-downstream  #以下定义从site10过来的流量扔到FW（10.0.13.130）   sequence 10    match route     site-list service-chain-branches     #表示方式：针对好多站点    !    action accept     set      service FW     !    !   !   default-action accept !

④应用策略

1 2 3 4 5 6 7 8

apply-policy site-list upstream-exit       #  应用到站点10发送出去   control-policy service-chain-downstream out ! site-list service-chain-branches  #应用到站点20发送出去   control-policy service-chain-upstream out ! !

三、集中式策略-数据中心优先

网络资源（例如数据中心） 首选项或活动/备份

问题：与DR数据中心相比，首选主数据中心，如果主数据中心发生故障，流量应该重新路由到灾难恢复备数据中心

解决方案：部署控制策略以影响TLOC优先级

通过Site-ID识别区域，并将主要和备用DC位置与区域相关联使用控制策略进行关联并定义DC优先级。

• 两个数据中心站点宣告同样的网段路由给vSmart；
• vSmart需要做路由选择，以判断去vEdge的路由；
  

如上图所示：

• vSmart设置策略VPN1，PrefixA网段与站点10.10.10.10/20.20.20.20数据，通过100.100.100.100的优先级是400（首选数据中心）,101.101.101.101的优先级是200
• vSmart设置策略VPN1，PrefixA网段与站点30.30.30.30/40.40.40.40数据，通过101.101.101.101的优先级是200（首选数据中心）,100.100.100.100的优先级是200
  

① 站点配置

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18

policy lists   tloc-list dc-preference-west #定义站点去往100优先级400，去往101优先级200    tloc 100.100.100.100 color mpls encap ipsec preference 400    tloc 101.101.101.101 color mpls encap ipsec preference 200   !   tloc-list dc-preference-east #定义站点去往101优先级400，去往100优先级200    tloc 100.100.100.100 color mpls encap ipsec preference 200    tloc 101.101.101.101 color mpls encap ipsec preference 400   !   site-list sites-region-west #定义站点west是1~20    site-id 1-20   !   site-list sites-region-east #定义站点east是20~40    site-id 21-40   !   site-list dc-sites #定义数据中心站点是100~101    site-id 100-101   ！

②控制策略

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

control-policy adv-dc-preference-west #设置west策略：站点dc-sites设置TLOC dc-preference-west sequence 10   match route    site-list dc-sites   !   action accept    set     tloc-list dc-preference-west    !   ! ! default-action accept ! control-policy adv-dc-preference-east #设置east策略：站点dc-sites设置TLOC dc-preference-east sequence 10   match route    site-list dc-sites   !   action accept    set     tloc-list dc-preference-east    !   ! !   default-action accept ! !

③应用策略

1 2 3 4 5 6 7 8

apply-policy site-list sites-region-west   control-policy adv-dc-preference-west out ! site-list sites-region-east   control-policy adv-dc-preference-east out ! !

四、集中式策略-Extranet VPN（共享服务）

问题： VPN中的服务必须在多个其他VPN中的用户之间共享，某些VPN不需要访问共享服务（比如两个站点VPN1都需要访问共享资源，两个站点VPN2直接互访）。

解决方案：通过路由导出部署控制策略。

• VPN3宣告的网段PrefixC，通过vSmart导出给VPN1（VPN1和VPN3路由互通）。
  

① 站点设置

1 2 3 4 5 6 7

Policy lists site-list spokes   site-id 3002   site-id 3003   site-id 3004 ! !

②控制策略　　

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

Policy control-policy extranet   sequence 10  #在VPN1的路由里面导入VPN3    match route     vpn 1    !    action accept     export-to      vpn 3     !    !   !   sequence 20  #在VPN3的路由里面导入VPN1    match route     vpn 3    !    action accept     export-to      vpn 1     !    !   !   default-action accept   ! !

③策略应用

[size=1em]

1 2 3 4 5

apply-policy site-list spokes   control-policy extranet in ! !

五、集中式策略-Extranet VPN（流量工程/路径冗余）

问题：直接overlay路径需要备份以管理中间路径问题

解决方案：确定并配置选择间接overlay路径以实现冗余和容量。

• 确定目标网站的间接路径 （如上图首选走1-4-2；备选走1-3-4-2）
• 确定是否将他们用作主路径，ECMP路径或备份路径
  

① 备选上面创建TE流量工程

1 2 3 4

vEdge3 vpn 1   service te ！

② 策略站点

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

Policy lists vpn-list VPN1   vpn 1 ! tloc-list backup-tloc   tloc 30.30.30.30 color mpls encap ipsec ! site-list vEdge1   site-id 10 ! site-list vEdge4   site-id 40   ! ! !

③ 策略设置　

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

policy control-policy backup-node sequence 10   match route    site-list vEdge4    vpn-list VPN1   !   action accept    set     tloc-action backup     tloc-list backup-tloc    !   ! ! default-action accept !

④ 策略应用

1 2 3 4

apply-policy site-list vEdge1   control-policy backup-node out ！

作者：CARLOS_CHIANG
出处：http://www.cnblogs.com/yaoyaojcy/




来源: 01思科SD-WAN架构概念和基本术语介绍
来源: 02思科SD-WAN控制层面连接的建立过程
来源: 03SD-WAN控制层面连接的建立过程
来源: 04思科SD-WAN OMP协议原理详解（Overlay Management Protocol）
来源: 05思科SD-WAN Segmentation
来源: 06思科SD-WAN 设备集、产品线
来源: 07思科SD-WAN 策略框架概论

xz蓝精灵

f1662

wxxcsm

666666666666666