Come preferire un uplink particolare per l'accesso diretto a Internet

Introduzione

In questo documento viene descritto come preferire un'interfaccia specifica per Direct Internet Access (DIA) con l'ausilio dei criteri vSmart Data.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di SD-WAN Policy Framework.

Componenti usati

Le informazioni di questo documento si basano sul router vEdge e sul controller vSmart.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Esempio di rete

Configurazioni

vEdge router dispone di due interfacce uplink, con configurazione di base per l'overlay e la sovrapposizione. L'obiettivo principale è quello di preferire l'interfaccia ge0/1 per tutto il traffico diretto all'host Internet con indirizzo 203.0.113.137 dalla subnet locale 192.0.2.0/24.

Configurazione router vEdge:

 interface ge0/1
  ip address 192.168.109.104/24
  nat
  !
  tunnel-interface
   encapsulation ipsec
   color biz-internet 
!
interface ge0/2
  ip address 192.168.110.104/24
  nat
  !
  tunnel-interface
   encapsulation ipsec
   color public-internet
!
 !
 ip route 0.0.0.0/0 192.168.109.10
 ip route 0.0.0.0/0 192.168.110.10
!
vpn 40
 ip route 0.0.0.0/0 vpn 0

Configurazione controller vSmart:

policy
 lists
  data-prefix-list SOURCE_PREFIX
   ip-prefix 192.0.2.0/24
  !
  data-prefix-list DESTINATION_PREFIX
   ip-prefix 203.0.113.137/32
  !
  site-list branch40
   site-id 40
  !
 !
policy
 data-policy FORCE_GE0_1
  vpn-list VPN_40
   sequence 100
    match
     source-data-prefix-list SOURCE_PREFIX
     destination-data-prefix-list DESTINATION_PREFIX
    !
    action accept
     nat use-vpn 0
     set
      local-tloc color biz-internet encap ipsec
     !
    !
   !
   default-action accept
  !
 !
apply-policy
 site-list branch40
  data-policy FORCE_GE0_1 from-service
 !
!

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Prima dell'applicazione del criterio:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6 
Next Hop: Remote 
Remote IP: 192.168.110.10, Interface ge0/2 Index: 6

Quindi attivare i criteri su vSmart e verificare che i criteri di vSmart siano applicati a vEdge:

vedge1# show policy from-vsmart 
from-vsmart data-policy FORCE_GE0_1
 direction from-service
 vpn-list VPN_40
  sequence 100
   match
    source-data-prefix-list      SOURCE_PREFIX
    destination-data-prefix-list DESTINATION_PREFIX
   action accept
    nat use-vpn 0
    no nat fallback
    set
     local-tloc color biz-internet
     local-tloc encap ipsec
  default-action accept
from-vsmart lists vpn-list VPN_40
 vpn 40
from-vsmart lists data-prefix-list DESTINATION_PREFIX
 ip-prefix 203.0.113.137/32
from-vsmart lists data-prefix-list SOURCE_PREFIX
 ip-prefix 192.0.2.0/24

Dopo l'applicazione del criterio:

show policy service-path vpn 40 interface ge0/7 source-ip 192.0.2.222 dest-ip 203.0.113.137 protocol 6 
Next Hop: Remote 
Remote IP: 192.168.109.10, Interface ge0/1 Index: 5

È inoltre possibile visualizzare una connessione nella tabella di conversione NAT:

vedge1# show ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 40 protocol tcp 192.0.2.222 203.0.113.137 
ip nat filter nat-vpn 0 nat-ifname ge0/1 vpn 1 protocol tcp 192.0.2.222 203.0.113.137 61213 443 
public-source-address 192.168.109.104 
public-dest-address 203.0.113.137 
public-source-port 61213 
public-dest-port 443 
filter-state established 
idle-timeout 0:00:54:11 
outbound-packets 12593 
outbound-octets 1186104 
inbound-packets 16601 
inbound-octets 4576423 

Risoluzione dei problemi 

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.