通過點選將AWS Direct Connect配置為使用SD-WAN的傳輸

下載選項

PDF (866.3 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (521.9 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (397.7 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2022 年 10 月 18 日

文件 ID:217773

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹如何使用Amazon Web Services(AWS)Direct Connect作為軟體定義的廣域網(SD-WAN)傳輸。

背景資訊

AWS Direct Connect作為Cisco SD-WAN的另一種傳輸方式的主要優勢是能夠使用SD-WAN策略，包括

AWS Direct Connect。

在AWS上運行工作負載的企業使用者使用AWS Direct Connect進行資料中心或中心連線。同時，公共Internet連線也非常常見於資料中心，並用作與其他地點的SD-WAN連線的基礎。本文檔介紹如何使用AWS Direct Connect作為Cisco SD-WAN的基礎。使用者可以建立SD-WAN應用感知策略，通過Direct Connect路由關鍵應用，並通過公共網際網路重新路由，以防出現違反服務級別協定(SLA)的情況。

問題

AWS Direct Connect不提供本地SD-WAN功能。企業SD-WAN使用者提出的典型問題包括：

是否可以使用AWS Direct Connect作為Cisco SD-WAN的基礎？
如何將AWS Direct Connect與Cisco SD-WAN互連？
如何建立可恢復、安全且可擴展的解決方案？

解決方案

設計概述

關鍵設計點是資料中心通過AWS Direct Connect連線到SD-WAN Transit Virtual Private Cloud(VPC)中的虛擬網關(VGW)，如下圖所示。

High-Level View of SD-WAN Tunnel Building from DC to the Cloud via Private and Public Transport

此解決方案的優勢包括：

完全自動：適用於多雲自動化的Cisco Cloud onRamp可用於部署帶有兩個SD-WAN路由器和新AWS傳輸網關(TGW)的SD-WAN傳輸VPC。主機VPC可以作為Cloud onRamp的一部分被發現，只需點選一下即可對映到SD-WAN網路。
使用Direct Connect的完整SD-WAN:AWS Direct Connect只是另一個SD-WAN傳輸。所有SD-WAN功能（如應用感知策略、加密等）均可在使用AWS Direct Connect的SD-WAN隧道上本地使用。
推薦的設計避免了AWS對AWS Direct Connect(20/100)字首數量的限制。

解決方案詳細資訊

此圖顯示一個AWS區域和資料中心通過Direct Connect連線到SD-WAN傳輸VPC中的VGW(color private1)以及公共網際網路(color biz-internet)的連線。請注意，AWS SD-WAN c8kv路由器使用SD-WAN color private2進行Internet連線。

High-Level View of SD-WAN Private and Public Underlay from DC to the Cloud

步驟1.準備

確保Cisco vManage定義了活動的AWS帳戶，並且正確配置了Cloud onRamp全域性設定。

另請在vManage中定義互聯合作夥伴帳戶。在此部落格中，Megaport用作互連合作夥伴，因此您可以定義相應的帳戶和全域性設定。

步驟2.資料中心SD-WAN路由器配置

Interface GigabitEthernet1用於與彩色企業Internet的公共Internet連線，Interface GigabitEthernet1.1352用於與彩色企業1的AWS Direct Connect。

請注意，AWS SD-WAN路由器具有private color private2，用於網際網路連線以及通過Direct connect連線。 SD-WAN隧道通過網際網路形成，具有公有IP地址；SD-WAN隧道通過直接連線電路建立（具有相同介面），具有私有IP地址到DC/站點。這意味著，資料中心路由器（業務網際網路顏色）通過具有公共IP地址的Internet和通過專用IP的專用顏色建立與AWS SD-WAN路由器（private2顏色）的連線。

有關SD-WAN顏色的通用資訊：

傳輸定位器(TLOC)指由SD-WAN路由器連線到底層網路的WAN傳輸(VPN 0)介面。每個TLOC通過SD-WAN路由器的系統IP地址、WAN介面的顏色以及傳輸封裝（GRE或IPsec）的組合進行唯一標識。Cisco Overlay Management Protocol(OMP)用於在SD-WAN路由器之間分發TLOC（也稱為TLOC路由）、SD-WAN重疊字首（也稱為OMP路由）和其他資訊。SD-WAN路由器知道如何通過TLOC路由相互連線並建立IPsec VPN隧道。

SD-WAN路由器和/或控制器（vManage、vSmart或vBond）可以位於網路中的網路地址轉換(NAT)裝置之後。當SD-WAN路由器對vBond控制器進行身份驗證時，vBond控制器在交換時得知SD-WAN路由器的專用IP地址/埠號以及公共IP地址/埠號設定。vBond控制器充當NAT(STUN)伺服器的會話遍歷實用程式，並允許SD-WAN路由器發現其WAN傳輸介面的對映和/或轉換IP地址和埠號。

在SD-WAN路由器上，每個WAN傳輸都與一個公共和私有IP地址對相關聯。私有IP地址被視為前NAT地址。這是分配給SD-WAN路由器的WAN介面的IP地址。雖然這被視為私有IP地址，但此IP地址可以是公開可路由IP地址空間的一部分，也可以是IETF RFC 1918非公開可路由IP地址空間的一部分。公有IP地址被視為後NAT地址。當SD-WAN路由器最初與vBond伺服器進行通訊和身份驗證時，vBond伺服器會檢測到這種情況。公有IP地址也可以是公開可路由IP地址空間的一部分，也可以是IETF RFC 1918非公開可路由IP地址空間的一部分。在沒有NAT的情況下，SD-WAN傳輸介面的公有IP地址和私有IP地址相同。

TLOC顏色是靜態定義的關鍵字，用於標識每個SD-WAN路由器上的各個WAN傳輸。給定SD-WAN路由器上的每個WAN傳輸都必須具有唯一的顏色。顏色還用於標識單個WAN傳輸是公共傳輸還是專用傳輸。城域乙太網、Mpls和private1、private2、private3、private4、private5和private6顏色被視為專用顏色。它們用於私有網路或沒有NAT的位置。顏色為3g、biz-internet、藍色、銅色、custom1、custom2、custom3、default、gold、green、lte、public-internet、red和silver被視為公共顏色。它們旨在用於公共網路或具有廣域網傳輸介面的公共IP地址的地方（本地或通過NAT）。

當私有或公有IP地址通過控制平面和資料平面通訊時，顏色指示其用途。當兩個SD-WAN路由器嘗試相互通訊時，它們都使用帶有專用顏色的WAN傳輸介面，並且兩端都嘗試連線到遠端路由器的專用IP地址。如果一端或兩端使用公共顏色，則兩端都會嘗試連線到遠端路由器的公共IP地址。當兩台裝置的Site ID相同時，則是一個例外。如果站點ID相同，但顏色為公用，則使用私有IP地址進行通訊。對於嘗試與位於同一站點的vManage或vSmart控制器通訊的SD-WAN路由器，可能會發生這種情況。請注意，預設情況下，SD-WAN路由器在擁有相同的站點ID時不會在彼此之間建立IPsec VPN隧道。

interface GigabitEthernet1
 ip address dhcp client-id GigabitEthernet1
 ip dhcp client default-router distance 1
 mtu 1500
!
interface GigabitEthernet1.1352
 encapsulation dot1Q 1352
 ip address 198.18.0.5 255.255.255.252
 ip mtu 1496
!
interface Tunnel1
 ip unnumbered GigabitEthernet1
 tunnel source GigabitEthernet1
 tunnel mode sdwan
!
interface Tunnel1352001
 ip unnumbered GigabitEthernet1.1352
 tunnel source GigabitEthernet1.1352
 tunnel mode sdwan
!
!
sdwan
 interface GigabitEthernet1
  tunnel-interface
   encapsulation ipsec weight 1
   color biz-internet
   allow-service all
  !
 !
 interface GigabitEthernet1.1352
  tunnel-interface
   encapsulation ipsec weight 1
   color private1
   max-control-connections 0
   allow-service all
  !
 !
system
 system-ip             61.61.61.61
 site-id               61
 ...
!

DC-MP-CGW1#sh ip int bri
GigabitEthernet1       162.43.145.3    YES DHCP   up                    up      
GigabitEthernet1.1352  198.18.0.5      YES other  up                    up      
...
Tunnel1                162.43.145.3    YES TFTP   up                    up      
Tunnel1352001          198.18.0.5      YES TFTP   up                    up 
DC-MP-CGW1#

DC-MP-CGW1#sh sdwan bfd sessions | i 25.25.25.25
25.25.25.25      25       down        biz-internet     private1         162.43.145.3                    10.211.1.89                     12367       ipsec  7           1000           NA              0             
25.25.25.25      25       up          biz-internet     private2         162.43.145.3                    18.168.222.153                  12387       ipsec  7           1000           10 0:09:34:05   0             
25.25.25.25      25       up          private1         private2         198.18.0.5                      10.211.1.56                     12387       ipsec  7           1000           10 0:09:33:17   0             
25.25.25.25      25       down        private1         private1         198.18.0.5                      10.211.1.89                     12367       ipsec  7           1000           NA              0             
DC-MP-CGW1#

資料中心SD-WAN路由器上用於AWS Direct Connect的邊界網關協定(BGP)配置：

router bgp 64513
 neighbor 198.18.0.6 remote-as 64512
 neighbor 198.18.0.6 description hosted-connection
 neighbor 198.18.0.6 password 
     
     
       address-family ipv4 unicast neighbor 198.18.0.6 activate neighbor 198.18.0.6 send-community both network 198.18.0.4 mask 255.255.255.252 exit-address-family ! !

資料中心SD-WAN路由器從SD-WAN傳輸VPC獲取IP字首10.211.1.0/24。它使用IP地址為198.18.0.6的AWS Direct Connect路由器作為下一跳 — 請參閱以下第7行：

DC-MP-CGW1#sh ip ro
...
Gateway of last resort is 162.43.145.2 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 162.43.145.2
      10.0.0.0/24 is subnetted, 1 subnets
B        10.211.1.0 [20/0] via 198.18.0.6, 09:15:27
      162.43.0.0/16 is variably subnetted, 2 subnets, 2 masks
C        162.43.145.2/31 is directly connected, GigabitEthernet1
L        162.43.145.3/32 is directly connected, GigabitEthernet1
      198.18.0.0/24 is variably subnetted, 2 subnets, 2 masks
C        198.18.0.4/30 is directly connected, GigabitEthernet1.1352
L        198.18.0.5/32 is directly connected, GigabitEthernet1.1352
DC-MP-CGW1#s

步驟3.AWS TVPC SD-WAN路由器配置

AWS Transit VPC中的兩台SD-WAN路由器都是使用Cloud onRamp建立的，用於使用預設vManage模板實現多雲自動化。兩台c8kv路由器都使用private2顏色進行公共Internet連線。

步驟4.AWS Direct Connect配置

必須在AWS控制檯中建立VGW並將其與SD-WAN傳輸VPC相關聯，或將其與任何雲自動化工具相關聯。同一VGW必須與直接連線關聯，如下圖所示。請注意allowed prefixes下的SD-WAN TVPC字首10.211.0.0/16。

VGW Attachment with Direct Connect Gateway

必須在SD-WAN傳輸VPC的AWS路由表中啟用VGW的路由傳播 — 請參見本圖中的198.18.0.4/30的最後一個路由。路由傳播將DC TLOC通告回傳輸VPC路由表。

Transit VPC Routing Table

show sdwan bfd sessions CLI的輸出來自傳輸VPC中的c8kv SD-WAN路由器之一，並顯示兩個SD-WAN隧道：

第一個隧道（參見第5行）通過Internet從AWS TVPC中的c8kv傳輸到資料中心：color private2 > biz-internet。注意目的IP地址 — 它是資料中心路由器的公共IP地址192.0.2.0 — 請參閱上一節中的路由器配置。
第二個隧道（參見第6行）通過AWS Direct Connect：從彩色private2到private1，以198.18.0.5作為目標IP地址。

DC-AWS-EU-CGW1#sh sdwan bfd sessions | i 61
                                      SOURCE TLOC      REMOTE TLOC                                      DST PUBLIC                      DST PUBLIC         DETECT      TX                              
SYSTEM IP        SITE ID  STATE       COLOR            COLOR            SOURCE IP                       IP                              PORT        ENCAP  MULTIPLIER  INTERVAL(msec  UPTIME          TRANSITIONS   
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
61.61.61.61      61       up          private2         biz-internet     10.211.1.56                     162.43.145.3                    12347       ipsec  7           1000           06:05:13        0             
61.61.61.61      61       up          private2         private1         10.211.1.56                     198.18.0.5                      12367       ipsec  7           1000           06:04:26        0             
DC-AWS-EU-CGW1#

Shared Services VPC和AWS GWLB中的防火牆安全性

一個非常常見的要求是檢查東 — 西和北 — 南流量。通常，不同主機VPC和/或SD-WAN VPN之間的任何流量都要接受防火牆檢查。虛擬防火牆在Shared Services VPC中運行，負載均衡可以通過AWS網關負載均衡器(GWLB)實施。

所描述的設計在集中式檢查下非常有效 — 請參閱。

概念驗證設定

這些映像用於為概念驗證(PoC)建立測試設定：

vManage:192.0.2.1R。此工程映像無實際需要，它也必須與20.6配合使用
適用於AWS和Megaport的c8kv（直接連線/資料中心模擬）：17.4或17.5
使用Megaport模擬了AWS Direct Connect

與SDCI提供商巨型埠或Equinix直接連線

在實驗室環境中獲得真正的AWS Direct Connect並不容易。通常，它需要AWS Direct Connect合作夥伴，這成本高昂且需要花費時間。

但是，如果您擁有Megaport或Equinix帳戶，則可以在幾分鐘內使用Cisco Cloud onRamp for Multicloud automation建立AWS Direct Connect網關！

如果您已經在vManage中配置了軟體定義的資料中心互聯(SDCI)和AWS憑證，此處是關鍵步驟的摘要：

如果您尚未擁有兩個在AWS上充當傳輸VPC中的雲網關的c8kv，請使用適用於AWS的多雲工作流程的Cloud onRamp(CoR)，並使用帶有任何私有顏色的預設AWS CoR路由器模板在所需的AWS區域建立它。
在vManage中，導航到CoR for Multicloud Interconnect配置，並在所需的SDCI區域使用預設SDCI提供商路由器模板建立網際網路關(c8kv)。
在vManage中的CoR Multicloud Interconnect Configuration頁面中，建立具有專用虛擬介面(VIF)的新連線型別Cloud。執行此配置工作流程時，您可以選擇建立新的AWS Direct Connect Gateway並將主機VPC連線到該網關。因此，請確保此步驟具有一個「虛擬」主機VPC。
對於步驟2中建立的新c8kv。從vManage配置模式切換到CLI模式，並將隧道從服務端移動到VPN0（刪除vrf forwarding語句）。驗證BGP連線並確保您在BGP配置中具有network語句：network 198.18.0.4 mask 255.255.252。請參閱資料中心和所連線的AWS路由器的完整路由器配置。
在AWS管理控制檯中，選擇適當的VGW（或建立一個新的VGW），並在AWS路由表設定中啟用路由傳播。此外，請確保您已在Direct Connect部分中配置了Allowed prefixes — 請參閱本章後面的映像。

此圖說明了步驟3中的直接連線建立過程：

Megaport Interconnect Connection Step via vManage Workflow

最後，您將在AWS管理控制檯中看到一個新的Direct Connect網關，如下所示。請注意允許的字首欄位，其中包含傳輸SD-WAN VPC的CIDR塊。