Tweet
Step 1: Tạo ra Site-List
Mở vManage GUI và điều hướng đến configurations/policies và chọn tab Centralized Policy. Click nút Add Policy.
Hình 5-19: Thêm vào Centralized Policy
Chọn Site từ list pane bên trái. Click nút New Site List. Tôi đã có cái tên cho site list đầu tiên là Remote-Sites và đã thêm site 10 và 20 vào list
Hình 5-20: Adding Site Lists
Cũng bằng cách này chúng ta đã tạo 1 DataCenter site-list. Hình 5-12 hiển thị 2 sites của chúng ta. Để chuyển tiếp đến phần Configure Topology and VPN Membership section, click nút Next ở dưới (không kiển thị trong hình).
Hình 5-21: Site Lists DataCenter and Remote-Sites
Ví dụ 5-5 cho thấy cấu hình liên quan đến site lists. Cấu hình sẽ được gửi đến vSmart như là một phần cấu hình chính sách hoàn chỉnh khi chúng ta kích hoạt chính sách là bước cuối cùng. Lưu ý rằng ở đây hệ thống cũng tự động tạo ra prefix-list với prefix 0.0.0.0/0 le 32 bao gồm toàn bộ tất cả các subnets bao gồm 172.16.30.0/24.
Ví dụ 5-5: Site List Configuration
Step-2: Create Control Policy
Mở Add Topology drop-down menu và chọn Custom Control (Route & TLOC) option
Hình 5-22: configure Centralized Policy Step 1: Control Policy TLOC
Đặt cho nó cái tên và description và chọn nút Sequence Type. Điều này có thể tạo sequence đầu tiên bên dưới Control Policy.
Hình 5-23: Configure Centralized Policy Step 2: Control Policy TLOC.
Chọn TLOC từ cửa sổ pop-up Add Control Policy. Bằng cách làm này sequence đầu tiên sẽ matches với TLOCs.
Hình 5-24: Configure Centralized Policy Step 3: Control Policy TLOC
Click chọn Action và chọn Accept option.
Hình 5-25: Configure Centralized Policy Step 4: Control Policy TLOC
Click chọn Match và mở Site List từ cửa sổ Match Conditions. Chọn site list DataCenter
Hình 5-26: Configure Centralized Policy Step 5: Control Policy TLOC
Click nút Save Match and Actions
Hình 5-27: Configure Centralized Policy Step 6: Control Policy TLOC
Hình 5-28 hiển thị TLOC sequence đầu tiên. Chúng ta đã tạo sequence bên trong Control Policy HUB_AND_SPOKE_POLICY nơi mà chúng ta match với TLOCs của DataCenter và set hành động là permit.
Hình 5-28: Configure Centralized Policy Step 6: Control Policy TLOC
Tạo thêm sequence mới bên bên dưới Control Policy. Sequence này sẽ match với OMP Routes. Ngoài ra, sequence này cũng matched với default IP prefix bởi vì chúng ta không xác định rõ ràng bất kỳ IP prefix nào
Hình 5-29: Configure Centralized Policy Step 7: Control Policy OMP Route
Quá trình của việc tạo 1 route sequence là hoàn toàn giống với những gì chúng ta đã làm với sequence lên quan đến TLOC. Set điều kiện Match and Action
Hình 5-30: Configure Centralized Policy Step 8: Control Policy OMP Route
Hình 5-31 cho thấy trình tự liên quan đến TLOC được liệt kê trước trình tự liên quan đến OMP Route
Hình 5-31: Configure Centralized Policy Step 9: Control Policy OMP Route
Ví dụ 5-5 cho thấy cấu hình của Control Policy. Prefix-list được tự động tạo ra với prefix 0.0.0.0/0 được thêm bên dưới match route (OMP route) section bởi vì chúng ta không chỉ định rõ subnet nào
Ví dụ 5-6: Configuration Related to TLOC/OMP Control-Policy Sequence
Bằng cách click vào nút Next, bạn sẽ chuyển tiếp cửa sổ Configure Traffic Rules
Hình 5-31: Configure Centralized Policy Step 10: Control Policy
Chúng ta không sử dụng bất kỳ traffic rules nào vì vậy click Next để di chuyển đến cửa sổ Apply Policy to Sites and VPN
Hình 5-32: Configure Centralized Policy Step 11: Control Policy
Step-3: Apply Control Policy
Đặt cho Centralized Policy một cái tên và vài description. Lưu ý rằng bạn chỉ có thể activate 1 Centralized Policy tại một thời điểm và đó là lý do tại sao tôi sử dụng cái tên định nghĩa là version. Chọn site list Remote-Sites từ Outbound Site List field. Bằng cách làm này chúng ta có thể thêm Control Policy Hub_and_Spoke_Policy đến sites 10 và 20 đã được định nghĩa trong Remote-Sites site-list. Hãy nhớ rằng policy tổng thể là Centralized Policy và Control Policy là chính sách được sử dụng để thiết lập topology. Chọn nút Add
Hình 5-33: Configure Centralized Policy Step 12: Apply Policy
Ví dụ 5-7 cho thấy cấu hình CLI đã được tạo ra trong giai đoạn Apply Policies to Sites and VPNs
Ví dụ 5-7: Configure Centralized Policy Step 12 from the CLI: Apply Policy
Hình 5-34 cho thấy rằng Control Policy Hub_and_Spoke_Policy đã được attached vào site list Branch-Sites. Bạn có thể kiểm tra cấu hình đã được tạo ra bằng cách click vào nút Preview. Click nút Save Policy
Hình 5-34: Configure Centralized Policy Step 13: Activating Policy
Step-4 Activate Centralized Policy
Bước cuối cùng, chúng ta activate Centralized Policy bằng cách chọn Activate từ tùy chọn drop-down menu […]
Hình 5-35: Configure Centralized Policy Step 14: Activating Policy
Bạn sẽ bị hỏi để confirm the activation. Click nút Activate
Hình 5-36: Configure Centralized Policy Step 14: Activating Policy
Hình 5-37 cho thấy rằng Centralized Policy bây giờ đã được áp dụng thành công trên vSmart
Hình 5-37: Configure Centralized Policy Step 14: Activating Policy
Policy Verification
Chúng ta có thể xác minh Centralized Policy có hiệu lực từ trong vManage GUI bằng cách xác minh các TLOC và OMP route của vEdge1 nhận được từ vSmart. Hình 5-38 cho thấy rằng ngoài local TLOCs, vEdge1 chỉ nhận được các TLOCs của site 30 (DataCenter).
Hình 5-38: Centralized Policy Verification – TLOC routes
Chúng ta cũng thấy rằng vEdge1 chỉ nhận được từ site 30 liên quan đến OMP routes từ vSmart
Hình 5-39: Centralized Policy Verification – OMP routes
Hình 5-40 xác mình rằng vEdge1 đã cài đặt OMP route 172.16.30.0/24 và VPN10 RIB (Routing Information Base).
Hình 5-40: Centralized Policy Verification – IP routes
Chúng ta cũng có thể thấy rằng ở đây chỉ có 2 BFD session từ vEdge1 (site 10: Branch-Site) đến vEdge3 (site 30: DataCenter), một là trên mạng Public-Internet transport và một nữa là trên mạng MPLS transport
Hình 5-41: Centralized Policy Verification – BFD Sessions
Hình 5-42 minh họa mô hình mà chúng ta đã tạo ra với Centralized Policy. Ở đây không có tunnel nào giữa vEdge1 và vEdge2
Hình 5-42: Final Topology – Hub and Spoke
Ví dụ 5-8 cho thấy rằng chúng ta không thể ping đến end-point 172.16.20.20 được nữa nhưng chúng ta có thể ping end-point 172.16.30.30
Ví dụ 5-8: Data Plane Testing
Ví dụ 5-9 cho thấy cấu hình vSmart dã hoàn thành
Ví dụ 5-9: Conplete vSmart Configuration
Spoke-to-Spoke traffic
Nếu chúng ta muốn cho phép các traffic flow giữa các spoke sites mà không trực tiếp qua tunneling chúng ta có thể làm OMP route summarization trên Hub site. Trong vú dụ của chúng ta, tôi có thêm null route bên dưới cấu hình VPN10 cho mạng 172.16.0.0/10. Static route này là tự động redistributed vào trong quá trình quảng bá OMP route. Centralized Policy cho phép các OMP routes từ site 30 quảng bá đến sites 10 và 20
Hình 5-43: Spoke-to-Spoke: OMP Summary Route Advertisement
Hình 5-44 cho thấy rằng vEdge3 quảng báo OMP Summary route 172.16.0.0/19 đến vSmart
Hình 5-44: Spoke-to-Spoke: OMP Summary Route Advertisement – vEdge3
Hình 5-45 cho thấy rằng vSmart lần lượt quảng bá OMP Summary route 172.16.0.0/19 đến cả hai vEdge1 và vEdge2.
Hình 5-45:Spoke-to-Spoke: OMP Summary Route Advertisement – vSmart
Hình 5-46 và 5-47 xác minh cả hay vEdge1 và vEdge2 đã nhận được OMP Summary route 172.16.0.0/19 từ vSmart
Hình 5-46: Spoke-to-Spoke: Received OMP Summary Route – vEdge1
Hình 5-48 xác minh rằng chúng ta cũng có kết nối data plane giữa site 10 và site 20 mặc dù chúng ta không có GRE tunnel hoặc BFD Session giữa các sites (hình 5-49 và 5-50).
Hình 5-48: Spoke-to-Spoke: Data Plane Testing.
Hình 5-49: Spoke-to-Spoke: GRE Tunnels of vEdge2
Hình 5-50: Spoke-to-Spoke: BFD Sessions of vEdge2
Tóm tắt
Chương này bắt đầu bằng cách giải thích các tác vụ cần thiết để thay đổi vSmart từ CLI managed sang chế độ vManaged. Tiếp theo, nó giải thích cách xây dựng một chính sách tập trung trong đó có Control Policy từ chối các TLOC và OMP routes nhận được từ site 10 quảng bá đến site 20 và ngược lại. Do đó, không có GRE tunnel giữa site 10 và site 20 và chúng bị giới hạn lẫn nhau. Phần cuối cùng mô tả cách chúng ta cho phép lưu lượng truy cập giữa site 10 và site 20 bằng cách sử dụng OMP route summariztion tại site 30.
Mở vManage GUI và điều hướng đến configurations/policies và chọn tab Centralized Policy. Click nút Add Policy.
Hình 5-19: Thêm vào Centralized Policy
Chọn Site từ list pane bên trái. Click nút New Site List. Tôi đã có cái tên cho site list đầu tiên là Remote-Sites và đã thêm site 10 và 20 vào list
Hình 5-20: Adding Site Lists
Cũng bằng cách này chúng ta đã tạo 1 DataCenter site-list. Hình 5-12 hiển thị 2 sites của chúng ta. Để chuyển tiếp đến phần Configure Topology and VPN Membership section, click nút Next ở dưới (không kiển thị trong hình).
Hình 5-21: Site Lists DataCenter and Remote-Sites
Ví dụ 5-5 cho thấy cấu hình liên quan đến site lists. Cấu hình sẽ được gửi đến vSmart như là một phần cấu hình chính sách hoàn chỉnh khi chúng ta kích hoạt chính sách là bước cuối cùng. Lưu ý rằng ở đây hệ thống cũng tự động tạo ra prefix-list với prefix 0.0.0.0/0 le 32 bao gồm toàn bộ tất cả các subnets bao gồm 172.16.30.0/24.
Ví dụ 5-5: Site List Configuration
Step-2: Create Control Policy
Mở Add Topology drop-down menu và chọn Custom Control (Route & TLOC) option
Hình 5-22: configure Centralized Policy Step 1: Control Policy TLOC
Đặt cho nó cái tên và description và chọn nút Sequence Type. Điều này có thể tạo sequence đầu tiên bên dưới Control Policy.
Hình 5-23: Configure Centralized Policy Step 2: Control Policy TLOC.
Chọn TLOC từ cửa sổ pop-up Add Control Policy. Bằng cách làm này sequence đầu tiên sẽ matches với TLOCs.
Hình 5-24: Configure Centralized Policy Step 3: Control Policy TLOC
Click chọn Action và chọn Accept option.
Hình 5-25: Configure Centralized Policy Step 4: Control Policy TLOC
Click chọn Match và mở Site List từ cửa sổ Match Conditions. Chọn site list DataCenter
Hình 5-26: Configure Centralized Policy Step 5: Control Policy TLOC
Click nút Save Match and Actions
Hình 5-27: Configure Centralized Policy Step 6: Control Policy TLOC
Hình 5-28 hiển thị TLOC sequence đầu tiên. Chúng ta đã tạo sequence bên trong Control Policy HUB_AND_SPOKE_POLICY nơi mà chúng ta match với TLOCs của DataCenter và set hành động là permit.
Hình 5-28: Configure Centralized Policy Step 6: Control Policy TLOC
Tạo thêm sequence mới bên bên dưới Control Policy. Sequence này sẽ match với OMP Routes. Ngoài ra, sequence này cũng matched với default IP prefix bởi vì chúng ta không xác định rõ ràng bất kỳ IP prefix nào
Hình 5-29: Configure Centralized Policy Step 7: Control Policy OMP Route
Quá trình của việc tạo 1 route sequence là hoàn toàn giống với những gì chúng ta đã làm với sequence lên quan đến TLOC. Set điều kiện Match and Action
Hình 5-30: Configure Centralized Policy Step 8: Control Policy OMP Route
Hình 5-31 cho thấy trình tự liên quan đến TLOC được liệt kê trước trình tự liên quan đến OMP Route
Hình 5-31: Configure Centralized Policy Step 9: Control Policy OMP Route
Ví dụ 5-5 cho thấy cấu hình của Control Policy. Prefix-list được tự động tạo ra với prefix 0.0.0.0/0 được thêm bên dưới match route (OMP route) section bởi vì chúng ta không chỉ định rõ subnet nào
Ví dụ 5-6: Configuration Related to TLOC/OMP Control-Policy Sequence
Bằng cách click vào nút Next, bạn sẽ chuyển tiếp cửa sổ Configure Traffic Rules
Hình 5-31: Configure Centralized Policy Step 10: Control Policy
Chúng ta không sử dụng bất kỳ traffic rules nào vì vậy click Next để di chuyển đến cửa sổ Apply Policy to Sites and VPN
Hình 5-32: Configure Centralized Policy Step 11: Control Policy
Step-3: Apply Control Policy
Đặt cho Centralized Policy một cái tên và vài description. Lưu ý rằng bạn chỉ có thể activate 1 Centralized Policy tại một thời điểm và đó là lý do tại sao tôi sử dụng cái tên định nghĩa là version. Chọn site list Remote-Sites từ Outbound Site List field. Bằng cách làm này chúng ta có thể thêm Control Policy Hub_and_Spoke_Policy đến sites 10 và 20 đã được định nghĩa trong Remote-Sites site-list. Hãy nhớ rằng policy tổng thể là Centralized Policy và Control Policy là chính sách được sử dụng để thiết lập topology. Chọn nút Add
Hình 5-33: Configure Centralized Policy Step 12: Apply Policy
Ví dụ 5-7 cho thấy cấu hình CLI đã được tạo ra trong giai đoạn Apply Policies to Sites and VPNs
Ví dụ 5-7: Configure Centralized Policy Step 12 from the CLI: Apply Policy
Hình 5-34 cho thấy rằng Control Policy Hub_and_Spoke_Policy đã được attached vào site list Branch-Sites. Bạn có thể kiểm tra cấu hình đã được tạo ra bằng cách click vào nút Preview. Click nút Save Policy
Hình 5-34: Configure Centralized Policy Step 13: Activating Policy
Step-4 Activate Centralized Policy
Bước cuối cùng, chúng ta activate Centralized Policy bằng cách chọn Activate từ tùy chọn drop-down menu […]
Hình 5-35: Configure Centralized Policy Step 14: Activating Policy
Bạn sẽ bị hỏi để confirm the activation. Click nút Activate
Hình 5-36: Configure Centralized Policy Step 14: Activating Policy
Hình 5-37 cho thấy rằng Centralized Policy bây giờ đã được áp dụng thành công trên vSmart
Hình 5-37: Configure Centralized Policy Step 14: Activating Policy
Policy Verification
Chúng ta có thể xác minh Centralized Policy có hiệu lực từ trong vManage GUI bằng cách xác minh các TLOC và OMP route của vEdge1 nhận được từ vSmart. Hình 5-38 cho thấy rằng ngoài local TLOCs, vEdge1 chỉ nhận được các TLOCs của site 30 (DataCenter).
Hình 5-38: Centralized Policy Verification – TLOC routes
Chúng ta cũng thấy rằng vEdge1 chỉ nhận được từ site 30 liên quan đến OMP routes từ vSmart
Hình 5-39: Centralized Policy Verification – OMP routes
Hình 5-40 xác mình rằng vEdge1 đã cài đặt OMP route 172.16.30.0/24 và VPN10 RIB (Routing Information Base).
Hình 5-40: Centralized Policy Verification – IP routes
Chúng ta cũng có thể thấy rằng ở đây chỉ có 2 BFD session từ vEdge1 (site 10: Branch-Site) đến vEdge3 (site 30: DataCenter), một là trên mạng Public-Internet transport và một nữa là trên mạng MPLS transport
Hình 5-41: Centralized Policy Verification – BFD Sessions
Hình 5-42 minh họa mô hình mà chúng ta đã tạo ra với Centralized Policy. Ở đây không có tunnel nào giữa vEdge1 và vEdge2
Hình 5-42: Final Topology – Hub and Spoke
Ví dụ 5-8 cho thấy rằng chúng ta không thể ping đến end-point 172.16.20.20 được nữa nhưng chúng ta có thể ping end-point 172.16.30.30
Ví dụ 5-8: Data Plane Testing
Ví dụ 5-9 cho thấy cấu hình vSmart dã hoàn thành
Ví dụ 5-9: Conplete vSmart Configuration
Spoke-to-Spoke traffic
Nếu chúng ta muốn cho phép các traffic flow giữa các spoke sites mà không trực tiếp qua tunneling chúng ta có thể làm OMP route summarization trên Hub site. Trong vú dụ của chúng ta, tôi có thêm null route bên dưới cấu hình VPN10 cho mạng 172.16.0.0/10. Static route này là tự động redistributed vào trong quá trình quảng bá OMP route. Centralized Policy cho phép các OMP routes từ site 30 quảng bá đến sites 10 và 20
Hình 5-43: Spoke-to-Spoke: OMP Summary Route Advertisement
Hình 5-44 cho thấy rằng vEdge3 quảng báo OMP Summary route 172.16.0.0/19 đến vSmart
Hình 5-44: Spoke-to-Spoke: OMP Summary Route Advertisement – vEdge3
Hình 5-45 cho thấy rằng vSmart lần lượt quảng bá OMP Summary route 172.16.0.0/19 đến cả hai vEdge1 và vEdge2.
Hình 5-45:Spoke-to-Spoke: OMP Summary Route Advertisement – vSmart
Hình 5-46 và 5-47 xác minh cả hay vEdge1 và vEdge2 đã nhận được OMP Summary route 172.16.0.0/19 từ vSmart
Hình 5-46: Spoke-to-Spoke: Received OMP Summary Route – vEdge1
Hình 5-48 xác minh rằng chúng ta cũng có kết nối data plane giữa site 10 và site 20 mặc dù chúng ta không có GRE tunnel hoặc BFD Session giữa các sites (hình 5-49 và 5-50).
Hình 5-48: Spoke-to-Spoke: Data Plane Testing.
Hình 5-49: Spoke-to-Spoke: GRE Tunnels of vEdge2
Hình 5-50: Spoke-to-Spoke: BFD Sessions of vEdge2
Tóm tắt
Chương này bắt đầu bằng cách giải thích các tác vụ cần thiết để thay đổi vSmart từ CLI managed sang chế độ vManaged. Tiếp theo, nó giải thích cách xây dựng một chính sách tập trung trong đó có Control Policy từ chối các TLOC và OMP routes nhận được từ site 10 quảng bá đến site 20 và ngược lại. Do đó, không có GRE tunnel giữa site 10 và site 20 và chúng bị giới hạn lẫn nhau. Phần cuối cùng mô tả cách chúng ta cho phép lưu lượng truy cập giữa site 10 và site 20 bằng cách sử dụng OMP route summariztion tại site 30.
Comment