自学思科SD-WAN控制层面

点击返回：思科SD-WAN实战课

自学思科SD-WAN控制层面连接的建立过程

章节1：控制层面白名单（三件套认证）
章节2：DTLS和TLS基础结构
章节3：控制器身份验证和信任+++控制平面建立1（三件套之间建立）
章节4：vEdge路由器身份验证和信任+++控制平面建立2（vEdge Appliance ⟺ vBond, vSmart, vManage）
章节5：vEdge Cloud身份验证和信任+++控制平面建立3（vEdge Cloud ⟺ vBond, vSmart, vManage）
章节6：控制器部署
章节7：端口处理和防火墙

一、控制层面白名单

vManage、vBand、vSmart应该在同一个网段，管理员在vManage GUI中添加控制器；
认证方式：1.买设备提供自带证书Symantec，导入设备中，再通过Symantec自动进行证书签名 2.通过企业自有认证方式
认证完成后，控制器列表由vManage分发到所有控制器，控制器证书序列号。

二、DTLS和TLS隧道基础结构

vSmart和vBand之间：

建立隧道之前，双方交换个人证书
隧道建立加密AES和哈希算法SHA
控制层面的流量建立DTLS隧道(传送UDP报文)，建立成功后数据层面的流量建立TLS隧道(传送TCP报文)；

vEdge和vSmart之间：

vSmart通过OMP协议推送配置、路由策略等信息给vEdge，这个推送过程称作Netconf；
vSmart只需要配置IP、认证信息，上线后配置通过vManage、vSmart下发；

DTLS互联建立：

三、控制器身份验证和信任+++++控制平面建立1（三件套之间建立）

身份验证：控制器身份由Symantec签名证书提供（寿命1-2年）或者可以使用企业CA。在所有其他控制器和vEdge路由器上需要Enterprise Root证书

信任：

Avnet 根证书链，可验证vEdge路由器-----嵌入Viptela软件
Viptela 根证书链，可对vEdge Cloud路由器进行身份验证----由vManage提供. 对集群则提供多个Viptela 根证书链.
Symantec 根证书链，对其他控制器进行身份验证-----嵌入Viptela软件或者可以使用企业根链

3.1 控制连接的建立（vSmart ⟺ vBond） 通过 DTLS

Symantec签名证书被交换
vBond验证：信任针对根的已签名vSmart证书；针对授权白名单的证书序列号（来自vManage）；针对本地配置之一的组织名称（收到的证书OU）
vSmart验证：信任根的vBond证书；针对本地配置的组织名称（收到的证书OU）
持续的DTLS连接出现----vBond是服务器

3.2 控制层面的建立（vManage⟺ vBond）通过 DTLS

Symantec签名证书被交换
vBond验证：信任针对根的已签名vSmart证书；针对授权白名单的证书序列号（来自vManage）；针对本地配置之一的组织名称（收到的证书OU）
vManage验证：信任根的vBond证书；针对本地配置的组织名称（收到的证书OU）
持续的DTLS连接出现----vBond是服务器

3.3 控制层面的建立---冗余部署（vSmart⟺ vSmart） 通过TLS / DTLS

冗余vSmart部署
Symantec签名证书被交换
每个vSmart都会验证:信任根用户签署的vSmart证书；针对授权白名单的证书序列号（来自vManage）；针对本地配置的组织名称（收到的证书OU）
持续的DTLS / TLS连接出现-具有最高公有IP地址的vSmart是服务器

3.4 控制层面的建立（vManage⟺ vSmart） 通过TLS / DTLS

交换Symantec签名证书
vSmart验证:信任根用户签署的vManage证书；针对授权白名单的证书序列号（来自vManage）；组织名称（收到的证书OU）针对本地配置的一个
vManage验证：信任根的vSmart证书；针对授权白名单的证书序列号（来自vManage）；针对本地配置的组织名称（收到的证书OU）
持续的DTLS / TLS连接出现

四、vEdge路由器身份和信任+++++控制平面建立2（vEdge Appliance 端与三件套之间建立）

4.1 vEdge路由器身份和信任

认证：

每个物理vEdge路由器由机器ID和证书序列号唯一标识
证书存储在板载防篡改模块 Tamper Proof Module (TPM)中---在生成过程中安装 (25 year lifetime)
证书由Avnet根CA签名----受控制平面元素信任

信任：

Symantec 根证书链用于验证控制平面元素---嵌入Viptela软件
另外，企业根证书链可用于验证控制平面元素，将企业根CA安装到所有WAN边缘–能够验证控制器证书；可以在ZTP期间自动安装

4.2 控制平面的建立（vEdge Appliance ⟺ vBond）

1.签名证书被交换

2.vBond验证：

Vedge机器号和序列号（针对白名单）
信任已签名的vEdge证书。针对根
针对授权白名单的证书序列号（来自vManage）
针对本地配置之一的组织名称（接收到的OU）

3.vEdge验证：

信任root的vBond证书
针对本地配置之一的组织名称（接收到的OU）

4.vEdge和vBond之间将建立临时DTLS / TLS连接

vEdge是客户端
vEdge IP已注册到Vmanage＆vSmart
vSmart和vManage Ips已注册到vEdge

5.临时隧道被拆除

4.3 控制平面的建立（vEdge Appliance ⟺ vSmart, vManage）

签名证书被交换
vSmart和vManage验证：信任已签名的vEdge证书，是针对根；针对授权白名单的证书序列号（来自vManage）；针对本地配置的组织名称（收到的证书OU）
vEdge验证：针对root用户信任vSmart和vManage证书；针对本地配置之一的组织名称（收到的证书OU）
vEdge和vSmart / vManage之间建立了持久的DTLS / TLS连接；-vEdge是客户端

五、vEdge Cloud身份验证和认证+++++控制平面建立3（vEdge Cloud ⟺ vBond, vSmart, vManage）

5.1 vEdge Cloud身份验证和信任

认证：

OTP /令牌由vManage生成。上传的vEdge列表中的每个（机器ID，序列号）一个；在VM部署期间，OTP /令牌通过cloud-init.cfg文件提供给vEdge Cloud
vManage在OTP /令牌验证后为vEdge Cloud颁发自签名证书（25 year lifetime）。vManage删除OTP以防止重复使用。

信任：

Symantec 根证书链用于验证控制平面元素。或者，如果使用，则企业根CA信任链可用于验证vEdge-Cloud元素可以在cloud-init.cfg中提供

5.2 控制平面的建立（vEdge Cloud ⟺ vBond, vSmart, vManage）

1.vManage颁发证书身份
2.vBond，vSmart和vManage验证：

针对根信任已签名的vEdge证书
针对授权白名单的证书序列号（来自vManage）
针对本地配置之一的组织名称（接收到的OU）
vBond根据物理设备流分配vEdge，vManage和vSmart IP

3.vEdge验证：

根目录信任签名的vBond，vSmart和vManage证书
针对本地配置之一的组织名称（接收到的

4.vEdge和vSmart / vManage之间建立了持久的DTLS / TLS连接

vEdge是客户端

5.3 vEdge控制平面传输

默认情况下，vEdge路由器将尝试在所有预配置的传输上建立控制连接
管理员可以控制vEdge路由器用于建立控制连接的传输方式

六、控制器部署

6.1 控制器建设模式（见上节）

6.2 控制器部署模式（见上节）

6.3 控制器连接方式（以下两种）

6.4 将控制器添加到vManage

vBond，vSmart控制器IP添加到vManage后
vManage将使用其VPN0界面登录vBond和vSmart，以将它们包括在Controller的白名单中。
（1）vManage UI请求使用带有用户凭据的控制器的管理IP，因为默认情况下，为Netconf和ssh启用了管理接口。因此，控制器的VPN0子网和VPN512子网之间应该存在路由（AWS，Azure上的默认设置）。
（2）如果未在VPN0和VPN512之间设计路由，那么我们可以使用Controller的VPN0接口IP将它们添加到vManage上。
在这种情况下，临时在控制器的VPN0接口上启用Netconf和ssh。
验证控制器，安装证书并建立控制连接后，应在VPN0上禁用netconf和ssh。

6.4.1 相同的VPC / DC /区域–---相同的站点ID

（1）（2）vSmart和vManage指向vBond IP地址---NAT公有IP地址
（3）vBond学习vSmart和vManage的接口私有和NAT公有IP地址----私有是NAT之前的，公有是NAT之后的
（4）最常见的部署是在同一DC /区域/区域等内的vManage和vSmart上使用相同的site-id。
当两个设备具有相同的站点ID时，我们尝试使用私有IP进行通信（控制和数据）
vSmart和vManage使用私有IP地址进行通信

6.4.2 不同的VPC / DC /区域–----不同的站点ID

（1）（2）vSmart和vManage指向vBond IP地址-----NAT公有IP地址
（3）vBond学习vSmart和vManage的接口私有和NAT公有IP地址-----私有是NAT之前的，公有是NAT之后的
（4）vSmart和vManage使用NAT公有IP地址进行通信

七、端口处理和防火墙

7.1 SD-WAN控制/数据平面

7.2 WAN Edge路由器–基本端口

WAN Edge路由器加入覆盖网络时，它将与控制器设备（vBond Orchestrator，vManage NMS和vSmart控制器）建立DTLS控制平面连接。
最初建立这些DTLS连接时，WAN Edge路由器使用基本端口UDP：12346。如果无法使用此基本端口建立连接，则它会通过端口12366、12386、12406和12426进行端口跳跃，并在必要时返回，至12346
使用相同的端口号建立与覆盖网络中其他vEdge路由器的IPsec连接和BFD会话。
命令：show control local-properties

7.3 控制器–基本端口

vManage NMS和vSmart控制器可以在具有八个虚拟CPU（vCPU）的虚拟机（VM）上运行。 vCPU被指定为Core0至Core7。
每个核心分配有单独的基本端口用于控制连接。基本端口有所不同，具体取决于连接是通过DTLS隧道（使用UDP）还是通过TLS隧道（使用TCP）进行的。
vBond编排器不支持多个内核。 vBond协调器始终使用DTLS隧道与其他Viptela设备建立控制连接，因此它们始终使用UDP。 UDP端口为12346。

7.4 端口处理和防火墙

1. 默认情况下，所有SD-WAN设备都使用基本端口12346建立用于处理覆盖网络中的控制和流量的连接。与其他SD-WAN设备建立连接时，每个设备都使用此端口
2. 端口偏移

当单个NAT设备后面安装多个SD-WAN设备时。
对于可以在NAT背后的设备之间进行区分的NAT设备，无需配置端口偏移.
每个设备使用不同的端口号，以便NAT可以正确识别每个单独的设备。
与基本端口12346的端口偏移。例如，端口偏移为1的设备使用该设备
端口12347。端口偏移量可以是0到19之间的值。默认端口偏移量是0。

3. 端口跳跃

如果在第一个端口上的连接尝试失败，则尝试彼此建立连接时，设备会尝试使用不同的端口。
发生此类故障后，端口值将增加，并且连接
尝试重试。该软件轮流通过总共五个基本端口，每次连接尝试之间等待的时间越来越长。
如果尚未配置端口偏移，则默认基本端口为12346，并在端口12346、12366、12386、12406和12426之间顺序进行端口跳跃，然后返回端口12346。

7.5 防火墙端口– DTLS

1. vBond编排器不支持多个内核。

vBond协调器始终使用DTLS隧道与其他Viptela设备建立控制连接，因此它们始终使用UDP。 UDP端口为12346

2. 红色表示使用的主要协议或第一个端口

vBond IP不是弹性的，建议允许UDP / 12346与vEdge之间的任何来回。
WAN Edge可以通过端口跳建立连接，建议允许所有5个UDP端口入站到所有WAN Edge

3. 默认-未配置端口偏移和DTLS

7.6 防火墙端口– TLS

红色表示使用的主要协议或第一个端口

vBond IP不是弹性的，建议允许UDP / 12346与vEdge之间的任何来回。
WAN Edge可以通过端口跳跃建立连接，建议允许所有5个UDP端口入站到所有WAN Edge

posted on 2021-01-12 14:31 CARLOS_KONG 阅读(2527) 评论(0) 编辑收藏举报

刷新页面返回顶部

CARLOS_KONG