自学思科SD-WAN OMP协议原理详解（Overlay Management Protocol）

点击返回：思科SD-WAN实战课

自学思科SD-WAN OMP协议原理详解（Overlay Management Protocol）

目录：

  • 章节1：什么是 overlay 路由?
  • 章节2：Overlay Management Protocol 
  • 章节3：在OMP中发布的路由类型（OMP 路由、TLOC 路由、Network-service 路由）
  • 章节4：路由重分布（本地到OMP、OMP到本地）
  • 章节5：简单的show命令

一、什么是 overlay路由？

 

OMP 在以下情况扮演了重要角色：

  • 编排：站点之间的路由和安全连接；服务链接；VPN拓扑
  • 路由分布
  • 数据平面安全性参数的分布
  • 路由策略的分配

二、Overlay Management Protocol 

  • 基于TCP的可扩展控制平面协议
  • 在vEdge路由器和vSmart控制器之间以及vSmart控制器之间运行：内部永久TLS / DTLS连接 ；开机自动启用
  • vSmarts创建OMP对等方的完整网格
  • vEdge路由器不需要与所有vSmart建立peer（如上图三台vSmart，vEdge默认只与其中两台vSmart控制层面链接，另一台就是备份）

三、在OMP中发布的路由类型（OMP 路由、TLOC 路由、Network-service 路由）

 三种主要路由：

  • OMP routes (常叫做 vRoutes)—在使用OMP协调的传输网络的端点之间建立可达性的前缀。 OMP路由可以代表中央数据中心中的服务，分支机构中的服务，或覆盖网络中任何位置的主机和其他端点的集合。 OMP路由需要并解析为功能转发的TLOC。 与BGP相比，OMP路由等效于任何BGP AFI / SAFI字段中携带的前缀。
  • Transport locations (TLOCs)—将OMP路由绑定到物理位置的标识符。 TLOC是OMP路由域中唯一对下层网络可见的实体，并且必须可以通过OC中的路由来访问它。基础网络。 TLOC可以通过物理网络路由表中的条目直接访问，或者必须由位于NAT设备外部的前缀表示，并且必须包含在路由表中。 在与BGP相比，TLOC充当OMP路由的下一跳。
  • Service routes—将OMP路由与网络中的服务相关联的标识符，指定服务在网络中的位置。 服务包括防火墙，入侵检测系统（IDP）和负载平衡器。 服务路由信息同时包含在服务路由和OMP路由中。

3.1 OMP routes (常叫做 vRoutes)

  • 从本地服务端学到的路由（如上图三条路由动态、静态、直连，也统称服务策略ServiceSide）
  • 宣告给vSmart控制器（通过控制层面） ，vSmart通过OMP协议宣告给其他的vEdge
  • 最突出的属性： 
    TLOC #vRoute的下一跳的传输位置标识符。 它类似于BGP NEXT_HOP属性。 （系统IP地址，颜色，封装类型）
Site-ID #站点ID
Tag  #路由的tag
Preference  #  #OMP路由的优先级。 较高的优先级值是更优选的。
Originator System IP  #路由始发者的OMP标识符，即从中获知路由的IP地址（对端的管理IP地址）。
Origin Protocol  #原始路由协议（如动态、静态、直连），以及与原始路由关联的度量。
Origin Metric #原始路由
AS PATH  #  路径
Label   #  标签
VPN ID  # 内网分成VPN的ID

上图例子：三台vEdge设备S1 WAN IP /TLOC：1.1.7.11(上联Transport端口)  S2：1.1.17.16  S3：1.1.12.13，它们有共同站点内网VPN1（如果若新增VPN1、VPN2，相互之间默认无法互通）

第一步：OMP协议从S1设备学习到OSPF路由
第二步：vSmart通过控制层面隧道学习到OSPF路由
第三步：vSmart自身应用路由策略
第四步：vSmart向其他站点反射路由信息（就从S1学习到的OSPF路由反射给S1和S3）
第五步：其他站点将路由信息重分布给自己内网站点的路由协议

c---chosen：表示路由选择（可以理解为最佳路由）
I---Installed：已加载路由，放置至路由表中
Red----redistributed：重分布
Rej---rejected：拒绝
L---looped：环路
R---resolved：解析成功
S---stale：
Ext---estrange：
Inv---invalid：非法的
Stg---staged：
U---TLOC unresolved： 解析不成功的

3.2 Transport locations (TLOCs)

  • 将连接位置路由到物理网络
  • 宣告给vSmart控制器
  • 最突出的属性：
Site-ID  # 站点IP
Encap-SPI  # 封装
Encap-Authentication  #  封装认证方式
Encap-Encryption  # 封装加密方式
Public IP  # 公网IP
Public Port  #公网端口
Private IP  # 私网IP
Private Port # 私网端口
BFD-Status #
Tag  #
Weight  #  权重

  • 5个vEdge，每个vEdge分别有两个网络MPLS和INET
  • 每个vEdge都需要和vSmart建立控制层面隧道，宣告给了vSmart； vSmart将TLOCs宣告给所有vEdge
  • 数据层面，所有vEdge之间建立IPsec隧道，成功后存在三种IPsec Tunnel：MPLS---MPLS；INET---INET；MPLS---INET（一般不存在）

  • vEdge连接两个网络，Internet(VM12)、MPSL(VM14)；分别标记链路颜色gold和mpls；
  • vEdge的站点ID设置为100，sysytem-IP：172.1.100.6；与其他vEdge的IP是私网互通（前提OMP通告成功）
  • TLOC：通告的私网内网地址，颜色，链路封装 ； 从vSmart查看去往vEdge有两条TLOC；

  • 如果两个vEdge分别存在两条链路均是internet(如1条电信1条联通)，查看vEdge设备的应该存在4条tunnel；
  • 选项“Color restrict will prevent attempt to establish IPSec tunnel to TLOCs with different color”，如果不选择该项默认只要OMP成立建立所有tunnel； 如果选择，不同颜色的TLOC不会建立tunnel（如上图T2和T4，T2和T3不会建立tunnel）；
  • 如果两个vEdge分别存在两条链路是internet和MPLS，查看vEdge设备的应该存在2条tunnel（intetnet和MPLS不互通）；

  

  • 广告网络服务的路由，即通用防火墙，IDS，IPS
  • 公布给vSmart控制器
  • 最突出的属性：
VPN-ID
Service-ID （FW, IDS, IDP or generic net-svc）
Originator System IP
TLOC
Label
Originator-id
Path-id

3.3 Network-Service routes

  • 宣告网络服务的路由，即通过防火墙、IDS、IPS   ； （即是在某台vEdge内网存在一台防火墙，想实现所有路由经防火墙的inside进去，outside出来，做到流量清洗、过滤和检查等）
  • 宣告给vSmart控制器
  • 最突出的属性：
VPN-ID
Service-ID #FW, IDS, IDP or generic net-svc
Originator System IP
TLOC
Label
Originator-id
Path-id

3.4   选择从多个vEdge设备获知的OMP路由

  • 默认值：vSmart通告的4条路径  （也可以更改）
  • 可以将备份路由发布到vEdge，以实现更快的融合

SD-WAN  OMP路由宣告：

1.下一跳的TLOC可达（TLOC IP要宣告到overlay network中）
2.路由源的优先级，首选起源于vedge-route，备选起源于vsmart-route
3.AD管理距离，选择管理距离最小的OMP路由（OMP default 250）
4.路由优先级，选择最高preference的vroute
5.TLOC优先级，选择最高的TLOC preference（vedge IP）
6.origin（路由起源）（是vedge宣告service-side路由进入overlay网络）
按照传统路由方式顺序选择（直连->静态->EBGP->O->O IA->O E1/E2->IBGP->unknown）
7.裁判1选择最高的system-IP宣告的vroute （vedge router-id）8.裁判2选择最高的 private TLOC IP宣告的vroute（默认public TLOC IP=private TLOC IP）

四、路由重分布（本地到OMP、OMP到本地）

4.1  服务（本地-----站点）路由到OMP，自动重分布，即是去往vSmart的路由

  • 路由自动重分布（用户端service端可能是直连的，静态的，OSPF区域间和OSPF区域内）
  • 但是，除了BGP和OSPF外部路由（因为有可能造成环路），需要特殊配置

 4.2  OMP到服务（站点----本地）路由，即是从vSmart回来的路由

  • 需要在每个路由器上本地手动配置
  • 避免路由过度传播到本地协议

4.2.1 OSFP路由重分布

  • 如果采用ospf外部路由， 通告时采用DN比特位，用于防止环路；

4.2.2 BGP路由重分布

  •  AS-Path 不可传递起源扩展社区站点设置用于环路检测So0-0：site-id

 

 

 

 

 

 

五 、简单的show命令

show omp peers  显示活动的 OMP 邻居
show ip route   显示本地路由表中的条目
show omp routes  显示所有OMP路由信息
show omp tlocs   显示宣告的TLOC路由
show omp summary  显示OMP会话的信息

 

.......

posted on 2021-01-13 14:59  CARLOS_KONG  阅读(4822)  评论(0)  编辑  收藏  举报

导航