本节概述了 VMware SASE 路由功能,包括路由类型、连接的路由和静态路由、发生平局决胜 (tie-breaking) 场景的动态路由,以及具有分布式成本计算 (Distributed Cost Calculation, DCC) 的覆盖网络流量控制 (Overlay Flow Control, OFC) 中的首选项值。
概述
VMware SASE 路由基于名为 VCRP 的专有协议构建,该路由支持多路径,并通过 VCMP 传输进行保护。使用 VCRP 以类似于 iBGP 全网状的方式连接 SD-WAN 端点。SD-WAN 网关充当 BGP 路由反射器,可根据配置文件设置将路由从客户企业中的一个 SD-WAN Edge 反射到另一个 SD-WAN Edge。
下图展示了一个具有多云非 SD-WAN 目标的典型 SD-WAN 部署,其中 Orchestrator 执行路由计算,与这种计算方法相比,使用动态成本计算 (Dynamic Cost Calculation, DCC) 是较新的首选方法。
SD-WAN 组件
- SD-WAN Edge 是一个企业级设备或虚拟化云实例,可提供与专用、公用和混合应用程序以及虚拟化服务的安全且优化的连接。在 SD-WAN 路由中,Edge 是一个边界网关。Edge 可以用作常规 Edge(没有配置 Hub)、用作 Hub 本身或作为集群的一部分,也可以作为一个分支(在配置 Hub 时)。
- SD-WAN 网关是自治、无状态、可横向扩展的云交付网关,多个租户中的 Edge 可以连接到这个网关。对于任何 SD-WAN 部署,可将多个 SD-WAN 网关部署为一个在地理上分布(用于降低延迟)和横向扩展(用于容量)的网络,每个网关将充当其已连接 Edge 的路由反射器。
在 Edge 上本地学习的所有路由将根据配置发送到网关。然后,网关会将这些路由反射到企业中的其他 Edge,从而可以在不建立全网状隧道的情况下实现高效的全网状 VPN 连接。
- SASE Orchestrator 是一个基于云的多租户配置和监控门户。在 SD-WAN 路由中,Orchestrator 管理所有企业的路由,并且可以覆盖默认路由行为。
路由类型
- 本地路由 (Local Routes):在 SD-WAN Edge 上本地学习的任何路由。这可以是连接的子网、静态配置的路由,也可以是通过 BGP 或 OSPF 学习的任何路由。
- 远程路由 (Remote Routes):从 VCRP 学习的任何路由,换言之,Edge 本地不存在的路由就是远程路由。该路由源自不同的 Edge,网关会根据配置将该路由反射到客户企业中的其他 Edge。
SD-WAN 使用严格的顺序来为无法更改的非动态路由(BGP 和 OSPF)路由流量。但是,在某些情况下,您可以使用最长前缀匹配技术来操纵路由流量的方式。
1. 最长前缀匹配 |
2. 连接的本地路由 |
3. 静态 LAN/WAN 本地路由 |
4. 连接的远程路由 |
5. 静态 LAN/WAN 远程路由 |
6. 静态非 SD-WAN 目标 |
7. 静态合作伙伴网关 |
8. 覆盖网络流量控制 (OFC) 驱动的路由顺序 |
连接的路由和静态路由
本节包含有关连接的路由和静态路由的基本信息。连接的路由是指到直接连接到接口的网络的路由。有关静态路由的信息,请参阅配置静态路由设置。
连接的路由
- 要使连接的路由在 SD-WAN 中可见,请在 Orchestrator 上配置以下设置:
- 必须激活云 VPN (Cloud VPN)。
- 必须为连接的路由配置有效的 IP 地址。
- 此路由的 Edge 接口必须在 L1 上已启动,并在 L2 和 L3 上正常工作。
- 与该 Edge 接口关联的 VLAN 也必须已启动。
- 必须在接口 IP 设置 (Interface IP settings) 下为配置了连接的路由的 Edge 接口设置通告 (Advertise) 标记。
- 要使静态路由在 SD-WAN 中可见,请在 Orchestrator 上配置以下设置:
- 必须激活云 VPN (Cloud VPN)。
- 必须在配置了静态路由的 Edge 接口上设置通告 (Advertise) 标记。
- 静态路由配置必须选中首选 (Preferred) 和已通告 (Advertised)。
- 对于全局分段,静态路由可以将流量转发到 WAN 底层网络;对于非全局分段,则可以转发到 LAN 或 WAN 底层网络。
- 添加静态路由后可绕过 Edge 接口上的 NAT。
- 不支持具有静态路由的 ECMP(等价多路径路由),并且将只使用第一个静态路由。
- 使用 ICMP 探测以避免流量黑洞。
- 选中首选 (Preferred) 标记的静态路由优先于通过覆盖网络学习的任何 VPN 路由。
选中首选 (Preferred) 复选框后,将始终先匹配静态路由,即使成本较低的 VPN 路由也是如此。
如果未选择该选项,则意味着将通过静态路由匹配任何可用的 VPN 路由,即使 VPN 路由的成本高于静态路由也是如此。仅当相应的 VPN 路由不可用时,才会匹配静态路由。
首选 (Preferred) 选项不适用于 IPv6 地址类型。
选择通告 (Advertise) 复制框后,静态路由将通过 VPN 路由进行通告,并且网络中的其他 SD-WAN Edge 将有权访问资源。
如果将专用资源(如远程办公人员的个人打印机)配置为静态路由,并且阻止其他用户访问该资源,请不要选择此选项。
通告 (Advertise) 选项不适用于 IPv6 地址类型。
OFC 全局通告标记 (Global Advertise Flags) 可控制将哪些路由添加到覆盖网络。默认情况下,不会在覆盖网络中通告以下路由类型:外部 OSPF 和非 SD-WAN 目标 iBGP。此外,如果 Edge 同时充当 Hub 和分支,则将使用为分支而不是 Hub 配置的 全局通告标记 (Global Advertise Flags)。
自有路由 (Self Routes) 是指使用 IP 最长前缀匹配 (Longest Prefix Match, LPM)(例如:172.16.1.10/32)的基于接口的前缀,该前缀安装在 Edge 本地,不会通告到远程 Edge。自有路由的另一个术语是“接口路由”。在查看 Edge 的日志时,用户会看到这些自有路由带有路由标记“s”。
自有路由与连接的路由不同,因为连接的路由可以在覆盖网络中通告,以便远程 Edge 客户端可以访问源 Edge 端上属于已连接路由的客户端。严格上来说,自有路由是 Edge 本身的本地路由。
云路由 (Cloud Route) 使用“v”标记表示,是指安装在 Edge 上且指向 VMware SD-WAN 网关的路由,用于处理发送到 Internet 的多路径流量(换言之,就是使用动态多路径优化 (Dynamic Multi-Path Optimization, DMPO) 的 Internet 流量,它会在到达 Internet 之前利用网关)。Edge 还会将通过相应网关的云路由用于发送到托管在公有云的 VMware Orchestrator 的管理流量。
具有分布式成本计算 (DCC) 的覆盖网络流量控制 (OFC)
分布式成本计算概述
分布式成本计算 (DCC) 是一项功能,它利用 SD-WAN Edge 和网关进行路由首选项计算,而不是依赖于 SASE Orchestrator。Edge 和网关在学习路由后立即插入路由,然后将这些首选项传送到 Orchestrator。
DCC 解决了在仅依靠 Orchestrator 的大型部署中出现的问题,因为在此类大型部署中,Edge 或网关可能无法访问 Orchestrator 以接收更新的路由首选项,或者 Orchestrator 可能无法在一次计算大量路由更新时快速提供路由更新,从而可能无法及时更新路由首选项。将路由首选项计算的职责分配给 Edge 和网关可确保快速可靠地更新路由。
如何完成分布式成本计算首选项
Edge | 合作伙伴网关/托管网关 |
---|---|
NSD E BGP | NSD E/I BGP |
NSD I BGP | E/I BGP |
NSD 上行链路 BGP | |
OSPF O | |
OSPF IA | |
E BGP | |
I BGP | |
OSPF OE1 | |
OSPF OE2 | |
上行链路 BGP |
O = OSPF 区域内 |
IA = OSPF 区域间 |
OE1 = OSPF 外部类型 1 |
OE2 = OSPF 外部类型 2 |
E BGP = 外部 BGP |
I BGP = 内部 BGP |
NSD = 非 SD-WAN 目标 |
设备 | 路由类型 | 默认首选项 |
---|---|---|
Edge | NSD E BGP | 997 |
Edge | NSD I BGP | 998 |
网关 | NSD E/I BGP | 999 |
Edge | NSD 上行链路 BGP | 1000 |
Edge | OSPF O | 1001 |
Edge | OSPF IA | 1002 |
Edge | E BGP | 1003 |
Edge | I BGP | 1004 |
合作伙伴网关 | E/I BGP | 1005 |
Hub | OSFP OE1 | 1001006 |
Hub | OSPF OE2 | 1001007 |
Hub | BGP 上行链路 | 1001008 |
动态路由工作流
- Edge 或网关将学习动态路由。
- SD-WAN 会在内部标识它的路由类型及其默认首选项值。
- SD-WAN 将分配正确的首选项值,并在路由信息库 (Routing Information Base, RIB) 和转发信息库 (Forwarding Information Base, FIB) 中安装路由。
- SD-WAN 会考虑执行为此路由配置的默认通告操作。根据通告操作,SD-WAN 会在客户企业之间通告路由(已通告),或者只将路由添加到 RIB 和 FIB 本地(未通告),而不采取任何操作。
- 然后,SD-WAN 会将该路由同步到 Orchestrator,进而在 Orchestrator 上显示该路由。
首选 VPN 出口点
本节介绍了首选 VPN 出口点:它们是什么,哪些路由可以属于哪些类别,以及如何使用路由固定来覆盖默认值。
在企业门户的 SD-WAN 服务中,导航到 时,您会看到一个标题为首选 VPN 出口 (Preferred VPN Exits) 的部分。此部分显示默认优先级,并标记优于其他类别的一些路由类别。
- Edge:可以在 Hub 或分支 Edge 上学习的任何内部路由都属于此类别,并标记为最高优先级。内部路由不能是 OSPF OE 1/2 或 BGP 上行链路类型的路由。
- Hub:在 Edge 上学习的任何外部站点都属于 Hub 类别,通常具有较低的优先级。Hub 路由包括 OSPF OE1/2 和 BGP 上行链路。
- 合作伙伴网关 (Partner Gateway):在合作伙伴网关上学习的任何路由。
- 路由器 (Router):路由器表示由启用了 BGP 或 OSPF 的 Edge 学习的任何路由前缀,用于确定分配给动态路由的优先级。通常,“VPN 出口”(VPN Exit) 中路由器 (Router) 上方的所有出口点分配的首选项值较低,因此优先级较高,而路由器 (Router) 下面的所有出口点分配的首选项值较高,因此优先级较低。
- 例如:激活 DCC 后,属于 VPN 出口点(Edge、合作伙伴网关或 Hub)且位于路由器 (Router) 上方的所有路由会获得一个小于 1,000,000 的首选项值,而路由器 (Router) 下方的路由会获得一个大于 1,000,000 的首选项值。
- 在下面的示例中,路由器 (Router) 上方的 VPN 出口点 (VPN Exit Points)(即 NSD、Edge 和合作伙伴网关)将获得一个小于 1,000,000 首选项值,Hub 将获得一个大于 1,000,000 的首选项值。
固定路由以覆盖默认首选项值
- 用户可以通过以下任一方法在覆盖网络流量控制 (Overlay Flow Control) 页面上固定路由:
- 在路由列表 (Routes List) 中,选择一个或多个路由,然后单击固定学习的路由首选项 (Pin Learned Route Preference) 选项。
- 单击表下面的编辑 (Edit) 以修改首选 VPN 出口 (Preferred VPN Exits) 的顺序。
- Orchestrator 将该路由事件发送到客户企业中的相关 Edge。
- Edge 覆盖以前的首选项值以匹配固定顺序。
- 分配给固定路由的首选项值从 1、2、3 开始,以此类推(最低的值表示最高的优先级),这与覆盖网络流量控制 (Overlay Flow Control) 页面上的路由顺序匹配。
注: 有关固定路由的更多信息,请参阅 配置子网。
动态路由的平局决胜场景
当 Edge 收到两个或多个源/邻居的相同前缀时,会发生什么情况?
在 SD-WAN 部署中,可能的场景是从两个不同的 Edge 或合作伙伴网关通告相同的前缀。使用 VMware SD-WAN,如果子网属于相同的类别(Edge、Hub 或合作伙伴网关)中,并且具有相同的首选项值,则在路由排序时会首先考虑 BGP 属性或 OSPF 衡量指标。
如果仍存在平局,SD-WAN 使用下一跃点设备的逻辑 ID(派生自 Edge 或网关的通用唯一标识符 (Universally Unique Identifier, UUID))来打破这种平局。下一跃点设备可以是网关或 Hub Edge,具体取决于所使用的分支到分支 VPN 的类型。如果客户企业正在通过网关使用分支到分支,则下一跃点为网关,而如果客户使用分支到 Hub,则下一跃点为 Hub Edge。
如果多个网关通告类型和优先级完全相同的路由,则需要考虑最终决定因素。此最终决定因素首选最早学习的路由。要确保得到预期的路由结果,您可以固定某些路由,或者配置 BGP 属性和成本以使某些路由优先于其他路由。