Descreve como configurar um Destino Não-SD-WAN do tipo Cisco ISR no SD-WAN Orchestrator.
Procedimento
- No painel de navegação do SD-WAN Orchestrator, aceda a Configurar > Serviços de rede (Configure > Network Services).
É apresentado o ecrã Serviços (Services).
- Na área Destinos não-SD-WAN via gateway (Non SD-WAN Destinations via Gateway), clique no botão Novo (New).
É apresentada a caixa de diálogo Novos destinos não-SD-WAN via gateway (New Non SD-WAN Destinations via Gateway).
- Na caixa de texto Nome (Name), introduza o nome para o Destino Não-SD-WAN.
- No menu pendente Tipo (Type), selecione Cisco ISR.
- Introduza o endereço IP para o gateway VPN principal e clique em Seguinte (Next).
É criado um Destino Não-SD-WAN do tipo Cisco ISR e, em seguida, é apresentada uma caixa de diálogo para o seu Destino Não-SD-WAN.
- Para configurar as definições do túnel para o gateway VPN principal do Destino Não-SD-WAN, clique no botão Avançado (Advanced).
- Na área Gateway VPN principal (Primary VPN Gateway), pode configurar as seguintes definições do túnel:
Campo Descrição Modo de túnel (Tunnel Mode) O modo Ativo/Reserva Dinâmica (Active-Hot-Standby) é suportado no SD-WAN Gateway. O modo Ativo/Reserva Dinâmica (Active/Hot-Standby) aparece automaticamente a indicar que, se o túnel Ativo ficar inativo, será assumido o túnel Standby [Reserva Dinâmica (Hot-Standby)], que se tornará no túnel Ativo. PSK A chave pré-partilhada (PSK), que é a chave de segurança para a autenticação através do túnel. Por predefinição, o Orchestrator gera um PSK. Se pretender utilizar a sua própria PSK ou palavra-passe, poderá introduzi-la na caixa de texto. Encriptação (Encryption) Selecione AES 128 ou AES 256 como o tamanho de chave dos algoritmos AES para encriptar os dados. O valor predefinido é AES 128. Grupo DH (DH Group) Selecione o algoritmo do grupo Diffie-Hellman (DH) para ser utilizado ao trocar uma chave pré-partilhada. O grupo DH define a força do algoritmo em bits. Os grupos DH suportados são 2, 5 e 14. Recomenda-se a utilização do grupo DH 14. PFS Selecione o nível de segredo de encaminhamento perfeito (PFS) para obter segurança adicional. Os níveis de PFS suportados são 2 e 5. O valor predefinido é Desativado (Deactivated). - Se pretender criar um gateway VPN secundário para este site, clique no botão Adicionar (Add) ao lado de Gateway VPN secundário (Secondary VPN Gateway). Na janela de pop-up, introduza o endereço IP do gateway VPN secundário e clique em Guardar alterações (Save Changes).
O gateway VPN secundário será criado imediatamente para este local e irá providenciar um túnel VPN do VMware SD-WAN a este gateway.
Nota:Para o Destino Não-SD-WAN do Cisco ISR, por predefinição, o valor do ID de autenticação local utilizado é o IP local da interface do SD-WAN Gateway.
- Selecione a caixa de verificação VPN de cloud VeloCloud redundante (Redundant VeloCloud Cloud VPN) para adicionar túneis redundantes a cada Gateway VPN.
Quaisquer alterações feitas à encriptação, ao grupo DH ou ao PFS do gateway VPN principal também serão aplicadas aos túneis VPN redundantes, se configurados. Depois de modificar as definições do túnel do gateway VPN principal, guarde as alterações e clique em Ver modelo IKE/IPsec (View IKE/IPsec Template) para visualizar a configuração do túnel atualizado.
- Clique na ligação Atualizar localização (Update location) para definir a localização para o Destino Não-SD-WAN configurado. Os detalhes de latitude e longitude são utilizados para determinar o melhor SD-WAN Edge ou SD-WAN Gateway para se ligar à rede.
- Em Sub-redes do site (Site Subnets), adicione sub-redes para o Destino Não-SD-WAN ao clicar no botão +.
Nota: Para o Cisco ISR, a configuração de sub-redes do site é obrigatória.
- Selecione a caixa de verificação Ativar túnel(eis) [Enable Tunnel(s)] quando estiver pronto para iniciar o túnel do SD-WAN Gateway para os Gateways VPN Cisco ISR.
- Clique em Guardar alterações (Save Changes).
- Atribua o Serviço de rede de sites não-SD-WAN recém-criado a um perfil, acedendo a Configurar > Perfis (Configure > Profiles) no SD-WAN Orchestrator. Consulte Configurar um túnel entre um ramo e um destino não-SD-WAN via gateway.
- Regresse à área Destinos Não-SD-WAN via Gateway (Non SD-WAN Destinations via Gateway) no SD-WAN Orchestrator ao aceder a Configurar > Serviços de rede (Configure > Network Services).
- Na área Destinos Não-SD-WAN via Gateway (Non SD-WAN Destinations via Gateway), desloque-se até ao nome do site não-SD-WAN e clique na ligação Editar (Edit) na coluna BGP.
- Configure o BGP com base nos valores Cisco ISR para os seguintes campos obrigatórios: ASN Local (Local ASN), Tipo de túnel (Tunnel Type), IP vizinho (Neighbor IP) e IP local (Local IP) [na secção Opções avançadas (Advanced Options)]. Consulte a documentação da Cisco, se necessário. Para obter mais informações, consulte Configurar o BGP através de IPsec nos Gateways.
Nota: O VTI IP (IP privado) atribuído pelo SD-WAN Orchestrator pode ser utilizado para envio de par em Single-Hop BGP.
- Clique em OK para guardar as alterações.
- Na área Destinos Não-SD-WAN via Gateway (Non SD-WAN Destinations via Gateway), clique na ligação Editar (Edit) na coluna BFD para o Destino Não-SD-WAN, para configurar as definições BFD. Para obter mais informações, consulte Configurar o BFD para Gateways.
