SD-WAN에서는 ZBFW를 Data-plan 에 적용하도록 구성합니다. 하지만 Control-plan 이 설정되어 있고 장치가 SD-WAN 컨트롤러와 통신하여 제어 연결을 구축할 수 있는지 확인해야 합니다.
주의: WAN 인터페이스의 DHCP 설정 여부와 관계없이, 장비가 다시 로드되고 라우터가 새로운 IP 주소를 받아야 하는 경우 self-zone 영역이 Next-hop IP 주소에 도달할 수 있도록 새 규칙을 추가해야 합니다.
3) Control Plane
3-1) Inspect parameter map 생성
max-incomplete tcp <timeout> 설정 명령은 tcp 세션이 종료되기 전에 완료되지 않은 최대 연결 수를 지정하는 데 사용됩니다.
multi-tenancy 설정 명령은 ZBFW config에 필요한 global 매개변수입니다.
vManage GUI를 통해 ZBFW를 구성하면 기본적으로 해당 라인이 추가되고CLI를 통해 ZBFW를 구성하는 경우 해당 명령을 추가해야 합니다.
3-2) WAN-Zone 을 생성
3-3) source-zone 과 destination-zone 에 대한 object 그룹을 생성 (self-zone 은 default 로 자동 생성되기에 추가 설정 필요없음)
3-4) IP access-list 생성
3-5) class-map 생성
3-6) zone-pair 에 추가할 policy map 을 생성
3-7) zone-pair 영역을 생성하고 해당 영역에 policy map 을 연동
control-plan 의 트래픽이 허용된후 data-plan 의 설정을 적용할수 있습니다.
3-8) control-connections 의 상태를 체크하려면
Device# show sdwan control connections
3-9) self-zone 과 wan-zone 영역이 정상적으로 설정 안되었을 경우 장비의 control-connection 이 끊어지고 다음과 같은 콘솔 오류가 발생할수 있습니다.
*May 11 00:00:00.000: %IOSXE-6-PLATFORM: R0/0: cpp_cp: QFP:0.0 Thread:000 TS:00000004865486441431 %FW-6-DROP_PKT: Dropping udp pkt from internal0/0/rp:0 10.10.10.10:32168 => 10.10.10.11:32168(target:class)-(none:none) due to Zone-pair without policy with ip ident 62472 (srcvpn:dstvpn)-(65534:0)
4) Data Plane
4-1) 필요에 따라 모든 VRF 영역에 각각 security-zone 생성
4-2) source-zone 과 destination-zone 에 대한 object 그룹을 생성
4-3) IP access-list 생성
4-4) class-map 생성
4-5) zone-pair 에 추가할 policy map 을 생성
4-6) zone-pair 영역을 생성하고 해당 영역에 policy map 을 연동
'CLI Add-On Feature Templates' 와 'CLI template' 에 대한 자세한 설명은 아래 링크 참고하시기 바랍니다.
