el - fecha de última edición por
Jimena Saez
Presentación del webinar Community Live
Resolución de problemas de SD-WAN DTLS/TLS (Conexiones de Control) y Sesiones de BFD/IPSec SD-WAN (Plano de Datos)
Con la colaboración de Lizbeth Gómez, César Ávila y Rodolfo Rico.
El objetivo de esta sesión fue abordar el funcionamiento de las Sesiones de Control y la Detección de Reenvío Bidireccional (BFD) en Catalyst SD-WAN. Se analizaron individualmente cómo se forman las Sesiones de Control, así como las sesiones de BFD. También vimos cuál es la configuración que se requiere para su correcto funcionamiento, y cómo el Overlay Management Protocol (OMP) colabora en ello. Así mismo se expuso brevemente los problemas más comunes de estas dos funcionalidades de Catalyst SD-WAN.
Recuerde que la presentación está disponible en pdf para su comodidad. Si este documento le ha resultado útil, no olvide calificar esta publicación con un voto de utilidad para validar su relevancia. ¡Muchas gracias!
¿Cómo enviar una pregunta?
Ponemos a su disposición nuestro evento Ask Me Anything (AMA) en cuyo foro podrán externar dudas y solicitar apoyo de nuestros expertos en casos específicos de los temas abordados. ¡Esperamos sus preguntas!
Lista de las Q&A del webinar Community Live
Encuentre la lista de preguntas formuladas durante el seminario web Community Live de nuestro evento. Cualquier duda que no haya sido respondida durante la sesión será resuelta posteriormente aquí o en el foro de "Preguntas".
Lista de Preguntas y Respuestas (Q&A)
- Resolución de problemas de SD-WAN DTLS/TLS (Conexiones de Control) y Sesiones de BFD/IPSec SD-WAN (Plano de Datos)
- Pregunta: ¿BFD ya está habilitado por default? ¿y cada cuánto tiempo (segundos) envían paquetes para saber si un enlace esta Ok? - Rosalio R. (min.51)
- Pregunta: Una pregunta, ¿en SD-WAN Catalyst ya se utiliza SHA-2 para la parte de autenticación? - Salomón V. (min.57)
- Pregunta: Hola, a través de esta solución de SD-WAN se puede realizar filtrado de contenido/tráfico ¿qué pasa a través de los túneles de SD-WAN? - Óscar S. (min.67)
- Pregunta: Gracias. ¿También se puede hacer filtrado a nivel L3 o Aplicación en el data plane (ya con el tráfico "interesante" que pasa por el SD-WAN), para determinar qué tráfico puede pasar o no a través de los túneles? - Óscar S. (min.71)
- Pregunta: ¿Hay algún espacio de teams sobre topics de SD-WAN? - Valeria L. (min.78)
- Pregunta: ¿Hay algún equivalente de la herramienta tcpdump en los cEdge? - Francisco S. (min.86)
- Pregunta: Talvez ya lo mencionaron pero ¿cuál era la diferencia entre public internet y biz internet? - Valeria L. (min.88)
- Pregunta: ¿Es normal tener una distancia grande entre la cantidad de paquetes recibidos y enviados? - Francisco S. (min.94)
- Pregunta: ¿Qué tanto impactan los debugs en el equipo a nivel de CPU? Por ejemplo, si se tuviera un ISR 1100 ¿impactaría mucho ? - Francisco S. (min.96)
- Pregunta: Podemos resumir que ante un tshoot de un BFD lo principal a revisar es : 1) Problemas de conectividad (capa3) 2) Problemas de bloqueo de puertos 3) Mismatch de colores en los túneles - Francisco S. (min.108)
- Pregunta del Chat:¿Puede utilizarse tcpdump en cualquier Vedge? - Luis M. (min.106)
- Pregunta PQ#1: ¿Cuáles son los equipos que forman parte del Overlay de Cisco SD-WAN?
- Pregunta PQ#2: ¿Con qué controlador, el router establece comunicación por primera vez para agregarse al Overlay?
- Pregunta PQ#3: ¿En qué dispositivos se ejecuta OMP?
Pregunta: ¿BFD ya está habilitado por default? ¿y cada cuánto tiempo (segundos) envían paquetes para saber si un enlace esta Ok? - Rosalio R. (min.51)
Respuesta (Rodolfo R.): Sí, cuando se levantan las sesiones de ipsec entre el controller y el equipo, el tiempo por defecto es de 1 segundo, pero se puede modificar, no es muy recomendado pero se pueden modificar los parámetros.
Pregunta: Una pregunta, ¿en SD-WAN Catalyst ya se utiliza SHA-2 para la parte de autenticación? - Salomón V. (min.57)
Respuesta (Rodolfo R.): Hola Salomón, sí se soporta, igual cabe resaltar que manejamos túneles de ipsec con otros equipos (third party) donde se suele cambiar temas de autenticación.
Pregunta: Hola, a través de esta solución de SD-WAN se puede realizar filtrado de contenido/tráfico ¿qué pasa a través de los túneles de SD-WAN? - Óscar S. (min.67)
Respuesta (Rodolfo R.): Hola Óscar, sí se puede hacer filtro de tlocs y rutas a nivel de control para que desde nuestro controller podamos restringir a la entrada y salida con qué equipos queremos hacer bfd, hacer topologías hub&spoke. De igual manera puedes hacer uso de políticas de datos para hacer filtrado de algún tipo de tráfico, mandarlo por un tloc en específico, o mandar cierto tipo de tráfico a través del overlay y otro por DIA, etc.
Pregunta: Gracias. ¿También se puede hacer filtrado a nivel L3 o Aplicación en el data plane (ya con el tráfico "interesante" que pasa por el SD-WAN), para determinar qué tráfico puede pasar o no a través de los túneles? - Óscar S. (min.71)
Respuesta (Rodolfo R.): Claro, puede hacer el filtrado por varios parámetros a través de las políticas de datos, a nivel dscp, lista de prefijos, incluso por aplicación (se reconoce por NBAR).
Pregunta: ¿Hay algún espacio de teams sobre topics de SD-WAN? - Valeria L. (min.78)
Respuesta (Rodolfo R.): Hola Valeria, hay documentos de configuración y algunos de troubleshooting en cisco.com, igual están algunos foros en la comunidad donde se puede encontrar de igual manera algunos tópicos, como recomendación en Google podemos poner algo así "conexiones de control Cisco sdwan".
Pregunta: ¿Hay algún equivalente de la herramienta tcpdump en los cEdge? - Francisco S. (min.86)
Respuesta (Rodolfo R.): No lo hay como tal, pero en los cEdge podemos usar FIA trace y EPC para ver el flujo de paquetes, en las versiones más actuales ya se puede tomar un FIA trace desde nuestro manager.
Pregunta: Talvez ya lo mencionaron pero ¿cuál era la diferencia entre public internet y biz internet? - Valeria L. (min.88)
Respuesta (Rodolfo R.): Sólo es un tag que se le pone a la interfaz, los dos son colores públicos, de igual manera hay más tags que podemos usar nosotros para links públicos.
Respuesta (César Daniel A.): Añadiendo información a esta respuesta, colores públicos incluyen default, biz-internet, public-internet, lte, 3g, red, green, blue, gold, silver, bronze, custom1, custom2, etc. Colores privados incluyen mpls, metro-ethernet, private1, private2, etc.
Pregunta: ¿Es normal tener una distancia grande entre la cantidad de paquetes recibidos y enviados? - Francisco S. (min.94)
Respuesta (Rodolfo R.): Por lo regular no hay tanta discrepancia en los paquetes pero si hubiera una distancia grande podría indicar que hubo alguna intermitencia o que en algún punto se cayó la bfd, o que actualmente esté abajo.
Pregunta: ¿Qué tanto impactan los debugs en el equipo a nivel de CPU? Por ejemplo, si se tuviera un ISR 1100 ¿impactaría mucho ? - Francisco S. (min.96)
Respuesta (Rodolfo R.): Este tipo de debugs no tienen impacto a nivel de performance como high memory o CPU, porque lo que hace el FIA trace es monitorear el procesamiento de los paquetes a nivel QFP. De igual manera si no ponemos el FIA trace como "circular" llega un punto donde el buffer se llena y ya no captura más paquetes.
Respuesta (César Daniel A.): Adicional a la respuesta de Rodolfo, es importante limpiar el buffer y las condiciones una vez obtenido y guardado el FIA Trace. Esto para que, en un futuro, si necesitamos volver a utilizar el FIA Trace, no tengamos condiciones usadas anteriormente y no tengamos los paquetes en el buffer del packet trace. Estos comandos son para limpiar:
clear platform packet-trace statistics --> para limpiar el buffer
clear platform condition all --> para limpiar las condiciones.
Respuesta (Jimena S.): Esta pregunta fue respondida en directo (ver el final del video).
Pregunta: Podemos resumir que ante un tshoot de un BFD lo principal a revisar es : 1) Problemas de conectividad (capa3) 2) Problemas de bloqueo de puertos 3) Mismatch de colores en los túneles - Francisco S. (min.108)
Respuesta (Jimena S.): Esta pregunta fue respondida en directo (ver el final del video).
Pregunta del Chat: ¿Puede utilizarse tcpdump en cualquier Vedge? - Luis M. (min.106)
Respuesta (Jimena S.): Esta pregunta fue respondida en directo (ver el final del video).
Pregunta PQ#1: ¿Cuáles son los equipos que forman parte del Overlay de Cisco SD-WAN?
Opciones de respuesta: a) Validator, Controller, Manager, Edge Routers b) Validator, Firewall, Proveedor de Servicios de Internet, Switches c) Manager, WLC, Router, Controller // Respuesta Correcta: a) Validator, Controller, Manager, Edge Routers
Pregunta PQ#2: ¿Con qué controlador, el router establece comunicación por primera vez para agregarse al Overlay?
Opciones de respuesta: a) Catalyst SD-WAN Controller b) Catalyst SD-WAN Manager c) Catalyst SD-WAN Validator // Respuesta Correcta: c) Catalyst SD-WAN Validator
Pregunta PQ#3: ¿En qué dispositivos se ejecuta OMP?
Opciones de respuesta: a) Entre Edge Routers y SD-WAN Controller b) Entre SD-WAN Controller y SD-WAN Manager c) Entre Edge Routers y SD-WAN Validator // Respuesta Correcta: a) Entre Edge Routers y SD-WAN Controller
Nuestros expertos
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.