le
29-06-2021
04:05 PM
- dernière modification le
08-07-2021
01:44 PM
par
Jimena Saez
Ci-dessous vous retrouverez les questions recueillies durant le webcast.
Notre expert : Alain Faure (présentateur)
Pour plus d'informations, visitez la section de Routage et Commutation.
Cliquez sur les boutons pour accéder aux contenus proposés
Sujets abordés lors de la présentation : Système Cisco / Viptela OS SD-WAN, Overlay Management Protocol (OMP), le Transport LOCator (TLOC), vManage, vEdge, vBond Orchestrator et vSmart Controller.
R : A.F. - On se situe dans le cas d’une mise à jour.
Généralement le vEdge va faire le lien entre plusieurs domaines de routages séparés -Ex : quelques entreprises différentes dans la même tour, des immeubles proches dans le même quartier-. Dans ce cas, oui il faudra un équipement physique supplémentaire. Parce qu’il remplace un routeur d’accès coté « opérateur ».
En revanche si le réseau des clients (chaque VPN) est simple l’équipement sur lequel est le vEdge peut être suffisant.
R : A.F. - La segmentation de réseau virtuel (VPN) est la base du SDWAN. Pour chaque VPN il y a une table de routage indépendante (principe du VRF).
Donc le mécanisme de VRF (et les tables de routage séparées) se trouvent sur l’équipement qui gère la redistribution du routage entre le domaine de routage client (pour chaque VPN) et le protocole OMP qui va récupérer les annonces des routes pour les diffuser.
Le VRF est un mécanisme inhérent au SDWAN.
R : A.F. - Chaque liaison entre vEdge a son propre tunnel Ipsec. Tous les VPN entre les même vEdge ont le même tunnel IPSEC puisqu’il s‘agit d’un lien entre équipements. Le VPN posséde son propre mécanisme de séparation des flux entre VPN. Une clé par TLOC.
Quand le trafic passe à travers un tunnel Ipsec, un label est inséré après l’entête ESP pour identifier le VPN auquel il appartient :
Schéma d’un paquet dans le tunnel : [IP / UDP / ESP / Label / Paquet utilisateur]
R : A.F. - Si on retrouve le même subnet disons 10.0.0.0 sur A et sur B, on est dans le même VPN donc il y aura conflit. Il faut utiliser classiquement de la NAT :
10.0.1.0/24(site A-VPN 10) --/NAT/---10.0.1.0/24 (site B-VPN 10) Cependant si on retrouve le même subnet disons 10.0.0.0 sur A et sur B et que l’on est dans des VPN différents, cela ne pose pas de problème car étant isolés, il n’y a pas risque de conflit :
10.0.1.0/24(site A-VPN 10) --//---10.0.2.0/24 (site B-VPN 10) 10.0.1.0/24(site A-VPN 20) --//---10.0.2.0/24 (site B-VPN 20).
R : A.F. - Oui c’est exact. Une clé dans un sens et une autre clé dans l’autre.
Une clé par TLOC.
R : A.F. - Oui, mais il ne faut pas oublier le travail que l’équipement doit supporter : pour chaque VPN il doit recalculer la table de routage etc. Il y a une vraie charge supplémentaire. D’ailleurs vous devez vous poser la question est-ce que le mode SDWAN est nécessaire pour moi, si mon périmètre est trop petit. S’il est grand il faut bien planifier les VPNs, c’est un peu comme avec les VLANS.
R : A.F. - Il n’y a pas besoin de coupler la gestion des clés avec un server de distribution de clés. Parce que les clés sont gérée en locale par les vEdge et échangées par les vSmart à travers un plan de contrôle sécurisé. De plus elles sont régénérées et échangées par défaut toutes les 24heures.
R : A.F. - Oui pour cela le site de Cisco donne ces informations, je vous donne le lien :
R : A.F. - Le ZTP fait appel à Cisco, vous devez en tenir compte pour bien configurer vos firewalls.
R : A.F. - Tout cela est possible.
Mais mon opinion personnelle (pas nécessairement celle de Cisco : Je ne suis pas salarié/consultant pour Cisco) est que vous devez avoir sous votre contrôle tous ces équipements qui constituent le cœur de votre production. Et avoir un PCA (Plan de Continuation d’Activité) en cas de sinistre ou de crise.
R : A.F. - Pour l’instant ce n’est pas le cas. Voir le site de Cisco :
https://learningnetwork.cisco.com/s/ccnp-service-provider
R : A.F. - Oui, vous pouvez décider de filtrer les routes venant d’OSPF (external) et iBGP /eBGP. Ce doit être bien planifié
La communauté est un hub pour vous connecter avec vos pairs et les spécialistes Cisco, pour demander de l'aide, partager votre expertise, développer votre réseau et évoluer professionnellement.
Vous êtes un nouvel arrivant ? Cliquez ici pour en savoir plus.
Nous voulons que votre navigation soit la meilleure, donc vous trouverez des liens pour vous aider à être rapidement familiarisé avec la Communauté Cisco :
Parcourez les liens directs de la Communauté et profitez de contenus personnalisés en français