SD-WAN: ファイルを直接 SR に SCP で Upload する方法

[masoka]

• はじめに
• SCM を使用したトークンの発行
• Cisco Catalyst SD-WAN Manager / Validator / Controller / vEdge Device から SCP による Upload
• Cisco IOS XE Catalyst SD-WAN Device から SCP による Upload
• 参考情報
• 備考

はじめに

本ドキュメントでは、Cisco Catalyst SD-WAN の各コンポーネントのデバイスから、admin-tech も含めログなど任意のファイルを直接 SR ケースに SCP により Upload する方法を記載いたします。

なんらかの問題により Catalyst SD-WAN Manager (旧称: vManage) からの admin-tech の収集ができない場合、または admin-tech 以外に収集した任意のログやファイルがあるものの、ローカル環境への転送が上手くいかない場合など、各コンポーネントのデバイスから直接 SR に Upload したいというケースでご活用ください。

また、Manager には直接 SR に admin-tech を upload する機能が実装されていますが、注意事項もございますので、以下についてもご参考をください。

SD-WAN: vManage から直接 SR に admin-tech を upload する機能の注意事項

SCM を使用したトークンの発行

ステップ 1：SCM にログインします。

ステップ 2：対象の SR ケースを開きます。

ステップ 3：Attachments タブをクリックします。

ステップ 4：Generate Token をクリックします。トークンが生成されると、「Generate Token」ボタンの右側に表示されます。以下は画面の例です。

Cisco Catalyst SD-WAN Manager / Validator / Controller / vEdge Device から SCP による Upload

以下のコマンドにより、vpn 512 を使用し、SR 番号をユーザ名、cxd.cisco.com を宛先として Upload 可能です。

request upload vpn 512 scp://< SR 番号 >@cxd.cisco.com:/< 転送先ファイル名 > < ファイル名 >

※ vpn 512 において、名前解決のために DNS サーバが設定されている必要があります。
※ vpn 0 を使用する場合、tunnel-interface において allow-service sshd を有効にする必要があります。

以下は、実際に test.txt を Upload した例です。Password として 発行したトークン (例: TOKENKEY12345) を入力します。

# request upload vpn 512 scp://698XXXXXX@cxd.cisco.com:/test.txt test.txt 
Warning: Permanently added 'cxd.cisco.com,YY.YY.YY.YY' (ECDSA) to the list of known hosts.
698XXXXXX@cxd.cisco.com's password: TOKENKEY12345
test.txt                                                                                                                                             100%   38     0.2KB/s   00:00    
Upload successful
#

Cisco IOS XE Catalyst SD-WAN Device から SCP による Upload

[ Cisco IOS XE Catalyst SD-WAN Release 17.9 まで ]

以下のコマンドにより、vrf Mgmt-intf を使用し、SR 番号をユーザ名、cxd.cisco.com を宛先として Upload 可能です。 

Router# copy bootflash:< ファイル名 > scp://< SR 番号 >@cxd.cisco.com:/< 転送先ファイル名 > vrf Mgmt-intf

※ VRF を指定せず、Transport として使用している WAN IF から Upload する場合、tunnel-interface において allow-service all を有効にする必要があります。

以下は、実際に test.txt を Upload した例です。Password として 発行したトークン (例: TOKENKEY12345) を入力します。 

Router# copy bootflash:test.txt scp://698XXXXXX@cxd.cisco.com:/test.txt vrf Mgmt-intf
Address or name of remote host [cxd.cisco.com]? 
Destination filename [test.txt]? 
Writing test.txt !
2371 bytes copied in 3.715 secs (638 bytes/sec)
Password: TOKENKEY12345
Router#

[ Cisco IOS XE Catalyst SD-WAN Release 17.10 以降 ]

Cisco IOS XE Catalyst SD-WAN Release 17.10 以降、対応する SSH の Key Exchange および MAC algorithms の実装が変更されたことで、直接 SCM への SCP の接続ができなくなりました。
代替として、以下のコマンドにより、FTP での Upload は可能ですが、暗号化はされません。

Router# copy bootflash:< ファイル名 > ftp://< SR 番号 >:< トークン >@cxd.cisco.com/< 転送先ファイル名 > vrf Mgmt-intf

以下は、実際に test.txt を FTP で Upload した例です。SR 番号の後ろに ":" を付けてトークン (例: TOKENKEY12345) を入力します。

Router# copy bootflash:test.txt ftp://698XXXXXX:TOKENKEY12345@cxd.cisco.com/test.txt vrf Mgmt-intf
Address or name of remote host [cxd.cisco.com]? 
Destination filename [test.txt]? 
Writing test.txt !
2371 bytes copied in 3.715 secs (638 bytes/sec)
Router#

暗号化された転送を行うためには、以下を参考に、一度 ファイルを Catalyst SD-WAN Manager に転送した上で、Manager から SCM へ Upload する必要があります。

cEdgeとvManage間でのファイルの転送
vManage CLIによるcEdgeからのファイルのコピー

17.10 以降での SSH の Key Exchange および MAC algorithms に関する実装変更については、以下に記載がございます。

Security and VPN Configuration Guide, Cisco IOS XE 17.x
 - Chapter: SSH Algorithms for Common Criteria Certification
  - Restriction for SSH Algorithms for Common Criteria Certification

参考情報

SDWAN環境でのAdmin-Techの収集とTACケースへのアップロード

Cisco Technical Assistance Center にファイルをアップロードする方法

SD-WAN: vManage から直接 SR に admin-tech を upload する機能の注意事項

備考

本記事執筆時点での情報をもとに記載しており、予告なく情報が変更される場合があります。

[masoka]

はじめに

本ドキュメントでは、Cisco Catalyst SD-WAN の各コンポーネントのデバイスから、admin-tech も含めログなど任意のファイルを直接 SR ケースに SCP により Upload する方法を記載いたします。

なんらかの問題により Catalyst SD-WAN Manager (旧称: vManage) からの admin-tech の収集ができない場合、または admin-tech 以外に収集した任意のログやファイルがあるものの、ローカル環境への転送が上手くいかない場合など、各コンポーネントのデバイスから直接 SR に Upload したいというケースでご活用ください。

また、Manager には直接 SR に admin-tech を upload する機能が実装されていますが、注意事項もございますので、以下についてもご参考をください。

SD-WAN: vManage から直接 SR に admin-tech を upload する機能の注意事項

SCM を使用したトークンの発行

ステップ 1：SCM にログインします。

ステップ 2：対象の SR ケースを開きます。

ステップ 3：Attachments タブをクリックします。

ステップ 4：Generate Token をクリックします。トークンが生成されると、「Generate Token」ボタンの右側に表示されます。以下は画面の例です。

Cisco Catalyst SD-WAN Manager / Validator / Controller / vEdge Device から SCP による Upload

以下のコマンドにより、vpn 512 を使用し、SR 番号をユーザ名、cxd.cisco.com を宛先として Upload 可能です。

request upload vpn 512 scp://< SR 番号 >@cxd.cisco.com:/< 転送先ファイル名 > < ファイル名 >

※ vpn 512 において、名前解決のために DNS サーバが設定されている必要があります。
※ vpn 0 を使用する場合、tunnel-interface において allow-service sshd を有効にする必要があります。

以下は、実際に test.txt を Upload した例です。Password として 発行したトークン (例: TOKENKEY12345) を入力します。

# request upload vpn 512 scp://698XXXXXX@cxd.cisco.com:/test.txt test.txt 
Warning: Permanently added 'cxd.cisco.com,YY.YY.YY.YY' (ECDSA) to the list of known hosts.
698XXXXXX@cxd.cisco.com's password: TOKENKEY12345
test.txt                                                                                                                                             100%   38     0.2KB/s   00:00    
Upload successful
#

Cisco IOS XE Catalyst SD-WAN Device から SCP による Upload

[ Cisco IOS XE Catalyst SD-WAN Release 17.9 まで ]

以下のコマンドにより、vrf Mgmt-intf を使用し、SR 番号をユーザ名、cxd.cisco.com を宛先として Upload 可能です。 

Router# copy bootflash:< ファイル名 > scp://< SR 番号 >@cxd.cisco.com:/< 転送先ファイル名 > vrf Mgmt-intf

※ VRF を指定せず、Transport として使用している WAN IF から Upload する場合、tunnel-interface において allow-service all を有効にする必要があります。

以下は、実際に test.txt を Upload した例です。Password として 発行したトークン (例: TOKENKEY12345) を入力します。 

Router# copy bootflash:test.txt scp://698XXXXXX@cxd.cisco.com:/test.txt vrf Mgmt-intf
Address or name of remote host [cxd.cisco.com]? 
Destination filename [test.txt]? 
Writing test.txt !
2371 bytes copied in 3.715 secs (638 bytes/sec)
Password: TOKENKEY12345
Router#

[ Cisco IOS XE Catalyst SD-WAN Release 17.10 以降 ]

Cisco IOS XE Catalyst SD-WAN Release 17.10 以降、対応する SSH の Key Exchange および MAC algorithms の実装が変更されたことで、直接 SCM への SCP の接続ができなくなりました。
代替として、以下のコマンドにより、FTP での Upload は可能ですが、暗号化はされません。

Router# copy bootflash:< ファイル名 > ftp://< SR 番号 >:< トークン >@cxd.cisco.com/< 転送先ファイル名 > vrf Mgmt-intf

以下は、実際に test.txt を FTP で Upload した例です。SR 番号の後ろに ":" を付けてトークン (例: TOKENKEY12345) を入力します。

Router# copy bootflash:test.txt ftp://698XXXXXX:TOKENKEY12345@cxd.cisco.com/test.txt vrf Mgmt-intf
Address or name of remote host [cxd.cisco.com]? 
Destination filename [test.txt]? 
Writing test.txt !
2371 bytes copied in 3.715 secs (638 bytes/sec)
Router#

暗号化された転送を行うためには、以下を参考に、一度 ファイルを Catalyst SD-WAN Manager に転送した上で、Manager から SCM へ Upload する必要があります。

cEdgeとvManage間でのファイルの転送
vManage CLIによるcEdgeからのファイルのコピー

17.10 以降での SSH の Key Exchange および MAC algorithms に関する実装変更については、以下に記載がございます。

Security and VPN Configuration Guide, Cisco IOS XE 17.x
 - Chapter: SSH Algorithms for Common Criteria Certification
  - Restriction for SSH Algorithms for Common Criteria Certification

参考情報

SDWAN環境でのAdmin-Techの収集とTACケースへのアップロード

Cisco Technical Assistance Center にファイルをアップロードする方法

SD-WAN: vManage から直接 SR に admin-tech を upload する機能の注意事項

備考

本記事執筆時点での情報をもとに記載しており、予告なく情報が変更される場合があります。