SD-WAN : On-Site Bootstrap Process を実施できない場合

[Ryota Takao]

• はじめに
• 1. vManage へ PnP の情報を反映
• 2. WAN Edge Cloud Certificate Authorization が Automated になっていることを確認
• 3. 交換前の cEdge を vManage から削除
• 4. 交換後の機器に XE SD-WAN をインストール
• 5. username / password を設定
• 6. Type 6 パスワードの確認
• 7. コンフィグの投入
• 8. (Optional)デバイスの認証
• 8-1. (Optional)vManage 側で UUID / OTP を生成
• 8-2. (Optional)request platform software sdwan vedge_cloud activate chassis-number XXX token YYY
• 参考情報

 

はじめに

本ドキュメントでは cEdge の交換時に何らかの理由で On-Site Bootstrap Process を実施できない場合に代わりに実施する手順を示します。
cEdge の交換作業については SD-WAN : cEdge の交換 を参照してください。

1. vManage へ PnP の情報を反映

vManage へ PnP の情報を反映させるには以下の２つの方法があります。
どちらかの方法で vManage へ PnP の情報を反映させてください。
・vManage の GUI で Sync Smart Account をクリック(vManage version 18.3 以降で使用可)
・Provisioning File を入手 > Provisioning File を vManage にアップロード


それぞれ手順を説明します。
・vManage の GUI で Sync Smart Account をクリック(vManage version 18.3 以降で使用可)
vManage の GUI にアクセス > Configuration > Devices > Sync Smart Account をクリック(以下の画像の右端のボタン)



・Provisioning File を入手 > Provisioning File を vManage にアップロード
Provisioning File を入手
以下のページにアクセスし Smart Account / Virtual Account を選択します。
https://software.cisco.com/#pnp-devices


Controller Profiles のタブを選択し適切な Profile の Provisioning File をクリックして Provisioning File をダウンロード

Provisioning File を vManage にアップロード
vManage の GUI にアクセスし、Configuration > Devices の「Upload WAN Edge List」を選択しダウンロードした Provisioning File をアップロードします。
アップロードする際には「Validate the uploaded vEdge List and send to controllers」にチェックを付けてください。

2. WAN Edge Cloud Certificate Authorization が Automated になっていることを確認

vManage の GUI にアクセス > Administration > Settings > WAN Edge Cloud Certificate Authorization
＊WAN Edge Cloud Certificate Authorization の部分は古い version の場合は vEdge Cloud Certificate Authorization の表記です。
もし Automated でなければ Edit から Automated に変更してください。

3. 交換前の cEdge を vManage から削除

交換前の cEdge を以下を参照し vManage から削除します。

SD-WAN : vEdge/cEdge を vManage から削除する手順
https://community.cisco.com/t5/-/-/ta-p/4091956

4. 交換後の機器に XE SD-WAN をインストール

交換後の機器に XE SD-WAN のインストールを行ってください。
XE SD-WAN のインストールについては以下のドキュメントを参照してください。

SD-WAN : XE SD-WAN のインストール
https://community.cisco.com/t5/-/-/ta-p/4092908

5. username / password を設定

※この手順は 16.12.2r, 17.2.1 を含む、それ以降の version では不要です。16.12.2r, 17.2.1 を含む、それ以降の version では初回ログイン時に username: admin のパスワード変更を求められるため、その際に admin 以外のパスワードを設定してください。  

Default の username / password である admin / admin は Onetime password です。
一度 admin / admin でログインした後にパスワードを設定しないままタイムアウトするとロックアウトされてしまいます。
交換作業時にために admin / admin 以外の適当なパスワードを設定してください。
以下の例では username / password に cisco / cisco を設定しています。

Router#config-transaction

admin connected from 127.0.0.1 using console on Router
Router(config)# 
Router(config)# username cisco privilege 15 password 0 cisco
Router(config)# 
Router(config)# commit
Commit complete.
Router(config)# exit
Router#

ここで設定したパスワードが交換作業のための一時的なものであれば交換作業終了前に該当の username を削除してください。
以下の例では username cisco を削除しています。

Router#config-transaction

admin connected from 127.0.0.1 using console on Router
Router(config)# 
Router(config)# no username cisco
Router(config)# 
Router(config)# commit
Commit complete.
Router(config)# exit
Router#

また、万一パスワードを設定しないままロックアウトされてしまった場合は以下を参照しパスワードリカバリーを行ってください。
SD-WAN: cEdge のパスワードリカバリについて
https://community.cisco.com/t5/-/-/ta-p/3942101

6. Type 6 パスワードの確認

Type 6 パスワードはルータ毎に固有のキーを元に作成している都合上、バックアップしたコンフィグからのコピー&ペーストによるコンフィグを投入する際に復号ができずに投入ができないことになります。
そのため、Type 6 パスワード部分のパスワードを事前に把握するようにお願いいたします。
なお、17.4.1 以降をお使いいただいている場合、一部のパスワードが自動的に Type 6 暗号化されます。
Type 6 パスワードの詳細については以下のガイドをご確認ください。

Cisco IOS XE SD-WAN ルータのタイプ 6 パスワード /
Type 6 Passwords on Cisco IOS XE SD-WAN Routers

7. コンフィグの投入

SD-WAN : cEdge の交換 の「2. 交換前の機器のコンフィグのバックアップ」の項目でバックアップしたコンフィグを投入してください。

この際、「6. Type 6 パスワードの確認」で確認した Type 6 パスワード部分は平文に変更をお願いいたします。
以下は snmp-server 設定の場合の例です。

変更前: snmp-server community 6 <HEX 文字列> ro
変更後: snmp-server community 0 public ro

また、投入するコンフィグの内容がルータのデフォルトのコンフィグと食い違う場合はご注意ください。
投入前に当該コンフィグの削除や変更の実施をお願いいたします。

8. (Optional)デバイスの認証 

この作業は ISRv, CSR1000v のような仮想デバイスと ASR1002-X でのみ必要です。
＊ASR1002-X にはデバイス認証のための情報が chip に埋め込まれていないためこの作業が必要です。
＊ASR1002-X 以外の実機には認証情報が chip に埋め込まれているためこの手順を実施する必要はありません。

※ISRv, CSR1000v のような仮想デバイスと ASR1002-X でも On-Site Bootstrap Process の場合はこの手順は不要です。

8-1. (Optional)vManage 側で UUID / OTP を生成

vMange の GUI にアクセス > Configuration > Devices > 対象デバイスの右側の … をクリック > Generate Bootstrap Configuration

Cloud-Init を選択して OK を押します。

 uuid (シリアルナンバ) と otp (ワンタイムパスワード) をテキストファイル等にコピーしておきます。

8-2. (Optional)request platform software sdwan vedge_cloud activate chassis-number XXX token YYY

cEdge にて request platform software sdwan vedge_cloud activate chassis-number XXX token YYY を実行します。
chassis-number に uuid の値、token に otp の値を使います。

cEdge

Router#request platform software sdwan vedge_cloud activate chassis-number XXX token YYY

参考情報

On-Site Bootstrap Process for Cisco SD-WAN Devices
SD-WAN : cEdge の交換