Einleitung

Dieses Dokument ist eine Kurzreferenz zur Vereinfachung der Konfiguration und Richtlinien bei der Verwendung des Catalyst SD-WAN.

Zusammenfassung

Mit der Cisco Catalyst SD-WAN-Softwareversion 20.12/17.12 wird empfohlen, dass Benutzer die Migration von der herkömmlichen Konfiguration auf der Grundlage von Geräte- und Funktionsvorlagen zum neuen Konfigurationsansatz auf der Grundlage von Konfigurationsgruppen und Richtliniengruppen durchführen. In diesem Dokument werden wichtige Details für den neuen Konfigurationsansatz beschrieben.

Das Hauptziel dieses Dokuments ist es, als Leitfaden für die Verwendung neuer Konstrukte für Konfiguration, Richtlinien und Onboarding zu dienen. Dies ist mit dem 20.12 Gold Release der Fall. Die Erläuterung einzelner Funktionen wird in diesem Dokument nicht behandelt.

Neue Bereitstellungen

Um den neuen Konfigurationsansatz erfolgreich zu nutzen, müssen Sie folgende Schritte ausführen:

1. Netzwerk: Definition der Netzwerkhierarchie und der Systemstrukturen
2. Konfiguration: Erstellen einer Konfiguration mit Konfigurationsgruppen mithilfe des Workflows
3. Anwendungen: Definieren Sie ggf. benutzerdefinierte Anwendungen mithilfe des Anwendungskatalogs.
4. Richtlinien: Erstellen von Richtlinien mithilfe von Richtliniengruppen
5. Topologie: Definieren der Topologie
6. Integriert: Integrierte und Tag-basierte Geräte
7. Bereitstellen: Zuordnen und Bereitstellen von Konfigurationsgruppen und Richtliniengruppen. Topologie aktivieren.

Flussdiagramm für neue Bereitstellungen

Bestehende Bereitstellungen

1. Führen Sie die im Abschnitt Vorhandene Bereitstellungen genannten Schritte aus.
2. Verwenden des Konvertierungstools zum Konvertieren vorhandener Konfigurationen/Richtlinien in neue Konfigurationen/Richtlinien

Verbessertes Anwendererlebnis und Vereinfachung von Betriebsabläufen

Cisco Catalyst SD-WAN bietet ein verbessertes Anwendererlebnis und vereinfacht den Betrieb.

• Gemeinsame Benutzeroberfläche: Im Catalyst SD-WAN Manager und in anderen Cisco Produkten wurde ein neues UX-Framework eingeführt, um eine einheitliche Benutzererfahrung und ein einheitliches Erscheinungsbild für alle Produkte zu gewährleisten.
• Konfiguration: Vereinfachte Konfiguration, Richtlinienerstellung und -bereitstellung mit intuitiven, zielbasierten Workflows und der Verwendung der von Cisco empfohlenen intelligenten Standardeinstellungen.
• Überwachung: Umfangreiche Einblicke in die Netzwerk- und Anwendungsleistung und -integrität durch neue Widgets sowie anpassbare und verbesserte Dashboards.
• Fehlerbehebung: Dynamische Standort- und Netzwerktopologieansichten, Zugriff auf kontextbasierte Tools zur Fehlerbehebung, Berichte zur Netzwerk- und Anwendungsleistung nach Zeitplan

Vorteile

Benutzerfreundlichkeit	Intuitive und geführte Workflows
Konfigurationsüberkapazität	Weniger Überkapazitäten (unabhängig vom Modell, Wiederverwendung, Struktur)
Erstellung von Konfigurationen	Schneller und einfacher mit intelligenten Standardeinstellungen
Konfigurationsänderung	Jetzt ändern, später selektiv bereitstellen
Transparenz	Neue Dashboards, Leistungsüberwachung von Anwendungen/Standorten
Anleitung zur Fehlerbehebung	Anleitung zu Standorttopologie und Tools zur Fehlerbehebung

Definition der Netzwerkhierarchie und der Systemstrukturen

Netzwerkhierarchie

Stellt eine "Hierarchie" für das Netzwerk bereit, d. h. Standorte, Regionen und Bereiche. Sie können dies auf Grundlage Ihres Netzwerks erstellen.

Beispiel:

Netzwerkhierarchie-Manager (NHM)

Dies hilft bei der Definition benutzerfreundlicher Standortnamen, was eine Vereinfachung der Betriebsabläufe ermöglicht.

System-Konstrukte

Diese Pools automatisieren die System-IP- und Standort-ID-Zuweisung während der Bereitstellung der Gerätekonfiguration.

Sie können den IP-Pool für automatische System-IP-Zuweisungen definieren. Die Standort-ID wird aus dem Pool Global_Site zugewiesen.

Pool-Parameter hinzufügen

Anzeigen und Verwalten von Pools

Workflows

Ein Workflow besteht aus einer Reihe von Schritten, die Sie bei der einfachen Durchführung einer bestimmten Aufgabe unterstützen.

• Ziel eines Workflows ist es, Novice-Benutzern das einfache Erstellen von Konfigurationen und deren Bereitstellung auf dem Gerät zu erleichtern.
• Für die meisten der Konfigurationseinstellungen werden die von Cisco empfohlenen intelligenten Standardeinstellungen verwendet.
• Benutzer müssen nur einige Konfigurationen angeben.
• Die erweiterten Konfigurationsregler stehen außerhalb des Workflows zur Verfügung, wo die Konfigurationsgruppe manuell bearbeitet werden kann.

Eine Workflow-Bibliothek listet alle verfügbaren Workflows auf.

Workflow-Bibliothek

Konfigurationsgruppen

Konfigurationsgruppen sind ein neuer Ansatz für die Fabric-Konfiguration, der auf den Prinzipien der Einfachheit, Wiederverwendbarkeit und Struktur basiert.

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/config-groups/configuration-group-guide/using-config-groups.html

Struktur der Konfigurationsgruppen

Konfigurationsgruppen

• Logische Gruppierung von Geräten, die einen gemeinsamen Zweck innerhalb des WAN haben.
• Der Benutzer definiert diese Gruppierung und kann sie an die jeweiligen geschäftlichen Anforderungen anpassen.

Beispiel: Ost/West, Nord- und Südamerika/APJC/EMEAR, Einzelhandelsgeschäft/Distribution Center

Funktionsprofile

• Flexible "Gruppen" von Konfigurationen, die von verschiedenen Konfigurationsgruppen gemeinsam genutzt werden können.
• Erstellen von Funktionsprofilen auf der Grundlage erforderlicher Funktionen
• Erstellung von Profilen für die vollständige Gerätekonfiguration, z. B. Bausteine
• Erstellen, speichern und wiederverwenden

Beispiel: Basic Profile, WAN Profile, LAN Profile

Bereitstellungsbeispiele für Konfigurationsgruppen

Anmerkung:

• Konfigurationsgruppen sind gerätemodellunabhängig
• Funktionsprofile können von verschiedenen Konfigurationsgruppen gemeinsam genutzt werden    

Anwendungsfall 1: Kunde aus dem öffentlichen Sektor

Beispiel für Verwendung 1 - Konfigurationsgruppen

Konfigurationsgruppen-HUB

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

Konfigurationsgruppen-Workflowoption erstellen

WAN-Profil

Beispiel für Verwendung 1 - WAN-Profil 1

Mithilfe des Workflows kann die vollständige WAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

Einheiten wie die tatsächliche statische IP, die statische Standardroute, IP/Subnetz/Next-Hop usw. können als global oder gerätespezifisch festgelegt werden.

Die gerätespezifische Option kann während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

LAN-Profil

Beispiel: 1 - LAN-Profil 1

Über den Workflow kann der Großteil der LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

• 2 VPNs
• BGP-Routing in jedem der VPNs (AS-Nummer, Netzwerkpräfixe, Nachbarn)

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

HINWEIS: Erweiterte Konfigurationen wie Weiterverteilung von Routen und Standard-Routenankündigung müssen nach Abschluss des Workflows konfiguriert werden. Hierzu muss die Konfigurationsgruppe manuell bearbeitet werden, und es müssen auch die Subschnittstellen konfiguriert werden, wenn diese während der Bereitstellung verwendet werden.

Systemprofil

Beispiel für Verwendung 1 - Systemprofil 1

Mithilfe des Workflows können die meisten Systemprofilkonfigurationen für diesen Anwendungsfall generiert werden: OMP, AAA, NTP, Protokollierung usw.

HINWEIS:  Erweiterte Konfigurationen wie OMP-BGP-Umverteilung und alle anderen Änderungen an den Systemfunktionen wie OMP, AAA, NTP usw. müssen nach dem Workflow konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

Konfigurationsgruppe, Standorttyp1

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

WAN-Profil

Beispiel: Verwendung 1 - WAN-Profil 2

Über den Workflow kann der Großteil der WAN-Profilkonfiguration für diesen Anwendungsfall generiert werden. Ethernet-Schnittstellen für Internet und Starlink. DHCP.

HINWEIS:   Die Mobilfunkschnittstelle für die LTE-Verbindung, einschließlich der statischen Route, muss nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

LAN-Profil

Beispiel: 1 - LAN-Profil 2

Mithilfe des Workflows kann ein Teil der LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden. 2 VPNs, statische DIA-Route.

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

HINWEIS:  SVIs, Wireless-SSIDs, Access Switch-Ports usw. müssen nach Abschluss des Workflows durch manuelles Bearbeiten der Konfigurationsgruppe konfiguriert werden.

Systemprofil

Beispiel für Verwendung 1 - Systemprofil 2

Mithilfe des Workflows können die meisten Systemprofilkonfigurationen für diesen Anwendungsfall generiert werden: OMP, AAA, NTP, Protokollierung usw.

HINWEIS:  Erweiterte Konfigurationen wie die Überwachung der Anwendungsleistung müssen nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

CLI-Profil

Beispiel: Verwendung 1 - CLI-Profil 2

Funktionen, die über eine GUI nicht unterstützt werden, wie die Aktivierung von App/Flow Visibility (NBAR), können über ein CLI-Profil konfiguriert werden.

Anwendungs-/Flow-Transparenz

Verwenden Sie ein CLI-Profil/Paket, um Anwendungstransparenz und Datenflusstransparenz zu ermöglichen.

(Ab Version 20.13 ist die Funktion unter Erweiterte Einstellungen in der Richtliniengruppe verfügbar.)

Wenn jedoch in 20.12 eine AAR-Richtlinie konfiguriert ist, ist "App/Flow Visibility" aktiviert. Eine Konfiguration mithilfe des CLI-Profils/Pakets ist nicht erforderlich.

Konfigurationsgruppe, Standorttyp2

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

WAN-Profil

Beispiel für Verwendung 1 - WAN-Profil 3

Über den Workflow kann der Großteil der WAN-Profilkonfiguration für diesen Anwendungsfall generiert werden. Ethernet-Schnittstelle für das Internet. DHCP.

HINWEIS: Die Mobilfunkschnittstelle für die LTE-Verbindung, einschließlich der statischen Route, muss nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

LAN-Profil

Beispiel: 1 - LAN-Profil 3

Mithilfe des Workflows kann ein Teil der LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden. 1 VPN, statische DIA-Route.

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

HINWEIS:  SVI, Access Switch-Port usw. müssen nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

Systemprofil

Identisch mit Konfigurationsgruppen-SiteType1

CLI-Profil

Identisch mit Konfigurationsgruppen-SiteType1

Konfigurationsgruppe - Standorttyp3

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

WAN-Profil

Identisch mit Konfigurationsgruppe SiteType2

LAN-Profil

Beispiel: 1 - LAN-Profil 4

Mithilfe des Workflows kann ein Teil der LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden. 1 VPN, statische DIA-Route.

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

HINWEIS: SVI, Wireless SSID, Access Switch-Port usw. müssen nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

Systemprofil

Identisch mit Konfigurationsgruppen-SiteType1

CLI-Profil

Identisch mit Konfigurationsgruppen-SiteType1

Anwendungsfall 2: Einzelhandelskunde

Beispiel: Benutzer 2 - Konfigurationsgruppen

Konfigurationsgruppe Hauptsitz und Lager

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

WAN-Profil

Über den Workflow kann die gesamte WAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

LAN-Profil

Über den Workflow kann die gesamte LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

Systemprofil

Mithilfe des Workflows können alle Systemprofilkonfigurationen für diesen Anwendungsfall generiert werden.

HINWEIS:  Wenn Änderungen erforderlich sind oder wenn eine erweiterte Konfiguration wie die Überwachung der Anwendungsleistung erforderlich ist, müssen diese nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

Konfigurationsgruppenspeicher

Führen Sie den Workflow zum Erstellen von Konfigurationsgruppen aus.

WAN-Profil

Über den Workflow kann der Großteil der WAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

HINWEIS: Die Mobilfunkschnittstelle für die LTE-Verbindung einschließlich des Routings muss nach Abschluss des Workflows konfiguriert werden, indem die Konfigurationsgruppe manuell bearbeitet wird.

LAN-Profil

Über den Workflow kann die gesamte LAN-Profilkonfiguration für diesen Anwendungsfall generiert werden.

Einheiten wie die tatsächlichen Dot1Q-Subschnittstellen und alle anderen Einheiten, die als gerätespezifisch markiert sind, können während der Bereitstellung der Konfigurationsgruppe auf den Geräten mit tatsächlichen Werten angegeben werden.

Systemprofil

Wie Konfigurationsgruppe Hauptsitz und Lager

Zuordnen

Auf der Bearbeitungsseite für Konfigurationsgruppen (Konfiguration -> Konfigurationsgruppen) können Sie Geräte der Konfigurationsgruppe zuordnen.

Klicken Sie auf Associate Devices (Geräte zuordnen), und durchlaufen Sie die einzelnen Schritte des Workflows.

Zuordnen - Gerät - Konfigurationsgruppen

Bereitstellung

Führen Sie den Workflow zum Bereitstellen von Konfigurationsgruppen aus.

Konfigurationsgruppen-Workflow bereitstellen

HINWEIS: In der Konfigurationsgruppe ändert die Option Change Device Values (Gerätewerte ändern) nur den Wert in der Manager-Datenbank und überträgt KEINE Änderungen an ein Gerät.   Wenn die Änderung sofort durchgeführt werden soll, müssen Sie die Änderungen bereitstellen. Das Exportieren von Gerätevariablen (als CSV-Datei) kann im Bereitstellungs-Workflow im Schritt Gerätekonfiguration hinzufügen/prüfen erfolgen.

Wiederverwendbarkeit

1. Konfigurationsgruppen sind gerätemodellunabhängig.

Konfigurationsgruppe - unabhängig vom Gerätemodell

HINWEIS: Wenn eine bestimmte Konfiguration auf einem Gerätemodell nicht unterstützt wird, tritt kein entsprechender Feature-Paket-Push auf, und im Rahmen der Bereitstellungsaufgabe wird eine entsprechende Meldung angezeigt. Beispiel: Ein Gerät unterstützt kein Wi-Fi, aber die Konfigurationsgruppe enthält ein Wi-Fi-Paket. Zur Bereitstellungszeit wird die Wi-Fi-Paketkonfiguration übersprungen, und die Bereitstellungsaufgabenmeldung informiert darüber, dass der Push für die Wi-Fi-Konfiguration übersprungen wurde.

2. Verwenden von Konfigurationsvariablen - gerätespezifische Werte

Konfigurationsgruppe - gerätespezifische Variablen

Ein Featureprofil kann eine Konfiguration aufweisen, die ähnlich wie Vorlagenvariablen gerätespezifisch definiert ist.

Beispiel: IP-Adresse der Schnittstelle, Portnummern, Schnittstellenname usw.

Diese gerätespezifischen Werte können zur Bereitstellungszeit bereitgestellt werden. Und es kann für verschiedene Geräte unterschiedlich sein.

Konfigurationsgruppe - gerätespezifische Variablen Beispiel 1

Konfigurationsgruppe - gerätespezifische Variablen Beispiel 2

Konfigurationsgruppe - gerätespezifische Variablen - Beispiel 3

3. Wiederverwendung von Funktionsprofilen

Funktionsprofile können für alle Konfigurationsgruppen wiederverwendet werden.

Abbildung:

Wenn die WAN- und Systemkonfigurationen für mehrere Geräte gleich sind und sich beispielsweise nur in der LAN-Konfiguration unterscheiden, können die WAN- und Systemprofile in ihren Konfigurationsgruppen wiederverwendet werden, während sie in jedem Gerät ein anderes LAN-Profil aufweisen.

Wiederverwendung von Funktionsprofilen - 1

LAN-Profil 1

Wiederverwendung von Funktionsprofilen - 2

LAN-Profil 2

Wiederverwendung von Funktionsprofilen - 3

LAN-Profil 3

Anwendungskatalog

Herkömmliche Geräte waren in der Lage, Datenverkehrsflüsse durch eine bedingte Zuordnung von Quell- und/oder Ziel-IP-Adressen, Quell-/Ziel-Ports und Protokollen zu manipulieren.   Da immer mehr Anwendungen von DNS abhängen oder in HTTP integriert sind, ist es schwieriger, den Netzwerkverkehr auf Anwendungsebene genau zu identifizieren.

Die Cisco Network Based Application Recognition (NBAR) Engine ist in der Lage, über 1.500 Anwendungen zu klassifizieren, sodass Netzwerktechniker Datenverkehrsflüsse präziser klassifizieren und bearbeiten können.    Mit dem Cisco Catalyst SD-WAN Manager kann eine Verbindung zu einem Cisco Anwendungs-Repository hergestellt werden, in dem Signaturen für Anwendungen schnell aktualisiert werden können. Dies ist besonders wichtig, wenn Cloud-Anbieter ihre Hosting-Standorte oder Datenverkehrsmuster ändern.

Der Anwendungskatalog bietet die Möglichkeit, benutzerdefinierte Anwendungen auf Grundlage der Übereinstimmung von Servername, IP-Adresse, Ports oder Protokoll zu erstellen.  Die Anwendung wird dann für eine bestimmte Anwendungsfamilie, Anwendungsgruppe, Datenverkehrsklasse und Geschäftsrelevanz definiert.

Anwendungskatalog

Anwendungen können per Drag-and-Drop an die entsprechende geschäftliche Relevanz und/oder Datenverkehrsklassifizierung weitergeleitet werden.  Beim Speichern der Änderungen werden die Definitionen in der Datenbank aktualisiert.

HINWEIS: Die Anwendungsklassifikationen sind global, und eine Änderung im Anwendungskatalog wirkt sich auf alle Geräteklassifikationen aus.

Richtliniengruppen

Ähnlich wie bei den Konfigurationsgruppen handelt es sich bei einer Richtliniengruppe um eine Richtliniengruppe, die auf den der Richtliniengruppe zugeordneten Geräten bereitgestellt wird.

https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/Policy-Groups/policy-groups/m-policy-groups.html

Die Richtliniengruppe geht bei der Erstellung und Bereitstellung von Richtlinien nach Absicht vor. Eine vereinfachte Benutzeroberfläche und ein vereinfachter Workflow machen das Erstellen einer Richtlinie, das Gruppieren von Richtlinien und das Bereitstellen auf Geräten zu einer einfachen Aufgabe.

Voraussetzung: Die Zuordnung und Bereitstellung von Konfigurationsgruppen zu einem Gerät ist eine Voraussetzung für die Bereitstellung von Richtliniengruppen auf diesem Gerät.

Richtliniengruppen

Anwendungspriorität und SLA

Mit dieser Richtlinienabsicht können Sie Folgendes angeben:

• Anwendungssensitives Routing und SLA-Richtlinie
• QoS-Richtlinie
• Datenverkehrsrichtlinie
• DIA-Richtlinie
• SIG-Richtlinie

Es werden zwei Modi bereitgestellt.

Einfacher Modus

Dies ist der Standardmodus.

Einfacher Modus

Dies bietet eine schnelle und einfache Möglichkeit, die Anwendungspriorität und das SLA für Ihr Netzwerk zu definieren.

HINWEIS: 1. Die Standardrichtlinienaktion ist DROP. 2. Zuordnungskriterien können nur Anträge sein. Wenn Sie Präfixe benötigen, verwenden Sie den erweiterten Modus.

Erweiterter Modus

Dies ist ein voller und flexibler Modus.

Erweiterter Modus

HINWEIS:  1. Die Standardrichtlinienaktion ist DROP. 2. Anwendungsliste und Datenverkehrsklasse sind im Wesentlichen eine Liste von Anwendungen. Beide können für die Zuordnung einer Anwendungsliste verwendet werden. Die Zuordnung von Anwendungen zu Datenverkehrsklassen kann im Anwendungskatalog vorgenommen werden. Im einfachen Modus werden Regeln mit einer oder beiden dieser Methoden generiert, während im erweiterten Modus nur die Anwendungsliste bereitgestellt wird.

Quality of Service

In der Option QoS Queue können Sie eine QoS-Richtlinie hinzufügen:

QoS-Richtlinie hinzufügen

Warteschlangenmodelle

Als Nächstes können Sie die Datenverkehrsdatenrichtlinie definieren (Datenverkehrsrichtlinie hinzufügen).

Fügen Sie Regeln hinzu, die dem gewünschten Datenverkehr entsprechen, und leiten Sie diese an die entsprechenden Weiterleitungsklassen um.

QoS-Richtlinie 2

Anwendungssensitives Routing

Sie können SLA-Klassen definieren und sie in einer Datenverkehrsrichtlinie verwenden, um die Ziele einer AAR-Richtlinie zu erreichen.

AAR-Richtlinie

Anwendungs-/Flow-Transparenz

Um Anwendungstransparenz und Flow-Transparenz zu ermöglichen, verwenden Sie das CLI-Profil/Paket in der Konfigurationsgruppe.

(Ab Version 20.13 ist die Funktion unter Erweiterte Einstellungen in der Richtliniengruppe verfügbar.)

Wenn jedoch in 20.12 eine AAR-Richtlinie konfiguriert ist, ist "App/Flow Visibility" aktiviert. Eine Konfiguration mithilfe des CLI-Profils/Pakets ist nicht erforderlich.

Datenverkehrsrichtlinie

Die Datenverkehrsrichtlinie kann auch zum Erstellen einer DIA-Richtlinie, SIG-Umleitung usw. verwendet werden. Fügen Sie nach Bedarf Regeln hinzu.

Datenverkehrsrichtlinie

HINWEIS: Wenn eine Anwendungsprioritäts- und SLA-Richtlinie im einfachen Modus erstellt und dann auf den erweiterten Modus umgeschaltet wird, können einige Übereinstimmungsoptionen nicht ausgewählt werden. Beispiel: Das Präfix für Zieldaten ist abgeblendet. Um diese Optionen verfügbar zu machen, ändern Sie Protokoll von BEIDE nach Bedarf in IPv4 oder IPv6.

Integrierte Sicherheit

Definiert die Sicherheitsrichtlinien für interne NGFW, IPS, Malware und Content-Filterung

Sicheres Internet-Gateway/sicherer Service-Edge

Definiert die erforderlichen Einstellungen für die Einrichtung von Tunneln zu Cloud-basierten Inhalten und Sicherheitsfunktionen wie Cisco Secure Access.

HINWEIS: Beim alten Konfigurationsansatz war dies als Funktionsvorlage verfügbar.

DNS-Sicherheit

Definieren Sie Einstellungen, um die Nutzung Cloud-basierter DNS-Sicherheitsdienste für die Inhaltsfilterung zuzulassen.

Interessengruppen

Definieren Sie die in Ihren Richtlinien zu verwendenden Objektlisten. Beispiel: Anwendungslisten, VPN-Listen, Standortlisten, Präfixliste usw.

Definieren Sie darüber hinaus für Sicherheitsrichtlinien Ihre Profile wie erweiterte Prüfprofile, SSL-Verschlüsselungsrichtlinie usw.

Richtliniengruppen - Interessengruppen

Zuordnen und Bereitstellen

Ordnen Sie Geräte ähnlich wie bei Konfigurationsgruppen einer Richtliniengruppe zu, und stellen Sie sie bereit.

Lokalisierte Richtlinien

Lokalisierte Richtlinien wie ACL, Route Policy, Device Access Policy usw. werden in Konfigurationsgruppen definiert.

Topologie

Definition der Netzwerktopologie

Beginnen Sie mit einem Full-Mesh oder Hub-n-Spoke und passen Sie es bei Bedarf an.

Menü Topologie

Topologie und VPN

Beachten Sie diese Designänderungen beim Erstellen der Topologie und beim Festlegen von VPNs.

Das neue Design ermöglicht die dynamische Zuordnung von VPN-Namen und VPN-ID anstelle der 1:1-Zuordnung.

Eine VPN-Namenszuordnung zu mehreren VPN-IDs

Abbildung:
Angenommen, es gibt ein VPN mit dem Namen Corporate in zwei verschiedenen Konfigurationsgruppen.

Eine hat die VPN-ID 10, die andere die VPN-ID 20.

Die VPN-Liste des Topologie-Workflows zeigt nur eine Instanz des Unternehmens-VPN.

Sobald Sie Corporate VPN auswählen, bestimmt der SD-WAN-Manager die VPN-IDs anhand der Topologie.
Angenommen, es gibt 2 Geräte an 2 Standorten:
1. Gerät1 am Standort 100 mit Firmennetzwerk als VPN 10
2. Gerät2 am Standort 200 mit Corporate als VPN 20

Wenn sowohl der Standort 100 als auch der Standort 200 Teil der Topologie sind, erstellt der SD-WAN-Manager eine VPN-Liste, die beide VPN-IDs (10 und 20) enthält.
Wenn nur der Standort 100 Teil der Topologie ist, erstellt der SD-WAN-Manager eine VPN-Liste, die nur die VPN-ID 10 enthält.
Wenn nur der Standort 200 Teil der Topologie ist, erstellt der SD-WAN-Manager eine VPN-Liste, die nur über die VPN-ID 20 verfügt.

Mehrere VPN-Namen, die derselben VPN-ID zugeordnet sind

Sie können mehrere Topologierichtlinien mit demselben VPN-Namen konfigurieren, die verschiedenen VPN-IDs an verschiedenen Standorten zugeordnet sind.

Der SD-WAN-Manager bestimmt die tatsächliche Zuordnung anhand der Topologie, die mit welchen Standorten verknüpft ist.

Abbildung:

Zwei Benutzer können zwei verschiedene Konfigurationsgruppen erstellen.

Die eine gibt die VPN-ID 100 als Finanz-VPN und die andere die VPN-ID als Engineering-VPN an.

Anschließend können sie eine Topologie mit ihren jeweiligen VPN-Namen erstellen.

Integration

Verwenden Sie zum Onboarding Ihrer physischen Router den Quick Connect-Workflow.

Definieren Sie mithilfe dieses Workflows den Hostnamen, die System-IP und den Standortnamen/die Standortnamen für die zu integrierenden Geräte im Voraus. Manager generiert diese automatisch, Sie können sie jedoch ändern, wenn Sie dies möchten. Sie können die Geräte auch mit Tags versehen, die dann verwendet werden können, um die Geräte automatisch Konfigurationsgruppen zuzuordnen.

Während des PnP-ZTP-Onboarding-Prozesses stellen die Geräte die Tunnelverbindungen der Kontrollebene zum SD-WAN-Manager her. Der SD-WAN-Manager überträgt nun die vordefinierte Fabric-Konfiguration an die Geräte, und die Geräte werden Teil der SD-WAN-Fabric.

Schnellverbindungs-Workflow

Quick Connect-Workflow - Beschreibung

Kennzeichnung

Geräte können benutzerdefinierten Tags zugeordnet werden.

Tags können zum Gruppieren, Beschreiben, Suchen und Verwalten von Geräten verwendet werden.

Tags ermöglichen die Gruppierung von Geräten, die dann in anderen Funktionen verwendet werden können.

Beispiele für Tags

Beispiel: Zuordnung von Konfigurationsgruppen zu Geräten

Konfigurationsgruppenregeln können so festgelegt werden, dass Geräte mit bestimmten Tags dieser Konfigurationsgruppe automatisch zugeordnet werden können.

Stichwort hinzufügen

Unter Konfiguration > Geräte können Tags zu den Geräten erstellt/hinzugefügt/von diesen entfernt werden.

Tagregeln in der Konfigurationsgruppe

Auf der Seite "Configuration Group -> Associated Devices" (Konfigurationsgruppe -> Zugeordnete Geräte) können Tag-Regeln hinzugefügt/bearbeitet werden.

Darstellung

Tagging-Darstellung

Bestehende Bereitstellungen

Im SD-WAN-Netzwerk können Geräte, die die Legacy-Konfiguration und Richtlinien verwenden, zusammen mit Geräten verwendet werden, die die vereinfachte Konfiguration und die vereinfachten Richtlinien verwenden.

Dieser Abschnitt enthält einige Empfehlungen für Kunden, die die Vorteile der vereinfachten Konfiguration und Richtlinien nutzen möchten. Dieser Abschnitt enthält einige Empfehlungen.

Der erste Schritt besteht darin, Geräte von Gerätevorlagen zu Konfigurationsgruppen zu migrieren.   Anschließend können Richtliniengruppen und/oder die Topologie bereitgestellt werden. 

Konfigurationsgruppen

Gerätevorlagen und Konfigurationsgruppen bilden die Grundlage für die Gerätekonfiguration am Edge.   Es ist also leicht, Koexistenz zu erleben.    Um von einer Gerätevorlage zu einer Konfigurationsgruppe zu migrieren, gehen Sie wie folgt vor:

Schritt 1	Extrahieren Sie eine Kopie der Gerätewerte aus den Gerätevorlagen.  Dies erfolgt über die Option "Configuration à Templates" (Konfiguration à Vorlagen), klicken Sie auf die Ellipsen (...) rechts neben der Gerätegruppe und wählen Sie "CSV exportieren".
Schritt 2	Erstellen einer Konfigurationsgruppe (manuell oder mit dem Konvertierungstool)
Schritt 3	Trennen Sie die Gerätevorlage vom Gerät.   Zu diesem Zeitpunkt behält das Gerät die Konfiguration beim Anfügen bei, erhält jedoch keine zukünftigen Änderungen an der Gerätevorlage (oder an Komponentenfunktionsvorlagen).
Schritt 4	Ordnen Sie die Geräte der neuen Konfigurationsgruppe zu.
Schritt 5	Stellen Sie die Geräte bereit, die der Konfigurationsgruppe zugeordnet sind.   Um diesen Vorgang zu vereinfachen, öffnen Sie die Datei "Exported CSV", und ändern Sie die CSV-Spaltenüberschriften so, dass sie mit den neuen Variablen aus der Konfigurationsgruppe übereinstimmen.
Schritt 6	Nach dem Eingabebildschirm für die Gerätevariable können Sie eine Vorschau der Gerätekonfiguration anzeigen.   Dadurch erhalten Sie eine Vorschau darauf, welche Teile der Konfigurationsgruppe nicht mit der vorherigen Instanz übereinstimmen oder welche Variablen sich in der Gerätevorlage geändert haben.

Die Beibehaltung eines konsistenten Benennungsschemas für Variablen vereinfacht gerätespezifische Einstellungen.  Wenn alle Gerätewerte in einem einzigen CSV enthalten sind, müssen Sie die Spaltenüberschriften nur einmal umbenennen.

HINWEIS: Es ist ein Python-Skript vorhanden, das mit CSV-Dateien für Gerätevorlagen oder Konfigurationsgruppen zusammenarbeitet, um die Spaltenüberschriften zu konsolidieren und zu alphabetisieren.   Das Manuskript finden Sie hier: https://github.com/BradEdgeworth/CSVMerger

Richtliniengruppen

Geräte, die über Konfigurationsgruppen konfiguriert werden, können eine zentrale Richtlinie verwenden oder zu einer Richtliniengruppe migrieren. Dies gilt jedoch nicht für dieselbe Anwendung gleichzeitig.  Im Wesentlichen geht es darum, die gleiche zugrunde liegende Richtlinie für die Edge-Geräte beizubehalten.  Richtliniengruppen fassen die ursprünglichen AAR- und Datenrichtlinien in einer einzigen Anwendungsprioritäts- und SLA-PG-Komponente zusammen.  Im Wesentlichen geht es nur darum, die Konfiguration für Richtlinien zu ändern (wird jedoch nicht an den SD-WAN-Manager gesendet).

Beachten Sie, dass eine Datenrichtlinien- oder AAR-Richtlinie nicht auf eine Standortliste mit einem Standort mit der Komponente "Application Priority & SLA" verweisen darf, da beide Standorte dieselbe Einstellung konfigurieren.  

Es ist möglich, eine zentrale Richtlinie zu erstellen, bei der nur auf eine Steuerungsrichtlinie verwiesen wird, und zwar auf einen Standort, der eine Richtliniengruppe mit Anwendungspriorität und SLA verwendet, da diese unterschiedliche Komponenten einer zentralisierten Richtlinie konfigurieren.

Um ein Gerät von einer zentralen Richtlinie zu einer Richtliniengruppe zu migrieren, sind folgende Schritte erforderlich:

Schritt 1	Erstellen Sie die erforderlichen Richtliniengruppen-Komponenten (Anwendungspriorität und SLA, integrierte Sicherheit, sicheres Internet-Gateway/sicherer Service-Edge, DNS-Sicherheit).
Schritt 2	Erstellen Sie die Richtliniengruppe, und ordnen Sie die erforderlichen Komponenten zu.
Schritt 3	Trennen Sie die Site-ID von allen SiteLists, die Verweise in AAR oder Datenrichtlinien sind. Zu diesem Zeitpunkt sendet der SD-WAN-Manager aktualisierte Konfigurationen an die Controller, die dann alle aktiven Datenrichtlinienanweisungen von den Edge-Geräten entfernen.  Beachten Sie, dass dies zu diesem Zeitpunkt unbeabsichtigten Datenverkehr verursachen kann.
Schritt 4	Ordnen Sie die Geräte der Richtliniengruppe zu, und speichern Sie die Richtliniengruppe.
Schritt 5	Bereitstellen der Richtliniengruppe auf den ausgewählten Geräten  Zu diesem Zeitpunkt sendet der SD-WAN-Manager aktualisierte Konfigurationen an die Edge-Geräte (für QoS/SIG) und die Controller, sodass die Controller aktualisierte Datenrichtlinien an die Edge-Geräte senden können.

Hinweis: Obwohl Richtliniengruppen zusammen mit einer zentralen Richtlinie existieren können, wird empfohlen, beim Konvertieren von Edge-Geräten in Konfigurationsgruppen eine zentrale Richtlinie (für AAR- und Datenrichtlinien) beizubehalten.  Beginnen Sie dann mit der Migration von der zentralen Richtlinie zu den Richtliniengruppen für die Funktionen innerhalb der Komponente Anwendungspriorität und SLA.  Dies geschieht aus Gründen der Einfachheit und um Verwirrung unter den Mitarbeitern zu vermeiden.

HINWEIS: Die Policy Group Engine speichert Daten in einem anderen Format. Daher muss eine Präfixliste, die in einer zentralen Richtlinie verwendet wird, in der Richtliniengruppe neu erstellt werden. Dies kann bei anderen Dingen wie Sitelisten passieren, und so weiter.

Topologie

Geräte, die über Konfigurationsgruppen konfiguriert werden, können eine zentrale Richtlinie verwenden oder zu einer Topologie migrieren. Im Wesentlichen geht es darum, die zugrunde liegende Kontrollrichtlinie für die SD-WAN-Controller beizubehalten. Die Topologie ist die neueste Version der Kontrollrichtlinien.  

Beachten Sie, dass eine Kontrollrichtlinie nicht auf eine Standortliste mit einer Site verweisen kann, der eine Topologie zugeordnet ist, da beide dieselbe Einstellung konfigurieren.  

Es ist möglich, eine zentrale Richtlinie zu erstellen, die nur eine Datenrichtlinien- und/oder AAR-Richtlinie und eine Topologierichtlinie enthält, wenn unterschiedliche Komponenten konfiguriert werden.

Schritte zur Migration eines Geräts von einer zentralen Richtlinie zu einer Richtliniengruppe:

Schritt 1	Erstellen der erforderlichen Topologiekomponenten
Schritt 2	Trennen Sie die Verknüpfung der Seiten mit der älteren Topologieliste in der zentralen Richtlinie.
Schritt 3	Trennen Sie die Zuordnung der Standort-ID zu allen Standortlisten, auf die in AAR oder Datenrichtlinien verwiesen wird. Zu diesem Zeitpunkt sendet der SD-WAN-Manager eine aktualisierte Konfiguration an die Controller, die dann alle aktiven Topologiekonfigurationen für die zu migrierenden Standorte entfernen.  Beachten Sie, dass dies zu diesem Zeitpunkt unbeabsichtigten Datenverkehr verursachen kann.
Schritt 4	Aktivieren der Topologie Zu diesem Zeitpunkt sendet der SD-WAN-Manager aktualisierte Konfigurationen an die Controller und ändert alle Routen, die an Edge-Geräte übertragen werden.

Hinweis: Obwohl die Topologie mit einer zentralen Richtlinie koexistieren kann, wird empfohlen, beim Konvertieren von Edge-Geräten in Konfigurationsgruppen eine zentrale Richtlinie (für Topologie- und Routenmanipulation) beizubehalten.  Beginnen Sie dann mit der Migration von der zentralen Richtlinie zur Topologie, um Funktionen zum Ändern von Topologien und Routing-Änderungen zu erhalten. Dies geschieht aus Gründen der Einfachheit und um Verwirrung unter den Mitarbeitern zu vermeiden.

Konvertierungstool

Umfang

Das Konvertierungs-Tool konvertiert Vorlagen in Konfigurationsgruppen. Das Tool sammelt die Vorlagen aus einer SD-WAN-Manager-Instanz, konvertiert sie in Konfigurationsgruppen (einschließlich Featureprofile und Featurepakete) und lädt die neu konvertierten Konstrukte in den SD-WAN-Manager hoch.

* Die Umwandlung von Richtlinien in Richtliniengruppen wird voraussichtlich im Oktober 2024 im Konvertierungstool verfügbar sein.

Zugriffsdetails

Eine Betaversion des Tools ist verfügbar. Weitere Informationen erhalten Sie unter [email protected].

Nutzung

Voraussetzung

Bevor Sie das Tool verwenden, stellen Sie sicher, dass Ihr SD-WAN Manager 20.12.x ausführt. Wenn nicht, aktualisieren Sie auf 20.12, bevor Sie fortfahren.

Konvertierungs-Tool-Workflow

Schritt 1	Melden Sie sich mit den von Cisco bereitgestellten Anmeldeinformationen beim Tool an. (Hinweis: Dies sind keine CCO-Anmeldeinformationen. Weitere Informationen erhalten Sie unter [email protected].)
Schritt 2	Wählen Sie auf der Startseite den Workflow "Conversion Tool" aus.             ・ Wenn Sie diesen Workflow bereits ausgeführt haben und die JSON-Datei mit den konvertierten Konfigurationen vorliegt, müssen Sie den Workflow "Aus einer Datei hochladen" auswählen.
Schritt 3	Anmelden: Geben Sie Ihre IP- oder URL-Adresse für den SD-WAN-Manager zusammen mit den Benutzeranmeldeinformationen an. ・ Der Benutzer muss über Lese-/Schreibzugriff verfügen. ・ Port- und Subdomänenfelder sind optional.
Schritt 4:	Importieren: Klicken Sie auf die Schaltfläche "Collect" (Sammeln), um alle älteren Konstrukte (Gerätevorlagen, Funktionsvorlagen, Richtlinien und die zugehörigen Konstrukte) vom SD-WAN-Manager abzurufen. ・ Nach der Erfassung müssen Sie die JSON-Datei mit allen Konfigurationen herunterladen. Diese Datei muss in diesem Schritt zu einem späteren Zeitpunkt verwendet werden, anstatt erneut Daten vom SD-WAN-Manager zu sammeln.
Schritt 5:	Wählen Sie Folgendes aus: Wählen Sie die Vorlagen und Richtlinien aus, die Sie in die neuen Entsprechungen konvertieren möchten. Klicken Sie auf "Migrieren", um die ausgewählten Konstrukte zu konvertieren.
Schritt 6:	Transformieren: Auf dieser Seite werden alle neu konvertierten Konstrukte angezeigt. Klicken Sie anschließend auf Upload (Hochladen), um diese Konfigurationen an den SD-WAN-Manager weiterzuleiten. ・ Falls Sie noch nicht bereit sind, den SD-WAN-Manager zu übernehmen, können Sie diese konvertierten Konfigurationen als JSON-Datei herunterladen und zu einem späteren Zeitpunkt den Workflow "Aus einer Datei hochladen" verwenden.
Schritt 7.	Zusammenfassung: Derzeit werden die Konfigurationen im SD-WAN-Manager per Push bereitgestellt und erstellt. Während des Pushvorgangs wird die Statusanzeige eingeblendet. Wenn der Upload abgeschlossen ist, wird eine Zusammenfassung der hochgeladenen Konfigurationen angezeigt. ・ Über die Quick-Links "Configuration Groups" (Konfigurationsgruppen), "Feature Profiles" (Funktionsprofile) und "Policy Groups" (Richtliniengruppen) können Sie die neuen Konstrukte in Ihrem SD-WAN-Manager anzeigen. ・ Im Falle eines Fehlers oder Fehlers steht in diesem Schritt auch ein Rollback zur Verfügung. Durch einen Rollback werden alle Konstrukte entfernt, die während dieses Workflows/dieser Sitzung an den SD-WAN-Manager übertragen wurden.

Nachkonvertierung

Ihre neuen Konstrukte sind jetzt einsatzbereit. Führen Sie die Schritte im Abschnitt "Vorhandene Bereitstellungen" aus, um Ihre Geräte in die neu konvertierten Konfigurationsgruppen zu migrieren.

Überlegungen

• Die vom Werkzeug zur Verfügung gestellten Umsetzungen sollen als Orientierung dienen. Analysieren und testen Sie diese vor der Bereitstellung in einer Produktionsumgebung.
• Das Tool berücksichtigt nicht die geräteunabhängigen Funktionen von Konfigurationsgruppen. Benutzer können ihre Vorlagen analysieren, bevor sie auswählen, welche konvertiert oder analysiert werden sollen, und die Geräte entsprechend zuordnen, um von der geräteunabhängigen Funktion zu profitieren.
• Variablennamen und globale Werte aus Legacykonstrukten werden in die neu konvertierten Konstrukte kopiert.
• Das Tool überträgt die Konfiguration nicht an die Geräte. Nach der Konvertierung muss der Benutzer die Geräte von den Vorlagen trennen und sie den neuen Konfigurationsgruppen zuordnen.

20.12 Überlegungen

Nein.	Artikelbeschreibung
1	Die DNS-Konfiguration muss über das CLI-Add-on-Profil weitergeleitet werden, wenn eine Konfigurationsgruppe am Edge bereitgestellt wird, deren Version älter als 17.12 ist.
2	Die Erstellung der Topologie erfordert die Auswahl von Standorten, anstatt ein in NHM definiertes Gebiet auszuwählen.
3	Der Workflow "Konfigurationsgruppe erstellen" erstellt kein VPN512 und keine Schnittstelle in diesem VPN im WAN-Profil. Falls erforderlich, können Sie dies manuell erstellen, indem Sie die Gruppe "Konfiguration" bearbeiten.
4	Möglichkeit zum Kopieren/Duplizieren von Funktionsprofilen, Richtlinie wird nicht unterstützt.   Eine Reihe von Python-Skripten kann diese Aufgabe ausführen und befindet sich unter: https://github.com/dbrown92700/configGroups/
5	Vor dem Erstellen von Funktionspaketen für die Richtlinienkonfiguration (lokalisierte Richtlinien) muss ein Richtlinienobjektprofil mit der Konfigurationsgruppe verknüpft werden. Beispiel: ACL
6	CSV für Schnittstellenvariablen importieren fügt Semikolons in die Zeichenfolge ein und schlägt fehl
7	Bei der Konfiguration der App QoE-Optimierung (TCP Opt und DRE) und der Verlustkorrektur (FEC und Pkt Dup) werden weiterhin ältere Vorlagen/Richtlinien verwendet. Konfigurierbar über CLI-Profil auch in Konfigurations-/Richtliniengruppen. (20,14 auf UI-Paket)
8	Cloud OnRamp für SaaS verwendet weiterhin ältere Vorlagen/Richtlinien.
9	TrustSec/SGT wird nur mit CLI-Profil unterstützt
10	UC Voice/DSP Farm/SRST wird nur mit CLI-Profil unterstützt (ab 20,13 im UI-Paket)

Zugehörige Informationen

• Cisco SD-WAN und Cloud Networking YouTube-Kanal: https://www.youtube.com/@CiscoSDWANandCloudNetworking
• UX2.0 - Vereinfachung des Betriebs: 1. Konfigurieren Sie einen einzelnen Router: https://www.youtube.com/watch?v=98z-d3knd
• Technischer Support und Downloads von Cisco