1 智能接入网关

1.1  智能接入网关简介

智能接入网关（Smart Access Gateway，SAG）是一种基于SD-WAN技术的一站式云接入服务。

在设备上开启智能接入网关功能后，设备与第三方SAG控制器建立连接，接收由SAG控制器下发的配置参数，并自主完成云接入相关配置。下游用户可通过开启了智能接入网关功能的设备安全接入云端。

目前，仅支持用户使用本功能一站式接入阿里云。

1.2  云接入架构简介

如图1-1所示，云接入架构包含如下基本组件：

·     智能接入网关：用于进行云接入的网关设备。智能接入网关设备上的业务相关接口分为WAN接口和LAN接口。其中WAN接口位于WAN安全域内，用于与SAG控制器通信，接收云接入配置，以及传输IPsec加密报文；LAN接口位于LAN安全域内，用于连接需要进行云接入的内网主机和设备。

·     SAG控制器（SAG controller）：第三方云服务提供商的云接入管理设备，用于向智能接入网关下发云接入相关配置参数。智能接入网关通过第三方云服务提供商的SDK（Software Development Kit，软件开发工具包）与某个固定的SAG控制器建立连接，云接入用户无需关心SAG控制器的配置。

·     云连接网（Cloud Connect Network，CCN）：第三方云服务提供商的云接入网络，包含多个云接入点。SAG控制器下发云接入配置后，智能接入网关会自动创建到选定云接入点的IPsec隧道，云接入流量会经由该隧道在Internet上加密传输。通过云连接网，用户可将本地网络连接至第三方云服务提供商的云网络。

·     云企业网（Cloud Enterprise Network，CEN）：第三方云服务提供商的云网络，用户可在其上创建虚拟私有云（Virtual Private Cloud，VPC），用于部署云端业务和服务。

图1-1 云接入架构示意图

1.3  智能接入网关工作机制

如图1-2所示为智能接入网关的工作机制，具体步骤如下：

(1)     设备开启智能接入网关功能后，自动配置安全策略，放行Local安全域发往WAN安全域的所有报文。

(2)     智能接入网关通过WAN接口主动与外网SAG控制器建立连接。

(3)     连接建立后，智能接入网关由WAN接口接收SAG控制器下发的云接入相关配置参数（包括VPC网络地址、IPsec隧道参数以及云接入点列表），并自动完成接入相关路由和安全策略配置。

(4)     智能接入网关与SAG控制器协商选出云接入点列表中通信质量较好的云接入点。

(5)     智能接入网关与选定的云接入点建立IPsec隧道。

(6)     智能接入网关通过IPsec隧道将本地用户的云接入流量加密传输至部署于云企业网的VPC中。

图1-2 智能接入网关工作机制示意图

1.4  智能接入网关与硬件适配关系

本特性的支持情况与设备型号有关，请以设备的实际情况为准。

1.5  智能接入网关配置限制和指导

智能接入网关功能不支持IRF组网环境。

1.6  配置智能接入网关功能

1. 配置限制和指导

WAN安全域和LAN安全域在设备上缺省存在。

智能接入网关将WAN安全域中编号最小的三层物理接口作为WAN接口，用户不能使用WAN安全域中的其他接口进行云接入；智能接入网关将LAN安全域中所有的三层接口作为LAN接口。

向WAN安全域或LAN安全域中添加的三层接口成员不能是聚合接口、冗余接口、子接口或子通道。

2. 配置准备

配置智能接入网关功能之前，需要进行如下配置：

·     在智能接入网关设备上配置所选WAN接口和LAN接口的IP地址。具体配置步骤请参见“三层技术-IP业务配置指导”中的“IP地址”或“DHCP”。

·     在智能接入网关设备上配置静态路由，确保网关设备与SAG控制器和云接入点路由可达（关于SAG控制器与云接入点的IP地址请咨询第三方云服务提供商）。具体配置步骤请参见“三层技术-IP路由配置指导”中的“静态路由”。

·     在智能接入网关设备上配置域名服务器的IP地址，使网关设备能向服务器发起域名解析请求。具体配置步骤请参见“三层技术-IP业务配置指导”中的“域名解析”。

3. 配置WAN接口

(1)     进入系统视图。

system-view

(2)     进入WAN安全域视图。

security-zone name wan

(3)     向WAN安全域中添加所选定的三层接口成员。

import interface layer3-interface-type layer3-interface-number

缺省情况下，WAN安全域中存在接口GigabitEthernet1/0/1。如果需要修改缺省WAN接口，需要先将缺省WAN接口从WAN安全域中删除，再向WAN安全域中添加所选定的三层接口成员。

如果向WAN安全域中添加了多个三层接口成员，设备仅将编号最小的物理接口当作WAN接口。为增强可维护性，建议仅向WAN安全域中添加一个三层接口成员。

(4)     退回到系统视图。

quit

4. 配置LAN接口

(1)     进入LAN安全域视图。

security-zone name lan

(2)     向LAN安全域中添加所选定的三层接口成员。

import interface layer3-interface-type layer3-interface-number

缺省情况下，LAN安全域中存在接口GigabitEthernet1/0/2～GigabitEthernet1/0/X。如果需要从缺省LAN接口中排除指定接口，需要将指定接口从LAN安全域中删除。

可以通过多次执行本命令，向LAN安全域中添加多个三层接口成员。

(3)     退回到系统视图。

quit

5. 配置智能接入网关

(1)     开启智能接入网关功能。

sag enable

缺省情况下，智能接入网关功能处于关闭状态。

1.7  智能接入网关显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示智能接入网关的配置信息，通过查看显示信息验证配置的效果。

表1-1 智能接入网关显示和维护

1.8  智能接入网关典型配置举例

1.8.1  智能接入网关基本组网配置举例

1. 组网需求

某企业在第三方云服务提供商处部署了VPC（网段为192.168.12.0/24），其内网主机和设备（网段为192.168.11.0/24）需要接入该VPC。现需要在其出口网关设备Device上配置智能接入网关功能，使Device主动与SAG控制器（IP地址为3.3.3.3/24）建立连接，获取云接入相关配置信息（接入点IP地址为2.2.2.2/24和4.4.4.4/24），并自动完成配置。

2. 组网图

图1-3 智能接入网关基本配置组网图

3. 配置Device

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 1.1.1.1 24

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     将接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域。缺省情况下接口GigabitEthernet1/0/1和GigabitEthernet1/0/2已经分别是WAN安全域和LAN安全域的成员，下面将配置步骤显式给出。

[Device] security-zone name wan

[Device-security-zone-WAN] import interface gigabitethernet 1/0/1

[Device-security-zone-WAN] quit

[Device] security-zone name lan

[Device-security-zone-LAN] import interface gigabitethernet 1/0/2

[Device-security-zone-LAN] quit

(3)     配置域名服务器的IP地址

# 本举例假设域名服务器的IP地址为1.1.1.5，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] dns server 1.1.1.5

(4)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达SAG控制器所在网络的下一跳IP地址为1.1.1.2，到达云接入点所在网络的下一跳IP地址为1.1.1.3，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 3.3.3.0 24 1.1.1.2

[Device] ip route-static 2.2.2.0 24 1.1.1.3

[Device] ip route-static 4.4.4.0 24 1.1.1.3

(5)     开启智能接入网关功能

[Device] sag enable

4. 配置内网接入设备

在内网接入设备上配置静态路由，确保其访问192.168.12.0/24网段的流量能被Device转发。具体配置步骤请参见“三层技术-IP路由配置指导”中的“静态路由”，本例不再赘述。

5. 验证配置

# 完成以上配置后，Device会主动与SAG控制器进行连接，获取云接入配置信息并自动完成相关配置。执行display sag config all命令，查看Device接收到的云接入相关配置。

<Device> display sag config all

SAG local configuration:

  sag-id:             sag-96456123

  ccn-id:             ccn-96561235

  out-bps:            50000000

  in-bps:             500000000

  local-subnet:       192.168.11.0/24

SAG remote-subnet:    192.168.12.0/24

SAG popolist:         2.2.2.2

                      4.4.4.4

SAG vpn configuration:

Agreement config:

  IpsecPfs:       group2

  IpsecEncAlg:    aes

  IpsecAuthAlg:   sha1

  IpsecLifetime:  86400

  IkeAuthAlg:     sha1

  IkeEncAlg:      aes

IkeVersion:     ikev1

IkeMode:        aggressive

IkeLifetime:    86400

IkePfs:         group2

Master config:

  name:           master

  remoteIp:       2.2.2.2

  Psk:            q3943x0q7zeu2r6d3erb

  localId:        sag-a7yeg8ut2znoqycizq_sag42ttaio1_wan

remoteId:       agw-sqa-g10-01.et15

dpd:            true

dpdInterval:    10

dpdRetry:       5

linkName:       wan

Standy config:

  name:           slave

remoteIp:       4.4.4.4

psk:            q3943x0q7zeu2r6d3erb

localId:        sag-a7yeg8ut2znoqycizq_sag42ttaio1_wan

remoteId:       agw-sqa-g10-02.et15

dpd:            true

DPDdpdInterval: 10

dpdRetry:       5

linkName:       wan

# 执行display sag identification命令，查看智能接入网关的相关标识信息。

<Device> display sag identification

SAG id: sag-96456123

SAG version: 1.0.0

SDK version: 1.0.1

Business status: normal

Connect status：connected