SDWAN

1. 检查SD-WAN基础隧道状态：

   • 登录SD-WAN控制器或本地设备命令行，确认分支到总部的Datapath隧道是否显示为Up/Active。这是所有Overlay服务（包括BGP L2VPN）的基础。

2. 检查BGP对等体配置：

   • 在分支路由器上，检查BGP配置中 peer  命令指定的IP地址。
   • 最佳实践：这个地址应该使用总部路由器上配置的、在Overlay网络中可路由的虚拟IP地址（例如一个Loopback地址），而不是其物理接口的私网DHCP地址。
   • 确保这个虚拟IP地址已经通过SD-WAN的路由发布机制（如OMP）被通告到了整个Overlay网络。

3. 检查Overlay路由：

   • 在分支路由器上，使用命令查看Overlay路由表（例如H3C的 display sdwan omp routes 或类似命令）。
   • 确认是否存在一条到达“总部BGP路由器IP地址”所在网段的Overlay路由，并且下一跳是正常的SD-WAN隧道。

4. 验证Overlay连通性：

   • 在分支路由器上，尝试 ping -a  使用Overlay网络的源IP去ping总部的BGP对等体IP。如果无法ping通，则证实了Overlay路由不可达的问题。

5. 总部路由器配置：

   • 确保总部路由器上配置了用于Overlay通信的虚拟接口（如Loopback），并将其IP地址通过SD-WAN协议宣告出去。
   • 在总部路由器的BGP配置中，router-id 最好也设置为这个虚拟IP地址，并确保 peer 命令指向分支的虚拟IP地址。

总结来说，您遇到的BGP Connect状态问题，极大概率不是由NAT本身直接阻止了SD-WAN隧道，而是由于在Overlay网络层面，BGP对等体之间使用的IP地址不可达导致的

可以建立，但你的BGP邻居Connect状态很可能正是由这个NAT场景引起的。

简单来说，SD-WAN隧道（如TTE数据隧道）本身可以借助NAT穿透技术（如STUN）成功建立，但这并不代表上层的BGP L2VPN邻居能自动正常工作。后者通常需要双方的BGP对等体IP地址在Overlay网络中是可达的。

为什么BGP L2VPN邻居会卡在Connect状态？

BGP邻居状态为Connect，表示BGP正在尝试建立TCP连接，但尚未成功。在你的场景下，这极大概率是因为总部HUB路由器用于建立BGP邻居的IP地址，在分支设备上不可达。

具体原因可能包括：

• BGP对等体地址配置不当：分支Spoke的BGP配置中，peer命令指定的很可能是总部HUB路由器的私网DHCP地址（如192.168.x.x）。这个地址在公网上不可路由，因此分支无法与之建立TCP连接。

• Overlay路由缺失：即使BGP对等体配置的是一个虚拟IP（如Loopback地址），但如果这个地址没有被SD-WAN的控制平面（如OMP协议）正确通告到整个Overlay网络，分支设备的路由表中就没有去往该地址的路由，导致TCP连接失败。

如何排查与解决？

你可以按照以下步骤进行排查：

1. 检查基础隧道状态：首先登录设备或控制器，确认分支到总部的SD-WAN数据隧道（Datapath/TTE隧道） 状态是否为Up/Active。这是所有上层协议（包括BGP）能够通信的基础。

2. 检查BGP对等体配置：这是最关键的一步。

   • 登录分支路由器，检查BGP配置中peer命令所指定的IP地址。

   • 正确做法：这个地址应该使用总部路由器上配置的、在Overlay网络中可路由的虚拟IP地址（例如一个Loopback接口的IP），而不是其物理接口的私网DHCP地址。

3. 检查Overlay路由可达性：

   • 在分支路由器上，使用命令（如display sdwan omp routes或类似命令）查看Overlay路由表，确认是否存在一条到达“总部BGP路由器IP地址”的路由。

   • 在分支路由器上，尝试使用Overlay网络的源IP去ping总部的BGP对等体IP。如果ping不通，就证实了是路由不可达的问题。

4. 检查总部路由器配置：

   • 确保总部路由器上配置了用于Overlay通信的虚拟接口（如Loopback），并将其IP地址通过SD-WAN协议正常宣告。

   • 确保总部路由器的BGP router-id也设置为这个虚拟IP地址。

关于总部NAT的额外说明

• NAT穿透是可行的：你描述的总部路由器位于内网NAT后的场景，在SD-WAN中很常见。通常通过部署STUN（Session Traversal Utilities for NAT）服务器来解决NAT穿透问题，帮助设备发现并交换经过NAT转换后的公网地址和端口。

• WAN口地址配置：在总部和分支都有固定公网IP且经过NAT的场景下，有一个经验做法是：在配置WAN口网络详情时，需要为总部和分支设备都指定其对应的固定公网IP。这可以确保设备在控制平面能够正确识别对方。