中低端路由器SDWAN EVPN分支方案CPE与RR之间TLS无法建立故障排查

SDWAN （Software Defined Wide Area Network，软件定义广域网）技术旨在帮助用户降低广域网的开支、提升网络连接的灵活性，为分散在广阔地理范围内的企业网络、数据中心网络等提供安全可靠的互联服务。其CPE（Customer Premise Equipment，用户端设备）和RR（Route Reflector，路由反射器）之间需要建立SSL连接，用于在RR 与CPE 之间发布TTE 信息，以便在RR 与CPE 之间建立SDWAN 隧道。

RR与CPE之间的TLS连接无法建立时，我们的排查思路是：

1.   确认RR设备的sdwan server状态，并检查RR（SSL服务器端）配置是否正确；

2.   确认CPE配置（SSL客户端）配置是否正确；

3.   进行基础网络排查，检查CPE与RR公网链路是否正常，业务端口是否可以访问；

4.   检查设备接口否有配置service slot命令。

5.   检查分支ssl使用的tls版本RR设备是否允许使用。

6.   如果以上方式都无法排查或者以上都正常，收集设备诊断信息反馈二线研发定位。

1、确认CPE和RR之间的TLS连接是否正常。

在CPE设备上检查TLS连接状态。

命令：display sdwan peer-connection status

例如：通过命令查看，可以确认设备TLS连接状态，如果连接状态不是Connected，则需要逐步进行排查：

2、确认sdwan server的状态并检查RR设备的配置。

命令：display sdwan server status、display current-configuration

例如：通过命令查看，可以确认RR设备的sdwan server状态和监听端口。如果状态异常，通过display current-configuration确认RR设备对应配置，如果配置异常则确认控制组件上RR站点对应部署状态是否正常，收集控制组件日志返回控制器研发排查。

3、确认CPE配置（SSL客户端）配置是否正确；

命令：display current-configuration

例如：通过命令查看是否包括如下关键配置，保证站点角色包含CPE且有使用ssl连接的policy，同时保证对应RR的system ip连接正确。如果配置有问题则需要排查控制组件配置，确认控制组件WAN详情和接入区是否正常。如果没有连接关系，有可能是RR设备的WAN口地址没有识别，可以删除RR设备对应的WAN详情，点击设备同步，然后再次添加WAN详情；如果还有问题，收集控制组件日志返回控制器研发排查。

4、检查基础网络是否正常。

命令：ping xxxx、telnet xxxxx。

例如：从设备上直接ping RR的WAN口地址，确认是否可以ping通；或者在设备上使用telnet命令确认业务端口是否可以访问，例如探测WAN口地址对应的TCP端口（确认为2004）是否可以访问。如果网络排查有问题，则可能是中间防火墙或路由配置问题，需要排查基础网络，同时可通过debug调试和抓包辅助，查看报交互过程，判断设备还是运营商导致丢包或者不通。

5、检查接口是否有配置service slot命令。

命令：display current-configuration

例如：若WAN口为聚合口且设备为分布式设备或堆叠设备，需要在聚合口配置service slot。

6、检查分支ssl使用的tls版本RR设备是否允许使用。

命令：display ssl client-policy、display cu | begin security-enhanced level

例如：在CPE设备输入display ssl client-polic命令查询ssl client信息，查询CPE配置中的sdwan ssl-client-policy的名称是否和控制组件下发名称一致；查询CPE使用的ssl版本，然后确认RR配置，确认是否允许了分支使用SSL版本（需要注意的是，手动修改策略后需要undo sdwan server enable或者重新部署接入区,才使能生效）。如果以上方式都无法排查，需要收集设备信息反馈研发定位。

7、如果以上方式都无法排查或者以上都正常，收集设备诊断信息反馈研发定位。