SDWAN (Software Defined Wide Area Network,软件定义广域网)技术旨在帮助用户降低广域网的开支、提升网络连接的灵活性,为分散在广阔地理范围内的企业网络、数据中心网络等提供安全可靠的互联服务。其CPE(Customer Premise Equipment,用户端设备)和RR(Route Reflector,路由反射器)之间需要建立SSL连接,用于在RR 与CPE 之间发布TTE 信息,以便在RR 与CPE 之间建立SDWAN 隧道。
RR与CPE之间的TLS连接无法建立时,我们的排查思路是:
1. 确认RR设备的sdwan server状态,并检查RR(SSL服务器端)配置是否正确;
2. 确认CPE配置(SSL客户端)配置是否正确;
3. 进行基础网络排查,检查CPE与RR公网链路是否正常,业务端口是否可以访问;
4. 检查设备接口否有配置service slot命令。
5. 检查分支ssl使用的tls版本RR设备是否允许使用。
6. 如果以上方式都无法排查或者以上都正常,收集设备诊断信息反馈二线研发定位。
1、确认CPE和RR之间的TLS连接是否正常。
在CPE设备上检查TLS连接状态。
命令:display sdwan peer-connection status
例如:通过命令查看,可以确认设备TLS连接状态,如果连接状态不是Connected,则需要逐步进行排查:
2、确认sdwan server的状态并检查RR设备的配置。
命令:display sdwan server status、display current-configuration
例如:通过命令查看,可以确认RR设备的sdwan server状态和监听端口。如果状态异常,通过display current-configuration确认RR设备对应配置,如果配置异常则确认控制组件上RR站点对应部署状态是否正常,收集控制组件日志返回控制器研发排查。
3、确认CPE配置(SSL客户端)配置是否正确;
命令:display current-configuration
例如:通过命令查看是否包括如下关键配置,保证站点角色包含CPE且有使用ssl连接的policy,同时保证对应RR的system ip连接正确。如果配置有问题则需要排查控制组件配置,确认控制组件WAN详情和接入区是否正常。如果没有连接关系,有可能是RR设备的WAN口地址没有识别,可以删除RR设备对应的WAN详情,点击设备同步,然后再次添加WAN详情;如果还有问题,收集控制组件日志返回控制器研发排查。
4、检查基础网络是否正常。
命令:ping xxxx、telnet xxxxx。
例如:从设备上直接ping RR的WAN口地址,确认是否可以ping通;或者在设备上使用telnet命令确认业务端口是否可以访问,例如探测WAN口地址对应的TCP端口(确认为2004)是否可以访问。如果网络排查有问题,则可能是中间防火墙或路由配置问题,需要排查基础网络,同时可通过debug调试和抓包辅助,查看报交互过程,判断设备还是运营商导致丢包或者不通。
5、检查接口是否有配置service slot命令。
命令:display current-configuration
例如:若WAN口为聚合口且设备为分布式设备或堆叠设备,需要在聚合口配置service slot。
6、检查分支ssl使用的tls版本RR设备是否允许使用。
命令:display ssl client-policy、display cu | begin security-enhanced level
例如:在CPE设备输入display ssl client-polic命令查询ssl client信息,查询CPE配置中的sdwan ssl-client-policy的名称是否和控制组件下发名称一致;查询CPE使用的ssl版本,然后确认RR配置,确认是否允许了分支使用SSL版本(需要注意的是,手动修改策略后需要undo sdwan server enable或者重新部署接入区,才使能生效)。如果以上方式都无法排查,需要收集设备信息反馈研发定位。
7、如果以上方式都无法排查或者以上都正常,收集设备诊断信息反馈研发定位。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作