AD-WAN分支6.6

WAN业务配置指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W103-20240930

 

目  录

1 概述··· 1-1

2 组网图和组网说明··· 2-1

2.1 组网图·· 2-1

2.2 组网说明·· 2-1

2.2.1 站点组网说明·· 2-1

2.2.2 WAN网络说明·· 2-2

2.2.3 LAN网络说明·· 2-3

2.2.4 WebSocket管理通道说明·· 2-3

2.2.5 接入区规划·· 2-4

2.2.6 区域拓扑规划·· 2-4

2.2.7 区域互联规划·· 2-5

2.3 设备接口地址和Underlay网络参数说明·· 2-5

2.4 NAT地址映射配置说明·· 2-7

2.5 防火墙端口放通规则·· 2-10

2.6 资源池规划·· 2-11

2.7 总部设备手动开局初始配置·· 2-12

2.7.1 Hub1-1设备的Underlay配置说明·· 2-12

2.7.2 Hub1-2设备的Underlay配置说明·· 2-13

2.7.3 Hub2设备的Underlay配置说明·· 2-15

2.7.4 防火墙作为Hub设备配置说明·· 2-16

2.8 防火墙堆叠配置说明·· 2-17

2.8.1 配置会话备份·· 2-17

2.8.2 聚合口配置·· 2-17

3 系统和租户配置··· 3-1

3.1 登录统一数字底盘·· 3-1

3.2 配置邮件服务器（可选）·· 3-1

3.3 创建租户（可选）·· 3-2

3.4 创建租户管理员（可选）·· 3-3

4 设备上线规划··· 4-1

4.1 配置流程·· 4-1

4.2 全局配置·· 4-1

4.2.1 基础配置·· 4-1

4.2.2 IP地址池配置·· 4-2

4.2.3 IPsec配置·· 4-3

4.2.4 运维配置·· 4-4

4.2.5 WebSocket模板·· 4-7

4.2.6 SNMP模板·· 4-8

4.2.7 隧道BFD模板·· 4-9

4.3 WAN网络配置·· 4-10

4.3.1 Internet网络类型WAN业务网络·· 4-10

4.3.2 三层专线类型WAN业务网络·· 4-14

4.3.3 二层专线类型WAN业务网络·· 4-18

4.3.4 VPDN类型WAN业务网络·· 4-19

4.4 站点和设备·· 4-20

4.4.2 站点和设备·· 4-20

4.4.3 配置STUN（可选）·· 4-23

4.5 设备LoopBack口地址·· 4-24

4.6 WAN网络详情·· 4-25

4.6.1 导入WAN网络详情·· 4-25

4.6.2 手动添加WAN网络详情·· 4-30

4.7 U盘/邮件开局·· 4-31

4.7.2 邮件开局·· 4-31

4.7.3 U盘开局·· 4-36

4.8 手动开局·· 4-38

4.8.1 路由器手动开局配置·· 4-38

4.8.2 防火墙手动开局配置·· 4-39

4.9 安全开局·· 4-40

4.10 部署状态查询和维护·· 4-40

4.10.1 站点部署状态查询·· 4-40

4.10.2 WAN网络详情部署状态查询·· 4-41

4.10.3 Underlay链路查询和维护·· 4-41

4.10.4 隧道部署状态查询和维护·· 4-42

4.11 VPDN虚拟模板接口和L2TP组配置·· 4-43

4.11.1 虚拟模板接口·· 4-43

4.11.2 L2TP组·· 4-44

4.11.3 手工配置补充·· 4-45

4.12 NTP配置·· 4-46

4.12.2 手动编辑NTP配置·· 4-47

4.12.3 批量导入NTP配置·· 4-48

4.12.4 NTP状态查询·· 4-49

4.13 RBM配置·· 4-49

5 分支网络规划··· 5-1

5.1 配置流程·· 5-1

5.2 接入区管理·· 5-1

5.2.1 创建接入区·· 5-1

5.2.2 CPE站点接入·· 5-3

5.3 运维配置·· 5-3

5.4 VPN管理·· 5-4

5.4.1 添加VPN· 5-4

5.4.2 VPN部署和状态查询·· 5-5

5.5 区域拓扑·· 5-5

5.5.2 Hub-Spoke分支间互通拓扑模式·· 5-6

5.5.3 Hub-Spoke分支间不互通拓扑模式·· 5-9

5.5.4 Full-Mesh拓扑模式·· 5-13

5.6 拓扑策略·· 5-15

5.6.1 Hub-Spoke分支互通拓扑策略·· 5-15

5.6.2 Hub-Spoke分支不互通拓扑策略·· 5-15

5.6.3 FULL-MESH拓扑策略·· 5-17

5.7 区域互联·· 5-17

5.8 LAN网络·· 5-19

5.8.1 导入LAN网络·· 5-19

5.8.2 手动添加LAN网络详情·· 5-20

5.9 双网关路由同步·· 5-21

5.9.1 导入双网关路由同步·· 5-21

5.9.2 手动添加双网关路由同步·· 5-22

5.10 Overlay链路运维和拓扑查询·· 5-23

6 手动配置下发和状态检查··· 6-1

6.1 手动配置下发·· 6-1

6.1.1 切换工作模式·· 6-1

6.1.2 隧道配置下发·· 6-1

6.1.3 OSPF优化配置·· 6-5

6.1.4 BGP优化配置·· 6-6

6.1.5 RIP优化配置·· 6-6

6.1.6 静态路由配置优化·· 6-6

6.1.7 其它优化配置·· 6-7

6.1.8 干扰配置检查·· 6-8

6.1.9 防火墙手工配置补充·· 6-8

6.1.10 IPv6配置补充·· 6-10

6.1.11 接口配置补充·· 6-10

7 WAN业务部署下发··· 7-1

7.1 配置流程·· 7-1

7.2 路由引流配置·· 7-1

7.2.1 LAN侧路由配置·· 7-1

7.2.2 Overlay路由配置·· 7-3

7.2.3 Overlay路由引入LAN网络·· 7-12

7.2.4 业务状态查询·· 7-15

7.3 调度组流量调度及可视·· 7-15

7.3.1 设备资源同步·· 7-15

7.3.2 定义应用特征·· 7-16

7.3.3 下发流策略·· 7-18

7.3.4 配置分支网络调度组·· 7-22

7.3.5 配置效果验证·· 7-29

7.4 部署QoS业务·· 7-30

7.4.1 WAN口限速·· 7-30

7.4.2 WAN口应用保障·· 7-33

7.4.3 基于Overlay链路（TTE连接）的限速和应用保障·· 7-36

7.4.4 WAN口优先级队列保障·· 7-39

7.4.5 应用阻断·· 7-41

7.4.6 动态QoS· 7-42

8 基础运维和扩展功能··· 8-1

8.1 首页展示·· 8-1

8.2 修改首页地图并配置站点位置信息·· 8-2

8.2.1 修改首页地图·· 8-2

8.2.2 设置站点位置·· 8-4

8.3 编辑首页·· 8-5

8.4 基础可视运维·· 8-6

8.4.1 拓扑可视和管理·· 8-6

8.4.2 设备可视和管理·· 8-12

8.4.3 链路可视和管理·· 8-13

8.4.4 站点维度可视·· 8-15

8.5 告警配置·· 8-16

8.6 应用调度告警·· 8-17

8.6.1 配置告警全局开关和阈值·· 8-17

8.6.2 配置调度告警开关·· 8-18

8.6.3 功能验证·· 8-18

8.7 分权分域配置·· 8-18

8.7.1 分权分域配置·· 8-18

8.7.2 功能验证·· 8-24

8.8 远程管理·· 8-25

8.8.1 非Telnet模式·· 8-26

8.8.2 Telnet模式·· 8-26

8.9 运维诊断工具·· 8-28

8.9.1 Ping· 8-28

8.9.2 Tracert 8-29

8.10 设备版本升级·· 8-30

8.10.2 上传待升级的设备版本·· 8-31

8.10.3 单个设备版本升级·· 8-32

8.10.4 批量设备版本升级·· 8-34

8.11 设备配置备份恢复和替换·· 8-36

8.11.2 手动备份配置·· 8-37

8.11.3 定时备份配置·· 8-39

8.11.4 设备配置恢复·· 8-39

8.11.5 设备替换·· 8-40

8.12 配置审计·· 8-42

8.12.1 审计策略·· 8-42

8.12.2 配置审计·· 8-42

8.13 配置校验·· 8-44

8.13.1 配置获取·· 8-44

8.13.2 配置对比·· 8-45

8.14 站点上网·· 8-45

8.14.2 上网口配置·· 8-46

8.14.3 本地上网·· 8-48

8.14.4 集中上网·· 8-49

8.14.5 应用上网·· 8-50

8.14.6 配置验证·· 8-53

8.15 容量管理·· 8-55

8.15.1 容量管理页面·· 8-55

8.15.2 定时同步配置·· 8-58

8.15.3 超阈值阻断下发·· 8-58

8.16 DNS代理·· 8-59

8.16.1 配置域名组·· 8-59

8.16.2 配置域名服务器组·· 8-60

8.16.3 配置域名匹配规则·· 8-61

8.16.4 配置站点DNS代理详情·· 8-61

9 限制和注意事项··· 9-1

10 运维监控··· 10-1

 

1 概述

AD-WAN分支6.6方案控制组件支持分支网络自动化部署和WAN业务部署下发，本文档主要介绍如何完成上述业务配置，包括以下几部分的内容：

·     设备上线规划：介绍设备自动化注册上线过程。

·     分支网络规划：介绍分支EVPN方案网络规划和VPN业务配置。

·     应用调度配置：介绍调度相关功能下发和QoS业务部署的过程。

·     基础运维和扩展功能：介绍首页展示、基础可视运维、告警配置、站点上网等基础运维和扩展功能。

 

2 组网图和组网说明

2.1  组网图

图2-1 WAN业务配置组网图

 

2.2  组网说明

 

2.2.1  站点组网说明

·     HQ1：总部站点，使用站点双网关组网，站点角色为RR&CPE。

·     HQ2：总部站点，使用单设备组网，站点角色为RR&CPE。

·     Branch1：二级分支站点（汇聚站点），使用站点双网关组网，站点角色为RR&CPE。

·     Branch2：二级分支站点（汇聚站点），使用单设备组网，站点角色为RR&CPE。

·     Branch3：二级分支站点，不下挂三级站点，使用单设备组网，站点角色为CPE。

·     Branch4：三级分支站点，使用站点双网关组网，站点角色为CPE。

·     Branch5：三级分支站点，使用单设备组网，站点角色为CPE。

 

2.2.2  WAN网络说明

·     HQ1：通过三层防火墙（NAT）接入互联网。站点对应公网地址配置在防火墙上，通过NAT映射将控制组件和Hub设备的私网地址/业务端口映射到互联网上。Hub1-2接入三层专线网络，使用BGP协议保证互通，由于SDWAN的AS号和底层网络的AS号不一致，需要使用Fake AS功能。

·     HQ2：使用固定地址直接接入互联网；接入三层专线网络，使用OSPF协议保证互通；作为LNS设备接入VPDN网络。

·     Branch1：通过二层专线接入HQ1，通过OSPF协议保证互通；Spoke1-2接入三层专线网络，使用OSPF协议保证互通。

·     Branch2：接入互联网，两个互联网出口，由于是汇聚站点使用固定公网地址；接入三层专线网络，使用OSPF协议保证互通。

·     Branch3：接入互联网，使用DHCP获取私网地址，通过运营商NAT将源地址变换成公网地址；接入三层专线网络，使用OSPF协议保证互通；由于无法模拟5G拨号，通过PPPoE拨号接入VPDN网络。

·     Branch4：通过二层专线接入Branch2，通过OSPF协议保证互通；Spoke4-2接入三层专线网络，使用OSPF协议保证互通。

·     Branch5：接入互联网，使用PPPoE获取私网地址，通过运营商NAT将源地址变换成公网地址；接入三层专线网络，使用OSPF协议保证互通。

 

2.2.3  LAN网络说明

·     HQ1：由于控制组件部署在内网，两台Hub设备需要使用两个接口和LAN1互联，分别为管理口和LAN口。管理口不绑定VPN，使用OSPF协议和LAN1互联，主要用于打通和控制组件之间的管理通道。 LAN口绑定VPN，使用OSPF协议和LAN1互联，用于业务流量互通。LAN口通过OSPF学习内网路由，并重分布到BGP中发布给分支；从BGP学到的分支路由重分布到OSPF中，通过OSPF发布给LAN1。

·     HQ2：由于控制组件部署在内网， Hub2设备需要使用两个接口和LAN2互联，分别为管理口和LAN口。管理口不绑定VPN，使用OSPF协议和LAN2互联，主要用于打通和控制组件之间的管理通道。 LAN口绑定VPN，使用OSPF协议和LAN2互联，用于业务流量互通。LAN口通过OSPF学习内网路由，并重分布到BGP中发布给分支；从BGP学到的分支路由重分布到OSPF中，通过OSPF发布给LAN2。

·     Branch1：站点双网关的LAN口配置VRRP，内部终端的网关配置为VRRP虚地址，需要配置双网关路由同步；

·     Branch2：单个LAN口接入LAN网络；

·     Branch3：单个LAN口接入LAN网络；

·     Branch4：站点双网关的LAN口配置VRRP，内部终端的网关配置为VRRP虚地址，需要配置双网关路由同步；

·     Branch5：单个LAN口接入LAN网络；

 

2.2.4  WebSocket管理通道说明

·     HQ1和HQ2：控制组件部署在内网，Hub设备使用管理口和LAN1互联，通过管理口注册上线。

·     Branch1：Spoke1-1设备通过二层专线口打通到控制组件的Underlay路由，使用二层专线口注册上线。Spoke1-2设备支持两种注册方式：通过二层专线口打通到控制组件的Underlay路由，使用二层专线口注册上线；通过三层专线口打通到控制组件的Underlay路由，使用三层专线口注册上线。

·     Branch2：两种注册方式：通过Internet口注册上线，注册地址为HQ1的NAT设备将控制组件北向虚地址映射的公网地址（映射端口TCP 19443）；通过三层专线口打通到控制组件的Underlay路由，使用三层专线口注册上线。

·     Branch3：两种注册方式：通过Internet口注册上线，注册地址为HQ1的NAT设备将控制组件北向虚地址映射的公网地址（映射端口TCP 19443）；通过三层专线口打通到控制组件的Underlay路由，使用三层专线口注册上线。

·     Branch4：Spoke4-1设备通过二层专线口打通到控制组件的Underlay路由，使用二层专线口注册上线。Spoke4-2设备支持两种注册方式：通过二层专线口打通到控制组件的Underlay路由，使用二层专线口注册上线；通过三层专线口打通到控制组件的Underlay路由，使用三层专线口注册上线。

·     Branch5：两种注册方式：通过Internet口注册上线，注册地址为HQ1的NAT设备将控制组件北向虚地址映射的公网地址（映射端口TCP 19443）；通过三层专线口打通到控制组件的Underlay路由，使用三层专线口注册上线。

2.2.5  接入区规划

组网模型为三级组网，需要划分多个接入区， 接入区规划如下：

·     接入区zone1：使用HQ1站点为RR，二级站点Branch1、Branch2和Branch3接入此接入区。单总部二级组网只需要规划接入区zone1。

·     接入区zone2：使用HQ2站点为RR，二级站点Branch1、Branch2和Branch3接入此接入区。双总部二级组网需要规划zone1和zone2。

·     接入区zone3：二级汇聚站点Branch1为RR，下挂的三级站点Branch4接入此接入区。

·     接入区zone4：二级汇聚站点Branch2为RR，下挂的三级站点Branch5接入此接入区。

2.2.6  区域拓扑规划

每个接入区针对业务VPN都需要创建一个区域拓扑，建议包含接入区内所有部署了对应VPN的站点。

双总部区域拓扑规划：

·     区域拓扑topo1：对应接入区zone1创建区域拓扑，区域RR设备为HQ1。配置分支站点Branch1、Branch2和Branch3接入。站点双总部组网为了指定二级站点优选的区域拓扑策略，分支站点接入时配置区域本地优先级为200，分支间互通优选此区域拓扑。

·     区域拓扑topo2：对应接入区zone2创建区域拓扑，区域RR设备为HQ2。配置分支站点Branch1、Branch2和Branch3接入。站点双总部组网为了指定二级站点优选的区域拓扑策略，分支站点接入时不修改区域本地优先级（缺省为100），分支间互通备选此区域拓扑。

如果区域topo1和区域拓扑topo2都配置了Hub-Spoke模型，分支间互访会优选topo1中的中心站点HQ1互通。当topo1中的中心站点/RR故障时，会备选topo2中的重点站点HQ2互通。建议两个总部发布不同的明细路由，如果发布相同的路由，则优先HQ1总部。

二级汇聚站点区域规划：

·     区域拓扑topo3：对应接入区zone3创建区域拓扑，区域RR设备为Branch1。配置分支站点Branch4接入。

·     区域拓扑topo4：对应接入区zone4创建区域拓扑，区域RR设备为Branch2。配置分支站点Branch5接入。

2.2.7  区域互联规划

区域拓扑可以实现区域内互通，区域间互通需要指定边界站点，通过边界站点转发互通。边界站点需要属于两个区域拓扑。

针对三级组网必须配置区域互联，区域互联规划如下：

·     区域拓扑topo1和区域拓扑topo3之间配置边界站点为Branch1；

·     区域拓扑topo2和区域拓扑topo3之间配置边界站点为Branch1；

·     区域拓扑topo1和区域拓扑topo4之间配置边界站点为Branch2；

·     区域拓扑topo2和区域拓扑topo4之间配置边界站点为Branch2；

区域拓扑topo3和topo4之间无直连，因此不需要创建区域互联，通过topo1/topo2互通。

2.3  设备接口地址和Underlay网络参数说明

各设备对应的接口地址规划参考表2-1。

表2-1 设备节点地址规划

设备	接口	接口地址	对端设备	对端接口	对端地址	备注
Hub1-1	GE2/0.1	172.1.1.1/24	LAN1		172.1.1.2	管理网络
	GE2/0.2	20.1.10.2/24 2000:2::2/64	LAN1		20.1.10.1 2000:2::1	VPN1的LAN口
	GE3/0	30.1.1.1/24	Hub1-2	GE3/0	30.1.1.2	横穿链路
	GE4/0	172.1.3.1/24	NAT	GE2/0	17.1.3.2	互联网线路
	GE5/0	172.1.5.1/24	Spoke1-1	GE3/0	172.1.5.2	二层专线
Hub1-2	GE2/0.1	172.1.2.1/24	LAN1		172.1.2.2	管理网络
	GE2/0.2	20.1.11.2/24 2000:3::2/64	LAN1		20.1.11.1 2000:3::1	VPN1的LAN口
	GE3/0	30.1.1.2	Hub1-1	GE3/0	30.1.1.1	横穿链路
	GE4/0	172.1.4.1/24	NAT	GE3/0	17.1.4.2	互联网线路
	GE5/0	172.1.6.1/24	Spoke2-1	GE3/0	172.1.6.2	二层专线
	GE6/0	173.1.1.1/24	MPLS		173.1.1.2	三层专线
NAT	GE2/0	172.1.3.2/24	Hub1-1	GE4/0	172.1.3.1
	GE3/0	172.1.4.2/24	Hub1-2	GE4/0	172.1.4.1
	GE4/0	110.1.1.1/24	Internet		110.1.1.2	Internet公网出口
	GE5/0	110.1.2.1/24	Internet		110.1.2.2	Internet公网出口
Hub2	GE2/0.1	172.1.10.1/24	LAN2		172.1.10.2	管理网络
	GE2/0.2	20.1.20.2/24 2000:4::2/64	LAN2		20.1.20.1 2000:4::1	VPN1的LAN口
	GE3/0	173.1.4.1/24	MPLS		173.1.4.2	三层专线
	GE4/0	110.1.3.1/24	Internet		110.1.3.2	互联网线路
	GE5/0	174.1.1.1/24	VPDN		174.1.1.2	VPDN网络
Spoke1-1	GE2/0	20.1.2.2/24 2001::2/64	LAN3			VPN1的LAN口 VRRP （主） 20.1.2.1 2001::1
	GE3/0	172.1.5.2/24	Hub1-1	GE3/0	172.1.5.1	二层专线
	GE4/0	30.1.2.1/24	Spoke1-2	GE4/0	30.1.2.2	横穿链路
	GE4/0.1	20.2.21.1/24 2001:2::1/64	Spoke1-2	GE4/0.1	20.2.21.2 2001:2::2	VPN1的LAN口 横穿路由同步
	GE5/0	172.1.5.1/24	Spoke4-2	GE3/0	172.1.5.2	二层专线
	GE6/0	172.1.7.1/24	Spoke4-1	GE3/0	172.1.7.2	二层专线
Spoke1-2	GE2/0	20.1.2.3/24 2001::3/64	LAN3			VPN1的LAN口 VRRP: (备) 20.1.2.1 2001::1
	GE3/0	172.1.6.2/24	Hub1-2	GE3/0	172.1.6.1	二层专线
	GE4/0	30.1.2.2/24	Spoke1-1	GE4/0	30.1.2.1	横穿链路
	GE4/0.1	20.2.21.2/24 2001:2::2/64	Spoke1-1	GE0/1.1	20.2.21.1 2001:2::1	VPN1的LAN口 横穿路由同步
	GE5/0	11.1.6.2/24	Hub1-2	GE3/0	11.1.6.1	二层专线
	GE5/0	172.1.8.1/24	Spoke4-2	GE3/0	172.1.8.2	二层专线
	GE6/0	173.1.2.1/24	MPLS		173.1.2.2	三层专线
Spoke2	GE2/0	20.1.3.1/24 2002::1/64	LAN4
	GE3/0	173.1.5.1/24	MPLS		173.1.5.2	三层专线
	GE4/0	110.1.4.1/24	Internet		110.1.4.2	Internet专线
	GE5/0	110.1.7.1/24	Internet		110.1.7.2	Internet专线
Spoke3	GE2/0	20.1.4.1/24 2003::1/24	LAN5			VPN1的LAN口
	GE3/0	173.1.6.1/24	MPLS		173.1.6.2	三层专线
	GE4/0	DHCP	Internet			Internet专线
	GE5/0	Dialer1	VPDN			VPDN网络
Spoke4-1	GE2/0	20.1.5.2/24 2004::2/64	LAN6			VPN1的LAN口 VRRP （主） 20.1.5.1 2004::1
	GE3/0	172.1.7.2/24	Spoke1-1	GE3/0	172.1.5.1	二层专线
	GE4/0	30.1.3.1/24	Spoke4-2	GE4/0	30.1.3.2	横穿链路
	GE4/0.1	20.2.22.1/24 2001:3::1/64	Spoke4-2	GE4/0.1	20.2.22.2 2001:3::2	VPN1的LAN口 横穿路由同步
Spoke4-2	GE2/0	20.1.5.3/24 2004::3/64	LAN6			VPN1的LAN口 VRRP （主） 20.1.5.1 2004::1
	GE3/0	172.1.8.2/24	Spoke1-2	GE3/0	172.1.8.1	二层专线
	GE4/0	30.1.3.2/24	Spoke4-1	GE4/0	30.1.3.1	横穿链路
	GE4/0.1	20.2.22.2/24 2001:3::2/64	Spoke4-1	GE4/0.1	20.2.22.1 2001:3::1	VPN1的LAN口 横穿路由同步
	GE5/0	173.1.3.1	MPLS		173.1.3.2	三层专线
Spoke5	GE2/0	20.1.6.1/24 2005::1/24	LAN7			VPN1的LAN口
	GE3/0	173.1.7.1/24	MPLS		173.1.7.2	三层专线
	GE4/0	Dialer1	Internet			Internet专线

 

2.4  NAT地址映射配置说明

NAT使用端口映射方式，将私网地址+端口映射到对应的公网地址+端口，需要配置NAT映射关系参考表2-2。

表2-2 NAT映射关系说明

功能	设备	接口	协议	外部地址: 端口	内网地址: 端口	备注
控制器映射	NAT	GE4/0	TCP	110.1.1.1: 19443	控制组件北向虚地址: 19443	WebSocket注册
			TCP	110.1.1.1: 35000	控制组件北向虚地址: 35000	设备配置备份和升级使用
		GE5/0	TCP	110.1.2.1: 19443	控制组件北向虚地址: 19443	WebSocket注册
			TCP	110.1.2.1: 35000	控制组件北向虚地址: 35000	设备配置备份和升级使用
总部设备映射		GE4/0	TCP	110.1.2.1: 2004	172.1.3.1: 2004	CPE和RR之间建立SSL连接 端口支持自定义，缺省为2004
			UDP	110.1.1.1: 4799	172.1.3.1: 4799	缺省SDWAN隧道封装端口映射
			UDP	110.1.1.1: 12288	172.1.3.1: 12288	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.1.1: 12289	172.1.3.1: 12289	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.1.1: 12290	172.1.3.1: 12290	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.1.1: 12291	172.1.3.1: 12291	基于Group ID的SDWAN隧道封装端口映射
		GE5/0	TCP	110.1.2.1: 2004	172.1.4.1: 2004	CPE和RR之间建立SSL连接 端口支持自定义，缺省为2004
			UDP	110.1.2.1: 4799	172.1.4.1: 4799	缺省SDWAN隧道封装端口映射
			UDP	110.1.2.1: 12288	172.1.4.1: 12288	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.2.1: 12289	172.1.4.1: 12289	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.2.1: 12290	172.1.4.1: 12290	基于Group ID的SDWAN隧道封装端口映射
			UDP	110.1.2.1: 12291	172.1.4.1: 12291	基于Group ID的SDWAN隧道封装端口映射

 

 

NAT关键配置：

#

interface GigabitEthernet4/0

 port link-mode route

 ip address 110.1.1.1 255.255.255.0

 ip last-hop hold

 nat server protocol tcp global current-interface 2004 inside 172.1.3.1 2004 reversible

 nat server protocol tcp global current-interface 19443 inside 192.168.40.155 19443

 nat server protocol tcp global current-interface 35000 inside 192.168.40.155 35000

 nat server protocol udp global current-interface 4799 inside 172.1.3.1 4799 reversible  //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12288 inside 172.1.3.1 12288 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12289 inside 172.1.3.1 12289 reversible            //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12290 inside 172.1.3.1 12290 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12291 inside 172.1.3.1 12291 reversible        //需要配置reversible，保证双向地址变换

#

interface GigabitEthernet5/0

 port link-mode route

 ip address 110.1.2.1 255.255.255.0

 ip last-hop hold

 nat server protocol tcp global current-interface 2004 inside 172.1.4.1 2004 reversible

 nat server protocol tcp global current-interface 19443 inside 192.168.40.155 19443

 nat server protocol tcp global current-interface 35000 inside 192.168.40.155 35000

 nat server protocol udp global current-interface 4799 inside 172.1.4.1 4799 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12288 inside 172.1.4.1 12288 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12289 inside 172.1.4.1 12289 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12290 inside 172.1.4.1 12290 reversible        //需要配置reversible，保证双向地址变换

 nat server protocol udp global current-interface 12291 inside 172.1.4.1 12291 reversible        //需要配置reversible，保证双向地址变换

#

2.5  防火墙端口放通规则

如果设备和控制组件之间有防火墙，需要放通对应的服务端口保证控制组件对设备的纳管，放通端口参考表2-3。

表2-3 控制组件和设备间放通的端口

协议	源地址	源端口	目的地址	目的端口	说明
TCP	设备注册接口地址	Any	控制组件统一北向地址	19443	设备Websocket注册使用
TCP	设备注册接口地址	Any	控制组件统一北向地址	35000	设备版本升级使用
UDP	服务器节点IP+统一北向地址	Any	设备管理地址	161	如果需要使用SNMP网管，需要放通SNMP网管业务访问端口
UDP	设备管理地址	Any	控制组件统一北向地址	162	如果需要使用SNMP网管，需要放通SNMP网管业务访问端口
UDP	设备NTP同步源地址	Any	控制器组件统一北向地址	123	如果和控制器同步NTP时间，需要放通NTP服务端口

 

如果CPE和RR之间有防火墙，需要放通对应的服务端口保证Overlay链路（TTE连接）可以正常建立，放通端口参考表2-4。

表2-4 RR和CPE之间放通的端口

协议	源地址	源端口	目的地址	目的端口	说明
TCP	CPE WAN口地址 Any	Any	RR WAN口地址	2004	TLS连接使用的端口，用户可以自定义修改，修改方法参考4.2.1  基础配置
UDP	CPE WAN口地址 Any	4799 Any	RR WAN口地址	4799	缺省平面使用的端口号，如果使用缺省平面需要放通； 如果CPE为私网地址，通过NAT变换为公网地址和RR互通，源地址和端口都可能变化，需要匹配Any
UDP	CPE WAN口地址 Any	12288～12543 Any	RR WAN口地址	12288～12543	自定义平面使用端口号，1对1放通。自定义平面配置参考4.3  WAN网络配置 如果CPE为私网地址，通过NAT变换为公网地址和RR互通，源地址和端口都可能变化，需要匹配Any
UDP	RR WAN口地址	4799	CPE WAN口地址	4799	缺省平面使用的端口号，如果使用缺省平面需要放通； 如果CPE为公网地址，RR会主动进行TTE协商，也需要放通。
UDP	RR WAN口地址	12288～12543	CPE WAN口地址	12288～12543	自定义平面使用端口号，1对1放通。自定义平面配置参考4.3  WAN网络配置 如果CPE为公网地址，RR会主动进行TTE协商，也需要放通。

 

如果CPE1和CPE2之间需要直接建立连接且中间有防火墙，需要放通对应的服务端口保证Overlay链路（TTE连接）可以正常建立，放通端口参考表2-5。

表2-5 CPE之间放通的端口

协议	源地址	源端口	目的地址	目的端口	说明
UDP	CPE1的WAN口地址 Any	4799 Any	CPE2的WAN口地址	4799	缺省平面使用的端口号，如果使用缺省平面需要放通； 如果CPE1为私网地址，通过NAT变换为公网地址和CPE2互通，源地址和端口都可能变化，需要匹配Any
UDP	CPE1的WAN口地址 Any	12288～12543 Any	CPE2的WAN口地址	12288～12543	自定义平面使用端口号，1对1放通。自定义平面配置参考4.3  WAN网络配置 CPE1和CPE2需要有一端为固定公网地址，如果CPE1为私网地址，通过NAT变换为公网地址和CPE2互通，源地址和端口都可能变化，需要匹配Any
UDP	CPE2的WAN口地址	4799	CPE1的WAN口地址	4799	缺省平面使用的端口号，如果使用缺省平面需要放通； 如果CPE1和CPE2都使用固定公网地址，两边都会主动进行TTE协商，反向报文也需要放通。
UDP	CPE2的WAN口地址	12288～12543 Any	CPE1的WAN口地址	12288～12543	自定义平面使用端口号，1对1放通。自定义平面配置参考4.3  WAN网络配置 如果CPE1和CPE2都使用固定公网地址，两边都会主动进行TTE协商，反向报文也需要放通。

 

2.6  资源池规划

分支设备自动化部署上线前可以先对网络进行规划，申请网络需要使用的资源池，参考表2-6。

表2-6 资源池规划

地址池	地址数量需求	地址池规划
System IP地址池	可以通过地址池分配或手动指定，每台设备需要分配或指定一个System IP。 地址池数量需求>=实际设备数量	假设未来规划10台设备，地址数量需要大于10 地址池：7.1.1.11~7.1.1.255 掩码长度：24
站点上网地址池	应用集中上网使用，一个VPN需要规划一个地址池。地址数量需求：一个应用集中上网站点需要分配一个地址；站点双网关配置站点上网路由同步，一个上网口需要分配一个地址。 地址池数量需求>=应用集中上网站点数量+配置站点上网路由同步的站点双网关的上网口数量	VPN1应用上网地址池：172.16.1.1~ 172.16.1.100 掩码长度：24

 

 

2.7  总部设备手动开局初始配置

一般总部设备需要手工上线，Underlay网络配置需要手动增加。

 

 

2.7.1  Hub1-1设备的Underlay配置说明

1. 接口配置

#

interface GigabitEthernet2/0.1               //管理口地址配置

 port link-mode route

 ip address 172.1.1.2 255.255.255.0

 ospf cost 10

vlan-type dot1q vid 201

#

interface GigabitEthernet4/0                //二层专线接口配置

 port link-mode route

 ip address 172.1.3.1 255.255.255.0

 ospf cost 100

#

interface GigabitEthernet3/4/3                 //防火墙互联接口配置

 port link-mode route

 ip address 172.1.5.1 255.255.255.0

#

 

2. 路由配置

#

ospf 1 router-id 172.1.1.2                  //管理网、二层专线、打通防火墙路由

 area 0.0.0.0

  network 172.1.1.2 0.0.0.0

  network 172.1.3.1 0.0.0.0

 area 0.0.0.10

  network 172.1.5.1 0.0.0.0

#

3. WebSocket注册配置

#

 dns proxy enable

#

cloud-management server domain 192.168.40.155       //WebSocket注册的配置

 cloud-management keepalive 60

#

 

4. NTP配置

对于手工开局，可以手动添加NTP相关配置，总部设备推荐和控制组件进行时间同步，相关配置：

#

 clock protocol ntp mdc 1      //对于SR66设备需要指定mdc编号，

clock protocol ntp           // MSR、VSR设备不需要指定mdc

#

ntp-service enable

ntp-service unicast-server 192.168.40.155

#

 

2.7.2  Hub1-2设备的Underlay配置说明

1. 接口配置

#

interface GigabitEthernet2/0.1               //管理口地址配置

 port link-mode route

ip address 172.1.2.2 255.255.255.0

 ospf cost 20

vlan-type dot1q vid 202

#

interface GigabitEthernet4/0                //二层专线接口配置

 port link-mode route

 ip address 172.1.4.1 255.255.255.0

 ospf cost 100

#

interface GigabitEthernet5/0                //防火墙互联接口配置

 port link-mode route

 ip address 172.1.6.1 255.255.255.0

#

 

接入三层专线的接口配置先不用手动下发，后续使用控制组件的WebSocket开局方式进行部署。

 

2. 路由配置

#

ospf 1 router-id 172.1.2.2             //管理网、二层专线、打通防火墙路由。

area 0.0.0.0

  network 172.1.2.2 0.0.0.0

  network 172.1.4.1 0.0.0.0

 area 0.0.0.10

  network 172.1.5.1 0.0.0.0

#

接入三层专线的路由配置先不用手动下发，后续使用控制组件的WebSocket开局方式进行部署，包括Fake AS配置，统一通过控制组件下发配置。

3. WebSocket注册配置

#

 dns proxy enable

#

cloud-management server domain 192.168.40.155       //WebSocket注册的配置

 cloud-management keepalive 60

#

 

4. NTP配置

对于手工开局，可以手动添加NTP相关配置，总部设备推荐和控制组件进行时间同步，相关配置：

#

 clock protocol ntp mdc 1      //对于SR66设备需要指定mdc编号，

clock protocol ntp           // MSR、VSR设备不需要指定mdc

#

ntp-service enable

 ntp-service unicast-server 192.168.40.155

#

2.7.3  Hub2设备的Underlay配置说明

1. 接口配置

#

interface GigabitEthernet2/0.1               //管理口地址配置

 port link-mode route

ip address 172.1.10.2 255.255.255.0

vlan-type dot1q vid 203

#

interface GigabitEthernet3/0                //三层专线接口配置

 port link-mode route

ip address 173.1.4.1 255.255.255.0

#

interface GigabitEthernet4/0                //Internet接口配置

 port link-mode route

 ip address 110.1.3.1 255.255.255.0

#

interface GigabitEthernet5/0                  //VPDN接入

 port link-mode route

 ip address 174.1.1.1 255.255.255.0

#

2. 路由配置

#

 ip route-static 0.0.0.0 0 110.1.3.2       //上网静态路由

#

ospf 1 router-id 172.1.10.1           //打通管理网路由

 area 0.0.0.0

  network 172.1.10.2 0.0.0.0

#

ospf 2 router-id 173.1.4.1             //打通三层专线路由

 area 0.0.0.0

  network 173.1.4.1 0.0.0.0

#

3. WebSocket注册配置

#

 dns proxy enable

#

cloud-management server domain 192.168.40.155       //WebSocket注册的配置

 cloud-management keepalive 60

#

 

4. NTP配置

对于手工开局，可以手动添加NTP相关配置，总部设备推荐和控制组件进行时间同步，相关配置：

#

 clock protocol ntp mdc 1      //对于SR66设备需要指定mdc编号，

clock protocol ntp           // MSR、VSR设备不需要指定mdc

#

 tp-service enable

 ntp-service unicast-server 192.168.40.155

#

 

2.7.4  防火墙作为Hub设备配置说明

使用防火墙作为Hub设备，除了接口配置、路由配置和WebSocket注册配置外，还需要以下额外手工配置。

1. 安全策略配置

防火墙必须配置基础的安全策略才能保证设备和控制组件之间的通信以及基础SDWAN业务互通。放通安全策略如下：

(1)     指定注册的控制器地址，放通设备到控制器的访问。

(2)     放通WAN口和Local区域的互访，保证SDWAN基础业务（TLS、TTE建立）互通。

具体配置举例：

#

security-zone name AdwanUntrustPublic

 import interface GigabitEthernet3/4/2               //WAN口

 import interface GigabitEthernet3/4/3

 import ip 192.168.40.155 32                   // Websocket注册地址，统一北向地址或公网映射地址

#

security-policy ip

rule 61001 name sdwan-out                      //出方向策略：允许设备注册以及通过WAN口主动发起的SDWAN请求

action pass

counting enable

source-zone Local

destination-zone AdwanUntrustPublic

rule 61002 name sdwan-in                       //入方向策略：允许通过WAN口接收的SDWAN请求

action pass

counting enable

source-zone AdwanUntrustPublic

destination-zone Local

#

2. NTP配置

对于手工开局，可以手动添加NTP相关配置，总部设备推荐和控制组件进行时间同步，相关配置。

#

clock protocol ntp                //VFW和F1000-AI-25以下款型不支持context

clock protocol ntp context 1      //F1000-AI-25及以上款型防火墙，需要指定context编号,目前只支持context1

#

ntp-service enable

 ntp-service unicast-server 192.168.40.155

#

2.8  防火墙堆叠配置说明

为了保障可靠性防火墙建议使用堆叠组网并配合聚合口使用。防火墙使用堆叠组网后需要手动添加如下配置。

2.8.1  配置会话备份

防火墙堆叠后需要添加以下会话备份命令：

#

session synchronization enable

 session synchronization dns http

#

如果使用防火墙使用其它业务功能，请确认对应功能在堆叠场景下是否需要启用会话备份功能。

2.8.2  聚合口配置

1. 防火墙聚合口配置

为了保证流量通过单个防火墙转发，需要配置聚合口物理成员口最大选中一个，并配置接口联动，保证选中的成员口属于同一台防火墙。聚合口组网如图2-2所示。

图2-2 聚合口组网

 

聚合口说明：

·     防火墙FW1和FW2配置堆叠；

·     SW1为内网交换机，堆叠防火墙使用聚合口RAGG3连接内网交换机(LAN口)，成员口为GE1/0/4和GE2/0/4；

·     SW2为公网交换机，堆叠防护墙使用聚合口RAGG2和RAGG3连接公网交换机（两个WAN口），其中RAGG1的成员口为GE1/0/1和GE2/0/1，RAGG2的成员口为GE1/0/25和GE2/0/15；

聚合口要求配置为动态聚合且只选中一个成员口，为了保证流量通过一台防火墙转发，需要配置联动组。具体配置如下：

#

collaboration-group 1      //创建接口联动组1

#

聚合口1相关配置：

#

interface GigabitEthernet1/0/1

 port link-mode route

 port collaboration-group 1         //加入接口联动组1

 link-aggregation port-priority 10     //配置优先级10，优选此接口（数值越小越优）

 port link-aggregation group 1        //加入聚合口1

#

interface GigabitEthernet2/0/1

 port link-mode route

 link-aggregation port-priority 100    //配置优先级100，备选此接口（数值越小越优）

 port link-aggregation group 1          //加入聚合口1

#

interface Route-Aggregation1

 bandwidth 300000

 ip address 183.242.86.201 255.255.255.240

 link-aggregation mode dynamic             //聚合口模式为动态聚合口

 link-aggregation selected-port maximum 1   //聚合成员口最大选中1

#

 

聚合口2相关配置：

#

interface GigabitEthernet1/0/15

 port link-mode route

 port collaboration-group 1          ///加入接口联动组1

 link-aggregation port-priority 10     //配置优先级10，优选此接口

 port link-aggregation group 2         //加入聚合口2

#

interface GigabitEthernet2/0/15

 port link-mode route

 link-aggregation port-priority 100      //配置优先级100，备选此接口

 port link-aggregation group 2          //加入聚合口2

#

interface Route-Aggregation2

 bandwidth 100000

 ip address 103.159.124.203 255.255.255.248

 link-aggregation mode dynamic          //聚合口模式为动态聚合口

link-aggregation selected-port maximum 1   //聚合成员口最大选中1

#

 

聚合口3相关配置：

#

interface GigabitEthernet1/0/4

 port link-mode route

 port collaboration-group 1            //加入接口联动组1

 link-aggregation port-priority 10     //配置优先级10

 port link-aggregation group 3          //加入聚合口3

#

interface GigabitEthernet2/0/4

 port link-mode route

 link-aggregation port-priority 100     //配置优先级100

 port link-aggregation group 3          //加入聚合口3

#

interface Route-Aggregation3

 description LAN interface

 ip binding vpn-instance vpn1

 ip address 10.20.1.20 255.255.255.248

 link-aggregation mode dynamic                  //聚合口模式为动态聚合口

 link-aggregation selected-port maximum 1       //聚合成员口最大选中1

#

2. 交换机聚合口配置

以SW1为例，说明交换机聚合口配置。

聚合口说明：

·     交换机使用二层聚合口BAGG1对接防火墙；

·     交换机GE1/5/0和GE1/5/1加入二层，其中GE1/5/0为优选接口，对接防火墙优选接口，GE1/5/1为备选接口，对接防火墙备选接口。

交换机对接配置举例：

#

interface Bridge-Aggregation1

link-aggregation mode dynamic----配置动态聚合

link-aggregation selected-port maximum 1----配置最大选中1

#

interface GigabitEthernet1/5/0

port link-mode bridge

link-aggregation port-priority 10----配置高优成员口优先级，（数值越小越优，与防火墙高优成员口对应）

port link-aggregation group 1

#

interface GigabitEthernet1/5/1

port link-mode bridge

link-aggregation port-priority 100----配置备选成员口优先级，（与防火墙备选成员口对应）

port link-aggregation group 1

#

return

 

3 系统和租户配置

3.1  登录统一数字底盘

控制组件安装完成后会自动创建“System”租户，使用该租户缺省的系统管理组账号（admin）登录控制组件页面，具体登录方式如下：

(1)     在浏览器中输入登录地址（默认登录地址http://ip_address:30000/central），回车后进入登录界面，如图3-1所示。其中，ip_address为统一数字底盘的北向业务虚IP地址，30000为端口号。

(2)     输入操作员名称和密码，缺省密码为Pwd@12345。可以在该用户下进行业务配置，也可以使用手动创建的租户业务管理员进行业务配置。

图3-1 统一数字底盘登录页面

 

3.2  配置邮件服务器（可选）

若使用邮件开局通过需要通过邮件发送告警信息，则需要配置邮件服务器，否则可以跳过此步骤。

(1)     使用缺省系统管理员（admin）登录统一数字底盘，进入[系统>系统配置>邮件服务器配置]页面。

(2)     单击<修改>按钮，填写邮件服务器域名或者IP地址及对应端口（默认端口为25），验证用户名/密码和发件人邮箱地址，如图3-2所示，单击<确定>按钮保存配置。

图3-2 邮件服务器信息

 

(3)     配置完成后，单击<发送测试邮件>按钮，会向发件人邮件地址发送一封测试邮件，可以测试邮件服务器配置是否正常。

3.3  创建租户（可选）

控制组件安装完成后会自动创建“System”租户，可以直接使用该租户纳管设备并完成业务部署。

用户也可以手动创建一个租户，使用创建租户的业务管理员完成设备纳管和业务部署。

(1)     使用缺省系统管理员（admin）登录统一数字底盘，进入[系统>租户管理>租户管理]页面，如图3-3所示。

图3-3 租户管理页面

 

(2)     单击“System”租户后面的按钮，增加一个新的租户，如图3-4所示，单击<确定>按钮完成配置。

图3-4 增加租户

 

关键参数说明：

¡     租户名称：创建的租户名称，本例中为“SDWAN”。

¡     租户类型：选择普通租户。

¡     初始化组织：选择当前租户的系统预置角色组，若同时选择创建租户管理员，则租户管理员的角色组会根据是否选择了“初始化角色组”确定，未选择时为“初始化角色组”下拉框中的第一个，选择了角色组时，为所选框显示的第一个角色组。 默认拷贝当前租户下的所有预置角色组到新建的租户内。

¡     机构名称：该租户下的顶级机构的名，默认和租户名称保持相同。

¡     创建租户管理员：选择是否创建租户管理员。若选择启用，则增加一个操作员作为该租户的系统管理员。

 

3.4  创建租户管理员（可选）

用户创建租户后，需要使用该租户的业务管理员完成业务部署。

(1)     使用缺省系统管理员（admin）登录统一数字底盘，进入[系统>操作员管理>操作员列表]页面，如图3-5所示，可以查看当前租户的操作员列表。

图3-5 操作员列表

 

(2)     单击<增加>按钮，配置相关参数，如图3-6所示，单击<确定>按钮完成配置。

图3-6 增加操作员

 

关键参数说明：

¡     操作员名称：登录时使用的操作员名称，本例中为“sdwan”。

¡     租户：设备纳管和业务部署使用的租户，本例中选择3.3  创建租户（可选）创建的租户“SDWAN”。

¡     机构：选择机构“SDWAN”。

¡     认证方式：可选的认证方式有简单密码认证、RADIUS认证、LDAP认证、TACACS认证和第三方认证。本例中选择“简单密码认证”，并且设置相关的登录密码。

¡     人员归组：系统有4个预置组织，其中“业务管理组”和“系统管理组”都可以部署业务。本例中选择“系统管理组”，将授予操作员系统管理组的相关权限。

 

4 设备上线规划

4.1  配置流程

首先进行设备上线规划，参考组网图完成所有设备注册上线，其中HQ1和HQ2总部设备通过手动方式完成开局部署，分支设备通过U盘/邮件方式完成开局部署。

本节中使用租户业务管理员（sdwan）登录统一数字底盘，相关配置参考3.3  创建租户（可选）和3.4  创建租户管理员（可选）。

设备上线规划可以通过配置向导完成相关配置，也可以在自动化菜单中进行相关设置。设备上线规划配置流程图如图4-1所示。

图4-1 设备上线规划配置流程图

 

4.2  全局配置

全局配置为控制组件的基础配置，新开局时需要优先完成配置。建议通过配置向导完成相关配置。

4.2.1  基础配置

进入[向导>分支网络向导>设备上线规划>全局配置>基础配置]页面，配置BGP AS号、System IP口编号和SDWAN Server端口号，如图4-2所示，单击<确定>按钮保存配置。

图4-2 基础配置

 

关键参数说明：

·     BGP AS号：控制组件向设备下发BGP配置时使用的AS号，每个租户唯一。

·     管理口：是否创建管理Loopback口，配合管理VPN使用，选择开启。

·     管理Loopback口编号：控制组件为设备分配管理Loopback接口时使用的接口编号。

·     System IP口编号：控制组件为设备分配System IP对应的Loopback接口时使用的接口编号。

·     SDWAN Server端口号：接区RR与接入CPE之间建立TLS连接时使用的端口号，缺省值为2004，用户可以自定义修改。

 

用户也可以进入[自动化>分支网络>参数配置>全局配置 >基础配置]页面查询或进行相关配置。

4.2.2  IP地址池配置

进入[向导>分支网络向导>设备上线规划>全局配置>IP地址配置]页面，包含System IP地址池和站点上网地址池，单击<增加>按钮，可以增加对应资源池。根据2.6  资源池规划完成相关配置，如图4-3所示，单击<确定>按钮保存配置。

图4-3 配置IP地址池

 

用户可以进入[自动化>分支网络>参数配置>全局配置 >IP地址池]页面查询或进行相关配置，手动添加地址池时，根据需要选择地址池类型为“System IP接口”或“站点上网”，如图4-4所示。

图4-4 IP地址池

 

4.2.3  IPsec配置

进入[向导>分支网络向导>设备上线规划>全局配置>IPsec配置]页面进行IPsec配置，如图4-5所示，单击<确定>按钮保存配置。

图4-5 IPsec配置

 

关键参数说明：

·     抗重放检测：方案建议关闭抗重放检测功能，否则配合Qos保障可能出现断流。

·     加密方案：支持五种加密方案，包括自定义加密方案。本例中使用推荐加密方案。

配置完成后，可以在[自动化>分支网络>参数配置>全局配置>IPsec配置]页面查看对应IPsec方案配置，当配置了IPsec加密的WAN详情都删除后，支持修改IPsec加密方案。

 

4.2.4  运维配置

进入[向导>分支网络向导>设备上线规划>全局配置>运维配置]页面或者[自动化>分支网络>参数配置>运维配置>运维参数配置]页面，完成“全局质量探测和流量采集 配置”和“控制组件质量探测和流量采集配置”，如图4-6所示；修改全局BFD模板参数，如图4-7所示；修改“链路质量评估值”如图4-8所示；修改各项配置参数后均需单独单击<确定>按钮保存。

图4-6 设备质量探测和流量采集配置

 

图4-7 全局BFD配置

 

图4-8 链路质量评估

 

设备质量探测和流量采集配置：根据组网规模可以直接选择对应的运维精度，不同运维对应的全局参数不同。用户也可以选择自定义运维参数。此运维参数会下发到设备，设备按照此运维参数进行探测和选路，具体运维参数说明如下：

·     链路质量探测周期：SDWAN隧道的链路质量探测的周期。

·     接口流量采集周期：设备接口流量统计时间，单位为秒。

·     选路调整周期：为防止频繁选路，可指定RIR智能选路的调整周期，当链路质量或带宽不满要求时，需要延后此周期再进行选路单位为秒。

·     选路调整抑制周期：为防止选路后频繁回切，可指定RIR智能选路的调整抑制周期，上次选路完成后需要抑制此周期时间后在进行选路，单位为秒。

·     SDWAN隧道保活报文间隔：SDWAN隧道发送Keepalive请求报文的时间间隔。范围为1～32767，单位为秒，启用BFD探测隧道后Keepalive报文主要用于隧道建立。

·     SDWAN隧道包含报文允许重试次数：SDWAN隧道允许未收到Keepalive应答报文的最大连续次数。范围为1～255。

控制组件质量探测和流量采集配置：控制组件采集设备相关信息时间。

·     质量上报周期：设备上报链路质量周期，单位为秒。

·     实时流量上报周期：设备上报实时流量报文的时间间隔，单位为秒。

·     应用流量上报周期：设备上报应用流量报文的时间间隔，单位为秒。

全局BFD配置：控制组件对路由协议下发BFD配置，下发BFD配置的时间参数。

·     BFD检测时间倍数：BFD检测的时间倍数。

·     BFD接收报文最小时间间隔：BFD接受报文的最小时间间隔单位为毫秒。

·     BFD发送报文最小时间间隔：BFD发送报文的最小时间间隔单位为毫秒。

链路质量评估值：系统链路实际的延时、丢包率和抖动值，以及设置的相应权重计算出来的链路质量评估值，其值越大表示链路质量越好。

·     权重分配：可以设置链路的延时权重分配、丢包率权重分配和抖动权所占的权重。

·     阈值分配：可以分别配置延时、抖动、丢包率的优秀级别阈值、良好级别阈值、及格阈值，其中优秀级别阈值 < 良好级别阈值 < 及格级别阈值，小于及格阈值的为较差。

阈值的作用：用来计算链路质量评估值，具体计算方式参考如图4-9、图4-10、图4-11所示：

图4-9 延时评估值计算方式

 

图4-10 抖动评估值计算方式

 

图4-11 丢包评估值计算方式

 

计算链路质量的评估值，具体计算方式如图4-12所示。

图4-12 链路质量评估值

 

 

4.2.5  WebSocket模板

进入[向导>分支网络向导>设备上线规划>全局配置>WebSocket模板]页面，配置WebSocket模板。WebSocket模板主要用于生成U盘/URL开局的配置文件使用，如果不需要使用U盘/URL开局，此配置可以不进行修改。

支持通过IP地址或者域名组注册上线，配置基于域名注册上线时需要配置对应DNS Server，生成配置文件时会包含DNS Server配置和注册的域名。

默认全局模板的地址是北向虚IP地址，根据网络规划需要通过公网上线时，增加对应公网地址。本例中增加两个公网注册地址110.1.1.1和110.1.2.1，如图4-13所示，单击<确定>按钮保存配置。

图4-13 WebSocket模板配置

 

用户可以进入[自动化>分支网络>参数配置>模板配置>WebSocket模板]页面查询或者修改相关配置。

 

4.2.6  SNMP模板

进入[向导>分支网络向导>设备上线规划>全局配置>SNMP模板]页面可以配置SNMP模板。控制组件并不需要通过SNMP管理设备，如果网管或分析组件需要通过SNMP管理设备，控制组件也支持下发SNMP配置。单击<增加>按钮可增加SNMP模板，本例中选择使用的SNMP版本号“v2c”，只读团体字为“public”，写团体字为“private”，如图4-14所示。

图4-14 SNMP模板配置

 

配置完成后，可以在[自动化>分支网络>参数配置>模板配置>SNMP模板]页面查看或配置对应模板。

4.2.7  隧道BFD模板

进入[向导>分支网络向导>设备上线规划>全局配置>隧道BFD模板]页面或者[自动化>分支网络>参数配置>模板配置>隧道BFD模板]页面进行隧道BFD模板配置，单击<增加>按钮，添加隧道BFD模板，如图4-15所示。

图4-15 隧道BFD模板配置

 

关键参数说明：

·     模板名称：隧道BFD模板，SDWAN隧道下引用的BFD模板，用于Overlay链路（TTE连接）通断探测。

·     BFD检测时间倍数：探测的次数，方案建议配置为5次，可以根据现网需求进行调整；

·     BFD接收报文最小时间间隔/BFD发送报文最小时间间隔：探测时间间隔，方案建议配置为1000ms，可以根据现网需求进行调整。

·     BFD绑定开关：是否使用隧道BFD进行通断探测，方案要求启用隧道BFD探测。

单击<增加>按钮，添加协同隧道BFD模板，如图4-16所示。

图4-16 协同隧道BFD模板配置

 

关键参数说明：

·     模板名称：协同隧道BFD模板，站点双网关使用的扩展SDWAN隧道下引用的BFD模板，用于协同隧道的通断探测。

·     BFD检测时间倍数：探测的次数，方案建议配置为5次，可以根据现网需求进行调整；

·     BFD接收报文最小时间间隔/ BFD发送报文最小时间间隔：探测时间间隔，方案建议配置为1000ms，可以根据现网需求进行调整；

·     BFD绑定开关：是否要使用协同隧道BFD进行通断探测。站点双网关两台设备通过物理链路直连，方案不建议启用协同隧道BFD功能；两台设备通过三层网络连接或无法通过物理口Down感知对端故障时（例如使用VSR设备），方案建议启用协同隧道BFD探测。

 

完成全局配置后，单击<下一步>按钮进入WAN网络配置页面。

4.3  WAN网络配置

进入[向导>分支网络向导>设备上线规划>WAN网络配置]页面，根据实际组网需求增加WAN业务网络，本例中需要增加四种类型的WAN网络。

 

4.3.1  Internet网络类型WAN业务网络

1. 添加WAN业务网络

对于Internet网络或者网络中有防火墙进行了NAT变换，需要使用Internet类型的WAN网络。单击<增加>按钮，添加WAN业务网络，其中WAN网络名称为“Internet”，选择网络类型为“Internet”如图4-17所示。

图4-17 增加Internet网络类型WAN业务网络

 

关键参数说明：

·     网络路由域：指定网络路由域，不同WAN业务网络需要配置不同的路由域，不同租户WAN网络的路由域不能相同。同一路由域内可以建立Overlay链路（TTE连接）。见本例中网络路由域为200。

·     加密IPsec：可以选择是否IPsec加密，本例选择加密IPsec。

·     跨传输网：是否使能该网络跨传输网，使能后不同传输网络之间可以建立Overlay链路（TTE连接）,一般情况下需要开局此开关。

单击<确定>按钮完成添加。

2. 配置传输网络和业务平面列表

Internet类型的WAN业务网络添加完成后会自动进入传输网络和业务平面配置界面。如果返回后也可以单击按钮进入传输网络和业务平面配置页面。

(1)     添加传输网络

同一站点接入同一WAN网络（Internet类型）的不同接口需要属于不同的传输网络。当站点有多个接口接入同一个Internet网络时，需要配置多个传输网络。一般一个运营商配置一个传输网络，单击<增加>按钮添加新的传输网络，如图4-18所示。

图4-18 传输网络列表

 

关键参数说明：

¡     传输网络：默认存在Default，可以根据需要增加或者删除传输网络，同一站点的不同接入WAN口应属于不同传输网络，只支持英文

¡     传输网络别名：传输网络的别名，支持中文。

本例中为Internet网络配置两个传输网络，对应的别名是CT和CU。

 

(2)     业务平面说明

启用跨传输网建立隧道时，如果同一个WAN网络内部存在多个传输网，可能出现一对多的Overlay链路（TTE连接）。流量调度是选择本设备的出接口，如果一个接口到同一个目的设备建立了多个Overlay链路（TTE连接），那无法选择具体的Overlay链路（TTE连接），因此引入了业务平面的概念。通过业务平面可以对WAN接口进行切分，同一个WAN接口可以属于多个平面，只允许同一平面内的WAN口之间建立Overlay链路（TTE连接）。

 

流量调度中的优选策略支持基于接口（WAN网络和传输网）和业务平面配置优选，通过配置业务平面就可以对优先路径进行精确的控制。

(3)     二级组网业务平面规划

本例中Internet网络有两个传输网CT和CU，总部和分支分别有两个Internet出口，启用跨传输网建立隧道，总部和一个分支之间会建立4条Overlay链路（TTE连接）。为了区分这4条隧道，可以定义4个平面，使用“上级传输网络-下级传输网络”进行命名，4个 平面分别是：平面1（CT-CT），平面2（CT-CU）,平面3（CU-CT），平面4（CU-CU），平面划分如图4-19所示。这样后面调度策略中就可以通过配置路由域+传输网+业务平面的方式精确的选择对应的Overlay链路（TTE连接）。例如应用需要优选CT同运营商隧道，次选CU同运营商隧道，跨运营商隧道作为被备份隧道，优选策略为：平面1的CT>平面4的CU>平面2的CT>平面2的CU>平面3的CT>平面3的CU ，后面4个策略都为跨运营商隧道，作为备份隧道可以按需定义优先级。

图4-19 平面划分示意图

 

(4)     三级组网业务平面规划

对于三级组网中由于汇聚站点需要配置到总部站点和分支站点的选路策略，为了区分路径，建议将一二级站点间的平面和二三级站点间的平面区分开来。对比二级组网业务平面规划，针对二三级站点之间也需要再划分4个平面：平面5（2-CT-CT），平面6（2-CT-CU）,平面7（2-CU-CT），平面8（2-CU-CU）。

(5)     业务平面配置

参考三级组网业务平面划分完成业务平面列表的添加，如图4-20所示

图4-20 业务平面列表

 

关键参数说明：

¡     业务平面名称：定义的业务平面名称，后面优选策略中需要引用。

¡     业务平面编号：业务平面的编号，同一WAN网络下，不同业务平面需要使用不同的编号；

¡     UDP封装端口号：SDWAN隧道UDP封装的端口号，同一个WAN网络下，不同平面需要使用不同的UDP编号，建议配置范围为12288~12543的整数。如果中间有防火墙，需要放通或映射对应的端口，端口映射参考2.4  。

(6)     单击<返回>按钮可以返回WAN网络配置页面。

4.3.2  三层专线类型WAN业务网络

1. 添加WAN业务网络

单击<增加>按钮，添加WAN业务网络，其中WAN网络名称为“MPLS”，选择网络类型为“三层专线”，如图4-21所示，单击<确定>按钮保存配置。

图4-21 增加三层专线角色WAN业务网络

 

关键参数说明：

·     网络路由域：指定网络路由域，不同WAN业务网络需要配置不同的路由域，不同租户WAN网络的路由域不能相同。同一路由域内可以建立Overlay链路（TTE连接）。本例中网络路由域为300。

·     加密IPsec：可以选择是否IPsec加密，本例选择否。

·     跨传输网：是否使能该网络跨传输网，使能后不同传输网络之间可以建立Overlay链路（TTE连接），默认推荐开启。

单击<确定>按钮完成添加。

2. 配置传输网络和业务平面列表

三层类型的WAN业务网络添加完成后会自动进入传输网络和业务平面配置界面。如果返回后也可以单击按钮进入传输网络和业务平面配置页面。

(1)     添加传输网络

同一站点接入同一WAN网络的不同接口需要属于不同的传输网络。当站点有多个接口接入同一个三层WAN网络时，需要配置多个传输网络。本例中没有相关需求，因此不需要额外增加传输网络，传输网络列表如图4-22所示。

图4-22 传输网络列表

 

关键参数说明：

¡     传输网络：默认存在Default，可以根据需要增加或者删除其他传输网络，同一台设备的不同接入WAN口应属于不同传输网络，只支持英文

¡     传输网络别名：传输网络的别名，支持中文。

本例中没有相关需求，因此不需要额外增加传输网络。

 

(2)     业务平面说明

启用跨传输网建立隧道时，如果同一个WAN网络内部存在多个传输网，可能出现一对多的Overlay链路（TTE连接）。流量调度是选择本设备的出接口，如果一个接口到同一个目的设备建立了多个Overlay链路（TTE连接），那无法选择具体的Overlay链路（TTE连接），因此引入了业务平面的概念。通过业务平面可以对WAN接口进行切分，同一个WAN接口可以属于多个平面，只允许同一平面内的WAN口之间建立Overlay链路（TTE连接）。

 

 

流量调度中的优选策略支持基于接口（WAN网络和传输网）和业务平面配置优选，通过配置业务平面就可以对优先路径进行精确的控制，

(3)     二级组网业务平面规划

例如三层WAN网络有两个传输网tn1和tn2，总部和分支分别有两个接口加入三层WAN网络，启用跨传输网建立隧道，总部和一个分支之间会建立4条Overlay链路（TTE连接）。为了区分这4条隧道，可以定义4个平面，使用“上级传输网络-下级传输网络”进行命名，4个 平面分别是：平面1（tn1-tn1），平面2（tn1-tn2）,平面3（tn2-tn1），平面4（tn2-tn2），平面划分如图4-23所示。这样后面调度策略中就可以精确的选择对应的Overlay链路（TTE连接）。

图4-23 平面划分示意图

 

(4)     三级组网业务平面规划

对于三级组网中由于汇聚站点需要配置到总部站点和分支站点的选路策略，为了区分路径，建议将一二级站点间的平面和二三级站点间的平面区分开来。对比二级组网业务平面规划，针对二三级站点之间的隧道也需要再划分不同的平面。

(5)     业务平面配置

由于本例中一级和二级站点、二级和三级站点间不涉及划分多个平面，本例中使用三级组网，为了汇聚站点区分选路，划分两个平面：平面L1用于一级和二级站点间建立隧道，平面L2用于二级和三级站点间建立隧道，完成业务平面列表的添加，如图4-24所示。

图4-24 业务平面列表

 

关键参数说明：

¡     业务平面名称：定义的业务平面名称，后面优选策略中需要引用。

¡     业务平面编号：业务平面的编号，同一WAN网络下，不同业务平面需要使用不同的编号；

¡     UDP封装端口号：SDWAN隧道UDP封装的端口号，同一个WAN网络下，不同平面需要使用不同的UDP编号，建议配置范围为12288~12543的整数。

(6)     单击<返回>按钮可以返回WAN网络配置页面。

4.3.3  二层专线类型WAN业务网络

1. 添加WAN业务网络

两个站点间有多条二层专线时，需要使用多个WAN网络来区分；不同层级间的二层专线也需要使用多个WAN网络来区分。

本例中一二级之间有两条（两类）二层专线，二三级之间也有两条（两类）二层专线，因此需要增加四个二层专线的WAN业务网络，分别为MSTP1、 MSTP2、MSTP3和MSTP4。单击<增加>按钮，添加WAN业务网络。以增加MSTP1专线为例说明配置方式，其中WAN网络名称为“MSTP1”，选择网络类型为“二层专线”，如图4-25所示，单击<确定>按钮保存配置。

图4-25 增加二层专线角色WAN业务网络

 

关键参数说明：

·     网络路由域：指定网络路由域，同一租户内不同WAN业务网络需要配置不同的路由域。同一路由域内可以建立Overlay链路（TTE连接）。本例中MSTP1专线的网络路由域为401，MSTP2专线的网络路由域为402，MSTP3专线的网络路由域为403，MSTP4专线的网络路由域为404。

·     LoopBack口编号：总部站点/汇聚站点（使用同一个二层专线网络连接多个分支设备）必须使用LoopBack接口作为SDWAN隧道封装的源接口，指定下发的LoopBack接口编号。不同WAN网络需要指定不同的接口编号。MSTP1专线LoopBack接口编号为11，MSTP2专线LoopBack接口编号为12，MSTP3专线LoopBack接口编号为13，MSTP4专线LoopBack接口编号为14。

·     加密IPsec：可以选择是否IPsec加密，本例选择否。

单击<确定>按钮完成添加。

 

2. 配置业务平面列表

单击对应二层专线后面的按钮进入业务平面配置页面, 通过业务平面可以对WAN接口进行切分，同一个WAN接口可以属于多个平面，只允许同一平面内的WAN口之间建立Overlay链路（TTE连接）。

通过添加平面配置可以在特定组网下控制Overlay链路（TTE连接）的建立，本配置手册中不涉及。

4.3.4  VPDN类型WAN业务网络

1. 添加WAN业务网络

单击<增加>按钮，添加WAN业务网络，其中WAN网络名称为“VPDN”，选择网络类型为“VPDN”，如图4-26所示，单击<确定>按钮保存配置。

图4-26 增加VPND角色WAN业务网络

 

关键参数说明：

·     网络路由域：指定网络路由域，同一租户内不同WAN业务网络需要配置不同的路由域。同一路由域内可以建立Overlay链路（TTE连接）。本例中网络路由域为500。

·     加密IPsec：可以选择是否IPsec加密，本例选择开启。

·     WAN网络跨传输网开关：是否使能该网络跨传输网，使能后不同传输网络之间可以建立Overlay链路（TTE连接），本例中关闭此开关。

单击<确定>按钮完成添加。

2. 配置传输网络和业务平面列表

VPDN类型的WAN业务网络添加完成后会自动进入传输网络和业务平面配置界面。如果返回后也可以单击按钮进入传输网络和业务平面配置页面。

对于LNS设备支持多个接口使用同一个VT接口（运营商提供多条物理链路，使用同一个VT口进行认证和地址分配），控制器添加WAN详情时，不同的接口需要绑定不同的传输网络。

本例中不涉及此配置，单击<返回>按钮可以返回WAN网络配置页面。

4.4  站点和设备

如所示，进入[向导>分支网络向导>设备上线规划>站点和设备]页面，根据实际组网需求添加设备和站点，添加STUN Server。

图4-27 导入站点和设备

 

 

4.4.2  站点和设备

支持手动添加或通过Excel导入站点和设备。

1. 导入站点和设备

单击<下载模板>按钮，下载导入设备模板，根据组网模型和模板说明填写站点和设备。

图4-28 站点和设备模板

 

关键参数说明：

·     站点名称：长度为1-255的字符，且只支持英文字母、数字和小数点，全网不可重复。

·     站点角色：目前方案不支持使用NAT Transfer，不能配置NAT Transfer角色，目前支持配置的站点角色如下：

¡     RR：只用于路由反射器，VPN业务流量不通过此站点转发，本例中不涉及

¡     CPE：用户提供的网络边缘，VPN业务流量通过此站点转发，Branch3、Branch4和Branch5站点属于CPE角色；

¡     RR_CPE：路由反射器、用户提供的网络边缘，反射CPE路由的同时VPN流量也通过此站点转发，两个总部站点和Branch1、Branch2两个二级汇聚站点配置为此角色。

¡     使用POP：MSP场景下使用，企业自建场景不涉及。

·     WebSocket模板：设备对应的全局或局部WebSocket模板名称。不填写则使用全局模板。

·     snmp模板：需要下发SNMP配置时，需要指定此模板。

·     站点类别：选择路由器，如果是防火墙设备，需要选择防火墙。

·     互联端口号：站点双网关必填。本端与对端设备间同步链路数据的TCP连接的端口号，端口号不能与设备上其他服务使用的TCP端口号冲突，例如3001。

·     双网关重定向：仅适用于广域网加速场景。使用WAAS双网关重定向功能时，才需要选择是。如果选择是，互连接口必须是物理口(不包括物理子接口)，同时双网关重定向配置才会下发，默认为否。

·     NTP：方案要求必须配置NTP时间同步，选择“是”用户可以在导入设备时完成NTP相关配置。

·     NTP配置方式：支持U盘/邮件和WebSocket。选择“U盘/邮件”，生成开局文件时会包含NTP相关配置；选择 “WebSocket”，设备上线后通过WebSocket下发NTP配置。

·     设备名称：导入的设备名称，站点双网关组网时需要导入设备1和设备2的名称。

·     上线认证模式： 设备注册时控制组件需要对设备进行认证，支持三种认证模式：

¡     设备序列号：可以填入多个序列号，可以通过命令在设备上查询；

¡     软件序列号：软件层面定义的设备的唯一标识，可以手动在设备上配置或生成的U盘/URL配置中包含此配置。

¡     设备序列号和软件序列号：两个序列号同时认证，必须保证两个都认证成功后才能上线。

·     软件序列号：如果认模式包含软件序列号则必填，每个序列号最长32字符。软件序列号对应的手动配置方式可以参考4.8  手动开局。

·     设备序列号：如果认模式包含软件序列号则必填，可以填多个序列号，各序列号之间使用英文半角分号隔开即可。序列号需要增加主机序列号，对于堆叠设备需要查询两个机框的序列号并填入，可以通过如下命令进行查询（命令和款型相关，有可能差异）：

display license device-id (盒式设备)

display license device-id slot 1/2 （盒式设备堆叠）

display license device-id chassis 1/2 （框式设备堆叠）

例如，查询Hub设备的SN，将查询结果填写到Excel导入模板中。

<hub>dis license device-id slot 1

SN: 210235A1X5M168A00057

Device ID: pYw5-FWs7-H7PX-m6N@-iu@i-3Chd-3Squ-677n

<hub>dis license device-id slot 2

SN: 2102111111A129000001

Device ID: MAj3-VkTY-jr>D-hnx$-6m9j-wP%y-6PaF-PWw/

·     Router ID：全局Router ID配置，控制组件会自动下发。

·     管理IP地址：设备的管理IP地址，配置在管理Loopback口。开启管理口后可以配置。

·     System IP地址：设备的System IP地址，配置在对应的Loopback口。不填时使用全局地址池自动分配。System IP地址不能增加到Underlay路由中（包括静态路由和动态路由)，否则可能导致业务流量无法到达overlay网络。

·     互联接口名称：站点双网关必填，站点内各设备互连使用的接口名称。支持使用LoopBack接口，需要保证两个接口地址间三层可达。

·     互联接口地址：站点双网关互联接口地址。

·     是否安全开局：如果选择是，则设备上线后不会自动下发配置，必须手动确认开局后再进行业务部署。

·     NTP服务端IP及源接口：启用NTP服务后，可填写单个或多个NTP服务端IP及源接口，填写多个时使用英文半角分号隔开，NTP服务端IP和源接口用英文冒号隔开，源接口可不填。对于专线组网建议和控制组件同步时间。对于非专线组网，建议和站点接入的RR同步时间。

·     MDC Context：NTP配置方式选择U盘/URL时，由于设备没有上线，无法判断设备款型，无法确定生成的U盘开局文件/URL开局链接中是否需要包含MDC/Context参数，因此需要手动指定此参数。路由器SR66设备、防火墙F1000-AI-25及以上款型设备需要选择1。NTP配置方式选择WebSocket时，此参数不能配置，由控制器自动下发。

完成站点和设备导入。

 

2. 手动添加站点和设备

支持手动添加站点和设备，单击<增加站点>按钮可以添加站点，按照需求添加站点。如图4-29所示

图4-29 添加站点

 

相关参数参考1. 导入站点和设备。单击按钮可以添加设备，如图4-30所示

图4-30 添加设备

 

相关参数参考1. 导入站点和设备。

4.4.3  配置STUN（可选）

进入[向导>分支网络向导>设备上线规划>站点和设备>STUN]页面，单击<增加>按钮，配置STUN Server，如图4-31所示。组网中分支到总部的Internet链路存在动态NAT变换时（分支出口的NAT变换或运营商NAT变换），需要使用STUN，不存在此情况时，可跳过此步骤。

图4-31 增加STUN配置

 

选择一个RR设备作为STUN Server，当前方案只需要配置一个STUN Server。本例中选择Hub1-2作为STUN Server，IP地址配置成127.0.0.1。

关键参数说明如下：

·     设备名称：选择一台Hub设备，本例中选择Hub1-2；

·     IP地址：STUN服务器的IP地址，127.0.0.1，目前方案要求地址配置为127.0.0.1.

其他选项不需要添加，支持单击<确定>按钮保存配置。

4.5  设备LoopBack口地址

对于二层专线，总部需要使用LoopBack口地址作为SDWAN隧道封装的源地址。通过此页面可以导入对应的LoopBack口地址。

本例中有四条二层专线，两台总部设备，两台二级汇聚设备，导入对应的LoopBack口地址，导入模板如图4-32所示。

图4-32 LoopBack地址模板

 

关键参数说明如下：

·     WAN业务网络名称：二层专线名称；

·     接入站点名称：二层专线对应的总部站点名称；

·     接入设备名称：总部站点下对应的接入二层专线的设备名称；

·     接口IPv4地址：LoopBack接口对应的IPv4地址。

单击<增加>按钮也可以添加二层专线设备LoopBack口地址，如图4-33所示。

图4-33 添加LoopBack地址

 

4.6  WAN网络详情

进入[向导>分支网络向导>设备上线规划>WAN业务网络详情]页面，可以导入或者手动添加WAN网络详情。

 

4.6.1  导入WAN网络详情

1. 导入的WAN详情

单击<下载模板>按钮，根据组网模型和模板说明填写WAN网络详情参数。

图4-34 导入WAN网络详情说明

 

 

2. 导入Internet网络详情

导入Internet类型的WAN网络详情，关键配置如下：

·     业务网络名称：对应的Internet类型的业务网络名称，本例中为Internet。

·     接入站点名称/接入设备名称：接入的站点和对应的设备名称；

·     接入设备接口：接入WAN网络的接口名称（配置有IP地址的接口，如PPPoE拨号时需要配置Dialer口）。

·     接入传输网络：已创建的传输网络名称。两个互联网口分别接入CT和CU；

·     接入业务平面列表：根据组网规划设置接入的业务平面。

·     开局配置部署方式：

¡     U盘/邮件：生成U盘/邮件对应的开局配置，设备可以通过此WAN口注册上线。接口地址、接入方式、相关路由协议必须配置。一般分支零部署上线时使用。

¡     WebSocket：不生成U盘/邮件对应的开局配置，设备不通过此WAN口注册上线，等设备上线后，通过WebSocket下发对应的配置。接口地址、接入方式、相关路由协议需要配置。

¡     手工：手动完成接口地址和路由协议相关配置，一般总部设备（非零部署上线）使用此方式。

·     协议栈类型：支持IPv4协议栈和IPv6协议栈，本例中使用IPv4协议栈；

·     STUN Server：没有固定公网地址或者无法映射到公网地址的分支需要配置，本例中为： 127.0.0.1。

·     固定公网IP：如果前面有防火墙将接口的私网地址映射为公网地址，填写对应的公网地址。本例中HQ1站点设备需要添加对应的固定公网地址。

¡     上/下行带宽（kbps）：设备到网络/网络到设备的链路可分配带宽，分支方案需要基于带宽进行调度，上/下行带宽配置必须进行指定。

¡     MTU：接口存在缺省值，一般情况下不建议修改，此项不建议填写。

¡     TCP MSS：WAN接口一般不建议添加TCP MSS配置，此项不建议填写。

·     联网方式：WAN接口接入网络的方式，WAN详情的开局方式为手工时不需要配置该项。取值包括：

¡     DHCP：通过DHCP服务器自动分配IP地址接入网络。

¡     PPPoE：通过拨号上网的方式接入网络。

¡     静态IP地址：通过固定IP地址的方式接入网络。

¡     4G/5G：通过4G/5G上网的方式接入网络。

¡     静态IP地址/密码：联网方式为静态IP地址，并且使用非手工开局时需要填写。

¡     VLAN ID：接入的接口为子接口是需要填写终结的VLAN ID。

¡     PPPoE对应配置：使能PPPoE Client的物理接口，认证使用的用户名和密码。

·     4G/5G对应配置：使用4G/5G拨号上网对应的配置。

¡     静态路由目的IPv4地址/掩码：如果要下发静态路由，需要填写对应的地址和掩码。

¡     IPv4网关地址：使用静态IP地址时，需要添加网关地址。

·     动态路由协议：支持OSPF、BGP、RIP协议，动态路由协议对应的配置。

Internet类型的WAN网络详情填写完毕。

 

3. 导入二层专线网络详情

导入二层专线类型的WAN网络详情，关键配置如下：

·     业务网络名称：对应二层专线类型的业务网络名称，本例中为MSTP1、MSTP2、MSTP3和MSTP4。

·     A/B端接入站点名称/接入设备名称：接入的站点和对应的设备名称；

·     A/B端接入设备接口：互联的物理接口名称。

·     A/B端开局配置部署方式：

¡     U盘/邮件：生成U盘/邮件对应的开局配置，设备可以通过此WAN口注册上线。接口地址、接入方式、相关路由协议必须配置。一般分支零部署上线时使用。

¡     WebSocket：不生成U盘/邮件对应的开局配置，设备不通过此WAN口注册上线，等设备上线后，通过WebSocket下发对应的配置。接口地址、接入方式、相关路由协议需要配置。

¡     手工：手动完成接口地址和路由协议相关配置，一般总部设备（非零部署上线）使用此方式。

·     A/B端协议栈类型：支持IPv4协议栈和IPv6协议栈，本例中使用IPv4协议栈；

·     A/B端联网方式：二层专线只支持静态IP地址。

·     A/B端静态IP地址/密码：联网方式为静态IP地址，并且使用非手工开局时需要填写，手工开局不需要配置

·     路由协议配置：互联对应的路由协议配置，手工开局不需要配置。

·     上/下行带宽（kbps）：设备到网络/网络到设备的链路可分配带宽，分支方案需要基于带宽进行调度，上/下行带宽配置必须进行指定。

·     MTU：接口存在缺省值，一般情况下不建议修改，此项不建议填写。

·     TCP MSS：WAN接口一般不建议添加TCP MSS配置，此项不建议填写。

二层专线类型的WAN网络详情填写完毕。

 

4. 导入三层专线网络详情

导入三层专线类型的WAN网络详情，关键配置如下：

·     业务网络名称：对应三层专线类型的业务网络名称，本例中为MPLS。

·     接入站点名称/接入设备名称：接入的站点和对应的设备名称；

·     接入设备接口：接入WAN网络的接口名称。

·     接入传输网络：已创建的传输网络名称，本例使用Default；

·     接入业务平面列表：按照平面规划添加对应的业务平面。

·     开局配置部署方式：

¡     U盘/邮件：生成U盘/邮件对应的开局配置，设备可以通过此WAN口注册上线。接口地址、接入方式、相关路由协议必须配置。一般分支零部署上线时使用。

¡     WebSocket：不生成U盘/邮件对应的开局配置，设备不通过此WAN口注册上线，等设备上线后，通过WebSocket下发对应的配置。接口地址、接入方式、相关路由协议需要配置。

¡     手工：手动完成接口地址和路由协议相关配置，一般总部设备（非零部署上线）使用此方式。

·     协议栈类型：支持IPv4协议栈和IPv6协议栈，本例中使用IPv4协议栈；

·     联网方式：只支持静态IP地址；

·     静态IP地址/密码：联网方式为静态IP地址，并且使用非手工开局时需要填写。

·     路由协议配置：互联对应的路由协议配置，手工开局不需要配置。

·     上/下行带宽（kbps）：设备到网络/网络到设备的链路可分配带宽，分支方案需要基于带宽进行调度，上/下行带宽配置必须进行指定。

·     MTU：接口存在缺省值，一般情况下不建议修改，此项不建议填写。

·     TCP MSS：WAN接口一般不建议添加TCP MSS配置，此项不建议填写。

三层专线类型的WAN网络详情填写完毕。

 

5. 导入VPN网络详情

Hub和LNS合一组网，Hub设备在导入WAN详情时需要指定虚拟模板接口，用户可以手动添加也可以通过控制器部署下发，控制器配置方式参考。导入VPDN类型的WAN网络详情，关键配置如下：

·     业务网络名称：对应的VPDN类型的业务网络名称，本例中为VPDN。

·     接入站点名称/接入设备名称：接入的站点和对应的设备名称；

·     接入设备接口：接入WAN网络的接口名称（配置有IP地址的接口，如VPDN拨号时需要配置Eth-channel口）。

·     接入传输网络：本例中使用默认的Default；

·     接入业务平面列表：根据组网规划设置接入的业务平面，本例中无平面。

开局配置部署方式：

¡     U盘/邮件：生成U盘/邮件对应的开局配置，设备可以通过此WAN口注册上线。接口地址、接入方式、相关路由协议必须配置。一般分支零部署上线时使用。

¡     WebSocket：不生成U盘/邮件对应的开局配置，设备不通过此WAN口注册上线，等设备上线后，通过WebSocket下发对应的配置。接口地址、接入方式、相关路由协议需要配置。

¡     手工：手动完成接口地址和路由协议相关配置，一般总部设备（非零部署上线）使用此方式。

·     协议栈类型：支持IPv4协议栈和IPv6协议栈，本例中使用IPv4协议栈；

·     上/下行带宽（kbps）：设备到网络/网络到设备的链路可分配带宽，分支方案需要基于带宽进行调度，上/下行带宽配置必须进行指定。

·     MTU：接口存在缺省值，一般情况下不建议修改，此项不建议填写。

·     TCP MSS：WAN接口一般不建议添加TCP MSS配置，此项不建议填写。

·     虚拟模板接口：HUB LNS合一场景，LNS设备需要指定虚拟模板接口，只支持Virtual-Template接口。

·     联网方式：

¡     静态IP地址：通过固定IP地址的方式接入网络，一般为LNS设备。

¡     VPDN拨号：通过VPDN拨号上网的方式接入网络，分支使用VPDN拨号接入。

·     静态IP地址/密码：联网方式为静态IP地址，并且使用非手工开局时需要填写。

·     VLAN ID：接入的接口为子接口是需要填写终结的VLAN ID。

·     VPDN拨号认证方式：接入运营商网络的认证方式，例如PAP、CHAP、PAP-CHAP，本例中采用CHAP。

·     认证用户名密码：接入运营商网络的认证用户名和密码。其中用户名使用username@dmain的方式，domain由运营商提供，username自定义用于LNS设备认证使用。

·     VPDN接口名称：需要填写使能VPDN业务的Cellular接口名称

·     VPDN拨号串：需要填写运营商提供的拨号串，例如一般移动/联通配置“*99#”，电信配置“#777”

·     接入点类型：联网方式配置为VPDN拨号时需要选择接入点类型。动态接入点，接入点名称在拨号协商时由运营商分配。静态接入点，需要填写运营商提供的接入点名称。WAN详情的开局方式为手工时不需要配置该项。

·     接入点名称：指定由运营商提供的接入点名称，是否大小写敏感和运营商有关。WAN详情的开局方式为手工时不需要配置该项。

·     静态路由目的IPv4地址/掩码：如果要下发静态路由，需要填写对应的地址和掩码。

VPN类型的WAN网络详情填写完毕。

 

4.6.2  手动添加WAN网络详情

单击<增加>按钮可以手动添加WAN网络详情，如图4-35所示。具体配置参数可以参考4.6.1  导入WAN网络详情。

图4-35 添加WAN网络详情

 

4.7  U盘/邮件开局

进入[向导>分支网络向导>设备上线规划>U盘/邮件开局]页面或者[自动化>分支网络>物理网络>站点配置>U盘/邮件开局]，显示了支持自动化开局的设备，即导入站点时NTP部署方式选择了U盘/邮件或添加WAN详情时选择了U盘/邮件开局的设备，如图4-36所示。U盘开局文件和URL开局链接可以从页面下载到本地，也可以直接通过邮件发送给一线工程师，如果通过邮件发送，需要先完成邮件服务器配置，参考3.2  配置邮件服务器（可选）。

图4-36 U盘/邮件开局

 

4.7.2  邮件开局

1. 获取自动化开局URL

(1)     选择需要自动化开局的设备（以Spoke4-1设备为例），单击操作列中的 按钮，进入开局配置页面。开局方式选择“URL开局”，填写必要参数，如图4-37所示，单击<确定>按钮保存配置。

图4-37 URL开局

 

关键参数说明：

¡     初始IP地址：设备初始上电后接口默认地址，用于设备接收开局URL，一般默认地址192.168.0.1。

¡     收件箱地址：接收开局URL的邮箱地址。

¡     密钥：URL开局支持加密，当不配置密钥时，不对开局使用的URL进行加密；当配置密钥时，使用对应的密钥进行加密。本例中配置密钥为“Pwd@12345”。

¡     以太网接口工作模式：可选择默认模式或三层模式。本例中使用缺省的三层模式，自动将以太类型的WAN口切换成三层模式。对于VSR设备，接口不支持使用三层模式，需要使用默认模式。

¡     配置命令：URL开局支持下发自定义配置命令，可以手动添加配置命令。如果需要远程登录设备进行调试，可以在URL开局文件中添加远程登录相关配置，具体配置方式请参考路由器相关操作手册。

 

(2)     获取开局URL文件，目前支持以下两种方式：

单击设备对应操作列中的 按钮，可以显示待发送的邮件，如图4-38所示，链接信息为加密后的信息，用户可以修改发送的邮件正文。单击<确认>按钮完成邮件发送，发送成功后，发送状态变为已发送。

图4-38 发送邮件

 

单击设备对应操作列中的按钮，可以下载开局使用的URL链接（HTML文件）如图4-39所示，配置文件名称默认为“设备SystemIP.html”。用户也可以勾选多个设备，批量下载URL开局配置文件，文件名称为“URL_时间戳.zip”，解压后为多个“设备SystemIP.html”。

图4-39 下载URL配置文件

 

2. 使用邮件链接开局

用户可以通过邮件或者下载方式获取URL开局链接，使用此链接可以完成开局。

具体配置过程如下：

保证开局使用的电脑和设备网络可达，使用电脑和设备第一个网口通过网线直连，电脑配置和设备同网段的地址（例如：192.168.0.100）。

(1)     使用电脑单击开局的URL链接或者双击URL开局文件进行开局。

(2)     如果设置了URL加密，因此会提示输入密钥，如图4-40所示，输入对应的密钥。如果没有配置密钥，则会跳过此步骤。

图4-40 输入密钥

 

(3)     输入设备默认的用户名和密码（admin/admin）完成认证，如图4-41所示，完成开局认证登录。

图4-41 URL开局认证登录

 

(4)     进入开局页面，单击<查看待下发配置>按钮可查看需要下发的配置，如图4-42所示。单击<下发开局配置>按钮可以进行配置下发，等待一段时间后，会显示最终WebSocket注册结果，如图4-43所示。

图4-42 查看下发配置

 

图4-43 URL开局完成

 

设备通过邮件开局完成后，等待一段时间，进入[自动化>分支网络>物理网络>设备>设备管理]页面，可以看到设备上线成功，如图4-44所示。

图4-44 URL开局设备上线

 

4.7.3  U盘开局

1. 配置U盘开局

(1)     选择需要自动化开局的设备（以Spoke4-2设备为例），单击操作列中的按钮，开局方式选择“U盘开局”，填写必要参数，如图4-45所示，单击<确定>按钮保存配置。

图4-45 U盘开局

 

关键参数说明：

¡     收件箱地址：可以配置邮箱地址由于接收U盘开局配置文件。

¡     预先配置命令：在设备上优先生效的手动配置命令，各条命令行之间以回车分隔，例如聚合口相关配置命令。

¡     配置命令：在设备上最后生效的手动配置命令，各条命令行之间以回车分隔，例如认证相关配置。如果需要远程登录设备进行调试，可以在URL开局文件中添加远程登录相关配置，具体配置方式请参考路由器相关操作手册。

¡     以太网接口工作模式：使用缺省的三层模式，自动将以太类型的WAN口切换成三层模式。对于VSR设备，接口不支持使用三层模式，需要使用默认模式。

 

(2)     获取U盘开局文件

单击设备对应操作列中的按钮，可以下载U盘开局文件，如图4-46所示，下载的开局配置文件：

¡     设备上线认证模式包含设备序列号：当只有一个设备序列号时下载的文件名称为“设备序列号.cfg”，可直接导入U盘供设备识别；当存在多个设备序列号时下载文件名称为“设备SystemIP_时间戳.zip”，解压后为多个“设备序列号.cfg”，可解压后导入U盘供设备识别。

¡     设备上线认证模式不包含设备序列号：下载文件名称为“设备SystemIP.cfg”，使用前必须修改为“autodeploy.cfg”，否则设备将无法识别。

选择多个设备批量下载开局文件：

¡     设备上线认证模式包含设备序列号：下载文件名称为“SN_时间戳.zip”，解压后为多个“设备序列号.cfg”，可直接导入U盘供设备识别。

¡     设备上线认证模式不包含设备序列号：下载文件名称为“SYSTEM_IP_时间戳.zip”，解压后为多个“设备SystemIP.cfg”，请使用前请修改为“autodeploy.cfg”，再导入U盘供设备识别。

配置文件如图4-47所示。

图4-46 U盘文件下载

 

图4-47 U盘开局配置文件

 

单击设备对应操作列中的按钮，可以发送U盘开局文件，如图4-48所示。

图4-48 发送U盘开局文件

 

2. 使用U盘配置文件开局

(1)     将U盘开局文件拷贝到U盘根目录下，将U盘插到设备上后重启设备，设备将自动使用开局配置文件启动。当设备上线认证模式包含设备序列号时，使用SN作为设备开局文件名，设备可以根据SN自动选择对应的开局文件，因此可以将多个设备的开局文件放在一个U盘中，使用同一个U盘为多个设备进行开局。

 

(2)     设备通过U盘开局完成后，等待一段时间，进入[自动化>分支网络>物理网络>设备>设备管理]页面，可以看到设备上线成功，如图4-49所示。

图4-49 U盘开局设备上线

 

4.8  手动开局

4.8.1  路由器手动开局配置

用户可以选择手动开局。手动完成设备接口和路由相关配置，保证设备和控制组件之间可以互相访问。

设备通过WebSocket进行注册，设备主动向控制组件统一北向地址发送WebSocket注册请求。

(1)     使用设备序列号认证，以Hub1-1为例，需要手动添加的注册相关配置：

#

dns proxy enable

#

cloud-management backup-server domain 110.1.2.1

cloud-management backup-server domain 110.1.1.1

cloud-management server domain 192.168.40.155

cloud-management keepalive 60

#

(2)     用软件序列号认证，以Spoke3为例，需要手动添加的注册相关配置：

#

dns proxy enable

#

cloud-management backup-server domain 110.1.2.1

cloud-management backup-server domain 110.1.1.1

cloud-management server domain 192.168.40.155

cloud-management token simple ADC234SCWW2     //配置认证用的序列号

cloud-management keepalive 60

#

(3)     如果网络中有访问限制，设备只能通过特定的源地址访问控制组件，可以在配置websocket注册的时候指定源地址，相关配置举例：

[Hub1-1]cloud-management server domain 192.168.40.155 source 30.1.1.1

如果需要远程登录设备进行调试，也可以添加远程登录相关配置，具体配置方式请参考产品相关操作手册。

4.8.2  防火墙手动开局配置

防火墙设备手动开局除了添加对应Websocket注册配置外，还需要手动添加安全策略保证设备和控制组件之间的通信以及基础SDWAN业务互通。放通安全策略如下：

(1)     指定注册的控制器地址，放通设备到控制器的访问。

(2)     放通WAN口和Local区域的互访，保证SDWAN基础业务（TLS、TTE建立）互通。

以Spoke3为例，需要手动添加的注册相关配置：：

#

security-zone name AdwanUntrustPublic

 import interface GigabitEthernet0/1.1         ///WAN口加入安全域

 import interface GigabitEthernet0/1.2

 import interface GigabitEthernet0/2

 import ip 192.168.40.155 32                  //注册地址Websocket注册地址，统一北向地址或公网映射地址

#

security-policy ip

rule 61001 name sdwan-out                   //出方向策略：允许设备注册以及通过WAN口主动发起的SDWAN请求

action pass

counting enable

source-zone Local

destination-zone AdwanUntrustPublic

rule 61002 name sdwan-in                    //入方向策略：允许通过WAN口接收的SDWAN请求

action pass

counting enable

source-zone AdwanUntrustPublic

destination-zone Local

#

等待一段时间后，设备注册上线，

如果需要远程登录设备进行调试，也可以添加远程登录相关配置，具体配置方式请参考产品相关操作手册。

4.9  安全开局

添加或导入设备时，如果选择了安全开局，设备注册上线后并不会下发任何配置。进入[自动化>分支网络>物理网络>设备>设备管理]页面，查看启用安全开局的设备管理状态为“待确认开局”。

如果管理员确认可以进行开局，需要选择设备后单击<确认开局>按钮，如图4-50所示。确认开局后控制组件可以正常对设备下发配置，完成相关业务部署。

图4-50 确认开局

 

4.10  部署状态查询和维护

4.10.1  站点部署状态查询

进入[自动化>分支网络>物理网络>站点管理]页面可以查询到站点部署状态。如果有站点部署异常需要单击<重试>按钮重新尝试部署下发，如图4-51所示。

图4-51 站点管理

 

4.10.2  WAN网络详情部署状态查询

进入[自动化>分支网络>物理网络>站点配置>WAN链路]页面，在WAN业务网络详情区域可以查看WAN业务网络配置状态。如果配置状态非正常，可以单击状态查看原因，如图4-52所示。根据失败原因进行排查修复后，单击<重试>按钮重新下发。

图4-52 WAN业务配置状态查询

 

4.10.3  Underlay链路查询和维护

进入[自动化>分支网络>物理网络>物理链路>物理链路]页面可以查询Underlay链路信息，如图4-53所示。

图4-53 链路管理

 

单击后面的按钮可以修改链路名称和上线行带宽，如图4-54所示。

图4-54 修改可分配带宽和名称

 

4.10.4  隧道部署状态查询和维护

进入[自动化>分支网络>物理网络>隧道管理>SDWAN隧道]页面可以查询到隧道列表，如图4-55所示。

图4-55 隧道列表

 

单击后面的按钮可以修改上行带宽，如图4-56所示。

图4-56 修改带宽

 

进入[自动化>分支网络>物理网络>隧道管理>协同隧道]页面可以查询到协同隧道部署状态。如果有协同隧道部署异常需要单击<重试>按钮重新尝试部署下发，如图4-57所示。

图4-57 协同隧道列表

 

4.11  VPDN虚拟模板接口和L2TP组配置

VPDN网络Hub和LNS合一组网，Hub设备需要配置虚拟模板接口和L2TP组，可以通过控制器完成对应业务的部署下发。

4.11.1   虚拟模板接口

使用租户业务管理员（sdwan）登录统一数字底盘，进入[自动化>分支网络>物理网络>设备配置>虚拟模板接口]页面，单击<增加>按钮添加新的虚拟模板接口，如图4-58所示。

图4-58 增加虚拟模板接口

 

关键参数说明如下：

·     接口编号：对应Virtual-Template的编号。

·     IPv4地址/掩码：VT口的地址。

·     认证对端方式：本地认证对端的认证方式，取值为PAP、CHAP和PAP-CHAP。

对应如下设备命令的加粗部分：

ppp authentication-mode pap domain test。

·     ISP域：用户认证采用的ISP域名称；

·     PPP计费：默认开启即可，对应如下设备命令：ppp account-statistics enable。

·     上/下行带宽（kbps）：设备到网络/网络到设备的链路可分配带宽，分支方案需要基于带宽进行调度，上/下行带宽配置必须进行指定。

·     MTU：接口存在缺省值，一般情况下不建议修改，此项不建议填写。

·     TCP MSS：WAN接口一般不建议添加TCP MSS配置，此项不建议填写。

4.11.2  L2TP组

L2TP组用于配置L2TP的相关参数, 使用租户业务管理员（sdwan）登录统一数字底盘，进入[自动化>分支网络>物理网络>设备配置>L2TP组]页面，单击<增加>按钮可以手动增加L2TP组，如图4-59所示。

图4-59 增加L2TP组

 

关键参数说明如下：

·     L2TP组编号：对应L2TP组的编号，编号1的L2TP组为缺省L2TP组，可以接受任何名称的隧道对端的建立请求，不需要指定对端隧道名称；其他编号的L2TP组必须指定对端隧道名称。

·     虚拟模板接口：指定建立L2TP隧道时使用的虚拟模板接口。

·     对端隧道名称：非编号为1的L2TP组需要指定对端隧道名称。

·     隧道验证密钥：配置隧道验证密钥。

4.11.3  手工配置补充

目前控制器无法下发全部的VPDN相关配置，需要用户手工补充地址池和ISP相关配置。

1. 地址池配置

分支使用VPDN拨号，LNS设备需要为分支分配地址。在LNS设备上配置本地地址池为分支分配地址：

[Hub2]ip pool aaa 10.100.100.100 10.100.100.200

[Hub2]ip pool aaa gateway 10.100.100.1

[Hub2]interface Virtual-Template 1

[Hub2-Virtual-Template1]remote address pool aaa

如果有其它地址分配需求，请参考设备相关配置手册。

2. ISP配置

通过ISP配置用户的认证和授权，支持本地认证或Radius认证。

【本地认证配置举例】

[Hub2]domain system                            //VT中指定的ISP名称

[Hub2-isp-system]authentication ppp local     //配置本地认证

[Hub2]local-user vpdnuser class network       //本地认证的用户名和密码，服务类型

[Hub2-luser-network-vpdnuser] password simple abc123

[Hub2-luser-network-vpdnuser] service-type ppp

【Radius认证配置举例】

[Hub2]domain system                     //VT中指定的ISP名称

[Hub2-isp-system]authentication ppp radius-scheme radius   //使用Radius进行认证、授权和计费，指定Radius模板

[Hub2-isp-system]authorization ppp radius-scheme radius

[Hub2-isp-system] accounting ppp radius-scheme radius

[Hub2] radius scheme radius                         //创建Radius模板

[Hub2-radius-test]primary authentication 10.1.1.1    //和Radius服务器对接配置

[Hub2-radius-test]primary accounting 10.1.1.1

[Hub2-radius-test]key authentication simple expert

[Hub2-radius-test] key accounting simple expert

[Hub2-radius-test]user-name-format with-domain

4.12  NTP配置

全网设备都需要配置NTP时间同步，对于专线组网，建议直接和控制组件同步时间。对于非专线组网，RR设备（和控制器部署在同一内部网络）和控制器同步时间，其它设备建议和RR设备同步时间。

NTP有两种配置方式：

·     U盘/URL开局部署：通过控制组件生成包括NTP配置的零部署配置文件，设备通过零配置部署上线后自动加载NTP配置，具体配置参考：4.4.2  站点和设备。

·     WebSocket部署下发：设备注册上线后，控制组件可以通过WebSocket下发NTP配置。

用户可以通过在导入站点时完成NTP配置，配置步骤参考4.4.2  站点和设备，也可以导入站点后在页面完成NTP相关配置，本节介绍通过页面完成NTP配置。使用租户业务管理员（sdwan）登录统一数字底盘，进入[自动化>分支网络>物理网络>站点配置>NTP配置]页面，展示了所有已经添加的站点，单击站点前面的按钮可以显示站点内NTP配置的详情如图4-60所示。用户可以手动编辑或者导入NTP配置。

图4-60 NTP配置

 

4.12.2  手动编辑NTP配置

选择一个站点配置或者修改NTP服务，例如配置站点Branch4的NTP服务，单击对应站点后的按钮配置NTP服务，可以查询到当前的NTP配置信息及状态，如图4-61所示。单击<增加>按钮可以添加NTP服务端IP及源接口，单击按钮可以删除对应的记录。

图4-61 配置NTP服务

 

关键配置说明：

·     NTP：开启和关闭，开启后设备可以通过NTP服务同步时间，同时本机也可以作为NTP Server。关闭NTP时，NTP服务端IP及源接口列表必须为空。

·     配置方式：支持U盘/邮件和WebSocket，只有关闭NTP服务后才能修改配置方式。

·     设备名称：站点绑定的设备名称；

·     服务端IP：NTP 服务端IP地址。如果和控制器同步时间，则配置为控制器统一北向地址；如果和RR同步时间，则配置为 RR设备的System IP。

·     源接口：NTP同步的源接口，如果和控制器同步时间，不需要指定源接口；如果和RR同步时间，则指定源接口为System IP对应的Loopback接口。

·     MDC Context：当配置方式为U盘/邮件时对于特定设备需要配置。配置方式为WebSocket时不会显示此配置。

 

4.12.3  批量导入NTP配置

单击<导入>按钮进入NTP批量导入页面如图4-62所示。用户可通过下载相应的模板文件，对文件进行编辑后再上传以实现批量NTP配置功能。只能导入NTP服务为关闭的站点的NTP配置，关闭NTP服务的方式参考4.12.2  手动编辑NTP配置。

图4-62 批量导入

 

下载NTP服务模板，编辑模板后重新导入，NTP模板如所示。

图4-63 NTP模板

 

关键配置说明：

·     站点：导入NTP服务的站点名称；

·     NTP：是否启用NTP服务；

·     配置方式：支持U盘/邮件或WebSocket。

·     设备名称：站点绑定的设备名称；

·     NTP服务端IP及源接口：设备的NTP服务端IP及源接口。

·     MDC Context：当配置方式为U盘/邮件时对于特定设备需要配置。

 

4.12.4  NTP状态查询

NTP服务下发完成，设备上可以查看到对应NTP服务的配置：

#

clock protocol ntp

ntp-service enable

ntp-service unicast-server 192.168.40.155

#

如果和RR设备的System IP进行NTP同步，需要等分支网络规划完成隧道建立成功后，设备可以完成NTP时间同步完成，查询NTP同步状态：

<Spoke4-1> display ntp-service sessions

       source          reference       stra reach poll  now offset  delay disper

********************************************************************************

[12345]192.168.40.155  127.127.1.1       10   255   64   10 0.9872 0.5035 4.3335

Notes: 1 source(master), 2 source(peer), 3 selected, 4 candidate, 5 configured.

 Total sessions: 1

<Spoke4-1>

4.13  RBM配置

站点双网关组网如果需要使用DPI功能，需要添加RBM配置。使用租户业务管理员（sdwan）登录统一数字底盘，进入[自动化>分支网络>物理网络>站点配置>RBM配置]页面，单击<增加>按钮，添加RBM配置，如图4-64所示。

图4-64 添加RBM

 

关键配置说明：

·     站点名称：选择已存在的站点名称；

·     主设备名称：选择双网关站点其中一台设备名称；

·     复用互连接口：复用互连接口开启时，数据通道接口、主设备本端地址和主设备对端地址分别使用互连接口以及地址。当前仅支持开启。

·     数据通道接口：复用站点互连接口，只支持物理口。

·     流量回切延迟时间：流量回切的延迟时间，取值范围为1～1440，单位为分钟，根据用户需求配置。

·     协议类型：选择IPv4或IPv6。

·     主设备本端地址/主设备对端地址：自动使用互联接口地址。

单击<确定>按钮完成相关配置，配置完成后如图4-65所示，部署状态为部署成功。

图4-65 RBM配置

 

单击<导入RBM配置>按钮，可以通过Excel导入RBM相关配置，相关配置可以参考模板说明，如图4-66所示。

图4-66 模板说明