概要
ciscoが提供するsandboxでSD-ACCESSを勉強しています。
動画などで見るとスムーズに設定しているのですが、意外と検証できるまでの初期設定が難しいです。
エラーになったところを備忘として記録します。メモ書きなので、これを見ればわかる！とは言えませんが、同じところで悩んでいる方の参考になれば嬉しいです。
この記事はファブリックを設定して、各ノードにEdgeとかControl plane nodeとかの役割を割り当てるまでです。
間違えていたら教えてほしい..
環境はこちらを使用しました。
無料でSD-AccessやSD-WAN環境が試せます。
cisco sandbox
Catalyst Center Sandbox
Cisco DNA Center Release 2.3.7.4 with ISE
構成
sandboxの構成を少しシンプルに変更
sw2を削除、外部接続用としてR1を追加
手順
１．ISEと紐づけ
２．サイトの作成
３．ネットワークの設定
３－１．AAAサーバとしてISEを設定
３－２．IP address pool登録
４．デバイスの設定
４－１．デバイスをサイトに登録
４－２．デバイスのプロビジョニング
５．ファブリックの設定
５－１．ファブリックの作成
５－２．各nodeにRoleの割り当て
--ここまで--
６．Layer3 Virtual Networks/Anycast Gatewayの作成
７．Edgeのportを有効化
８．L3 Handoff
太字はGUIで選択するところ
sandboxのスクショ載せていいかわからないので、画像は少なめです
１．ISEと紐づけ
System > Settings > External Services - Authentication and Policy Servers
Actions - Edit > Advanced Settings pxGridを有効化
・sandboxではすでにISEが登録されているけれど、PxGridを有効にする必要がある
・UsernameとPasswordはISEのもの
・[Add]で登録後、Integrationが開始される
・Integrationの最後 Connection to pxGrid.. で×になる場合は、[Retry]すればだいたい完了する タイミングによる？
・登録する情報はISEの Administration > System > Deploymentから確認できる
PxGridとは
Cisco Platform Exchange Grid
platform integrations:統合プラットホーム
ISEで管理しているユーザ情報(SGT)をCatalyst centerと連携するために必要？
２．サイトの作成
Design > Network Hierarchy
・buildingを追加する場合、Lattitude/Longitude(緯度/経度)を指定する必要がある
・検証の場合は適当に1とかで登録可能
３．ネットワークの設定
３－１．AAAサーバとしてISEを設定
Design > Network Settings > Servers
Client/Endpoint - Add AAA servers
・Globalで設定
・ISEの紐づけが完了していれば、PANが選択できるようになる
PANとは
・Policy Administration Node (PAN): 管理ノードのこと
・ISEは複数ノードでそれぞれのペルソナ(役割り？)を分散でき、PANもそのひとつ
・管理ノードとなるPANは必ず指定する必要がある
・ペルソナはPANの他にもPSN(Policy Services Node)とか
・sandboxの場合はひとつのISE(=スタンドアローン)で、PANもPSNもおなじISE
ペルソナとは 他、ISEの用語
３－２．IP address pool登録
Design > Network Settings > IP Address Pools
今回の設定
| Name | Type | IPv4 Subnet |
|---|---|---|
| GLOBAL | Generic | 10.0.0.0/8 |
| EMPLOYEE | Generic | 10.0.1.0/24 |
| GUEST | Generic | 10.0.2.0/24 |
・GLOBALはおおまかなアドレス、VN(ここではEMPLOYEE/GUEST)ごとに払い出す範囲を指定する
・GLOBALはAddで追加、VNは使用したい範囲(今回はFloor)を指定してReserve
・LAN Automationの場合はTypeをLANに設定する必要がありそう(←まだ上手くできたことない)
４．デバイスの設定
４－１．デバイスをサイトに登録
Provision > Inventory
デバイスを選択
Action > Provision > Assign Device to Site
・ファブリックを作成したいサイトを指定
・３－２．でpoolを作成したサイト
４－２．デバイスのプロビジョニング
Provision > Inventory
Action > Provision > Provision Device
・②Advanced ConfigurationでL0 IPアドレスを指定する
・sandbox環境ではSW1のみすでに設定されている
・SW3/SW4は適当に指定
今回の設定
| sw | Loopback0 アドレス |
|---|---|
| sw1 | 10.1.1.1 |
| sw3 | 10.3.3.3 |
| sw4 | 10.4.4.4 |
・このプロビジョンを実行しないとfabricの設定でエラーになる
・copy run startを実行しているみたい
・プロビジョン完了後、該当デバイスにLoopback0アドレスが設定される
RLOCで使用するためにLoopback0を指定させてる？
５．ファブリックの設定
５－１．ファブリックの作成
Provision > Fabric Sites
Create Fabric Site
・ISEを使用するときはAuthentication TemplateにClosed Authenticationを選択
・Closed Authenticationはdot1Xで認証されたendpointのみ許可
・３－１．でAAAを有効化していないとエラーになる
作成完了後のfabric
sw1のDevice RoleをBORDER ROUTERに指定
Provision > Inventory
sw1選択
Action > Inventory > Edit Device
Device RoleをBORDER ROUTERに変更
５－２．各nodeにRoleの割り当て
デバイスを選択 > 割り当てたいRole(Edge Node/Control Plane Node/Border Node)を有効化
・ip routingを有効にしていないとエラーになる
その場合、CLIからip routingを有効化後に再同期
Provision > Inventory
Action > Inventory > Resync Device
エラーになった場合はすべてのノードでRole割り当てがやり直しなる
修正後はControl Plane Nodeだけ試しに登録して修正できているか確認するのがおすすめ
Border nodeにたくさん設定した後でやり直しになると悲しい
なぜControl Plane Nodeかというと
Control Plane Nodeはendpointのマッピングを担っている大事なNode
BGPでいうRR、ファブリックの脳にあたるため必ず1つは必要で、Control Plane Nodeを指定しないと[Deploy]できないため
今回の設定
| sw | Role |
|---|---|
| sw1 | Control Plane Node/Border Node |
| sw3 | Edge Node |
| sw4 | Edge Node |
・Control Plane NodeはLISP/BGPを指定
・Border Nodeで入力するのはlocal(Border Node)の情報
今回はBGPでL3 Handoff
✓Enable Layer-3 Handoff
Local Autonomus Number 100 を指定
・ここの登録でよくエラーになる
その場合は表示の通りに修正後、ProvisioningかResyncでだいたい解決する
・Roleを修正したい場合は、デバイス選択後[Remove From Fabric]で取り消しできる
設定完了後
ファブリックらしくなりました！
参考
Configuring Campus Fabrics - SD-Access
最近配信された動画で、GUIがsandboxとほぼ同じです。
英語ですが、動画なのでいっしょに操作しながら学習できます。
今回の記事もこちらの構成を参考にしています。
Cisco SD-Access解説 ( CCIE EI Candidate向け )
SD-Accessて用語とか概念とかがとっつきづらい印象なのですが、この動画はすごくわかりやすいです。
『Cisco Software-Defined Access』
細かい用語などはこちらを参照しました。