Здравствуйте, У меня сложная проблема, я провожу некоторые тесты с TAC, но, по-моему, дело не только в этом. Вот в чем заключается моя проблема: когда вы подключаетесь к сети в первый раз, все работает нормально. Если вы нажимаете «Отключить» и снова подключаетесь, каждый раз появляется сообщение «Невозможно подключиться к этой сети». Чтобы все заработало, нужно либо перезагрузить компьютер, либо подождать 10 минут и повторить попытку. У нас есть SDA Fabric / Certificate auth для корпоративной беспроводной сети. Но она всегда работает с первого раза, через 10 минут или после перезагрузки. Я провел радиоактивное отслеживание с WLC. Успешная попытка — это 30-60-секундное отслеживание входа в систему, а неудачная — то же самое. Успешная попытка имеет больший размер, потому что я ждал успешного подключения, а неудачная попытка сразу же заканчивается неудачей. Заранее благодарю за помощь. **Дополнительная информация: проблема возникла 2 месяца назад, до этого все работало отлично. Я провел множество попыток устранения неполадок на стороне ОС, но ничего не помогло, ОС не может восстановить соединение.

Привет, Это мой первый пост. Заранее прошу прощения, если этот вопрос слишком сложный для этого форума, но не попробуешь — не узнаешь. Ситуация такова: мы находимся в процессе перехода на SD-Access. У нас есть обычная фабрика со стандартной настройкой VN, которая работает нормально, и клиентские устройства могут выходить в Интернет и т. д. Мы также хотим попробовать использовать Guest VN, Multi-Site Remote border (или как это называется на этой неделе), чтобы некоторые из наших проводных устройств выходили в DMZ на нашем сайте, а не там, где выходит VN, несущий более корпоративный трафик. Эта функция не очень хорошо документирована и претерпела ряд изменений в рабочих процессах в разных версиях DNA. Мы используем DNA-C (это название, похоже, тоже изменилось) 2.3.5. Из-за отсутствия документации я использовал руководство здесь: Multisite Remote Border , чтобы все настроить. Однако клиенты на этом VN не могут выйти за пределы фабрики. Я могу пинговать интернет с Remote Border, с интерфейса loopback с тем же идентификатором, что и VN handoff для VN. Мы получаем маршрут по умолчанию, поступающий в удаленную границу через BGP. Клиентские устройства могут выполнять ping своего шлюза по умолчанию на своем пограничном узле. IP-адреса пограничных устройств отображаются как зарегистрированные на удаленной границе, которая также действует в качестве плоскости управления для этой виртуальной сети. Похоже, что проблема заключается в том, что маршрут по умолчанию из Remote Border не доходит до пограничного узла. Или, скорее, доходит, но находится в состоянии отклонения, как показано ниже в выводе из пограничного узла: ----------------------- XXXX-FEN-01#show lisp instance-id 4100 ipv4 map-cache detail LISP IPv4 Mapping Cache for LISP 0 EID-table vrf PUBLIC_WIRED_VN (IID 4100), 2 entries 0.0.0.0/0, время работы: 00:03:39, срок действия: 00:11:20, через map-reply, unknown-eid-forward Источники: map-reply, static-send-map-request Состояние: unknown-eid-forward, последнее изменение: 00:03:39, map-source: X.X.1.66 Исключение, Выходные пакеты: 8(4608 байт), счетчики неточны (~ 00:25:21 назад) Настроен как действие адресного пространства EID: send-map-request + инкапсуляция в прокси ETR PETR Время работы Состояние Pri/Wgt Encap-IID Domain-ID/MH-ID Metric X.X.1.66 00:30:32 route-rejec 10/10 - 2292703398/57510 0 ----------------------------------- Я застрял в дальнейшем устранении неполадок, так как не знаю, что означает этот статус, и поэтому не знаю, что делать дальше. Я, конечно, погуглил этот статус lisp, но не нашел никаких подходящих результатов. Кто-нибудь из сообщества может пролить свет на этот статус? Не помогает и то, что доступные руководства предназначены для более ранних версий 2.x DNA train или более ранних версий, а эта настройка/рабочий процесс претерпели много изменений. Я также прочитал руководство пользователя DNA 2.3.5, но, похоже, в нем не описаны настройки удаленных границ для нескольких сайтов, так что, возможно, эта функция больше не поддерживается? В любом случае, если кто-нибудь из сообщества может пролить свет на этот статус или указать, где это может быть описано, это было бы очень полезно.

Здравствуйте Я понимаю концепцию и цель SDN, она используется для программируемости, автоматизации, оркестрации сети и создания механизма сетевого взаимодействия на основе намерений. SDN — это общая тема, Cisco DNA — это устройство/программное обеспечение, которое реализует задачи, указанные в SDN. Теперь я запутался с SD-Access? Не могли бы вы разъяснить взаимосвязь между SDN, DNA и SDA? Спасибо

Привет, ребята, У меня есть вопрос по поводу конфигурации iBGP между двумя границами в структуре SDA. Когда я смотрю это официальное руководство: https://www.cisco.com/c/en/us/support/docs/cloud-systems-management/dna-center/213525-sda-steps-to-configure-fusion-router.html#anc18 Они используют SVI для настройки iBGP для резервирования BGP между границами. Будет ли проблемой, если мы захотим использовать loopbacks вместо SVI или подинтерфейсов? Что бы вы посоветовали? До сих пор я использовал SVI и подинтерфейсы, но мне было интересно, почему не рекомендуется использовать loopbacks. Спасибо, Алекс.

Привет, ребята, В DNAC шаблон аутентификации можно настроить для изменения порядка методов аутентификации, таймеров и т. д. Этот шаблон представлен в виде шаблона IOS-XE, который сам вызывает карту политик (например, «PMAP_DefaultWiredDot1xClosedAuth_1X_MAB»). В совокупности шаблон и конфигурация PMAP применяются ко всем портам доступа, если они не изменены с помощью назначения портов на странице Host Onboarding. Мой вопрос: есть ли способ из DNAC применить другой PMAP (например, PMAP_DefaultWiredDot1xClosedAuth_MAB_1X вместо 1X_MAB) для некоторых конкретных портов? Я знаю, что для этого можно использовать шаблон, но интересует, поддерживается ли это в DNAC WebUI? Или в дорожной карте? С уважением, Сильвен.

Привет всем! Честно говоря, у меня небольшая заминка, и я удивлен, что нет простого способа найти документацию, в которой об этом упоминается (или я просто не знаю), но у меня проблема с VN, который я создал и к которому привязал SGT, он не передается в ISE. DNA 2 .3.3.7 ISE 3.2 p4 VN создается в разделе Provision > SD-ACCESS>Virtual Networks SGT создается в разделе Policy > Group based access control > Security Groups SGT сопоставляется с IP-пулом и VN в разделе Provision > Fabric > Host Onboarding > Virtual networks > IP pool added and SGT assigned. Теперь этот процесс, похоже, изменился со временем, так как ранее в версиях 1.3 вы сопоставляли SGT непосредственно с VN в вкладке Policy, поэтому я предполагаю, что я мог что-то упустить. У меня нет ничего, что могло бы послужить ориентиром для понимания того, как проходит этот процесс, но я предполагаю, что когда это сопоставление выполняется на DNA (а DNA является средством управления trustsec между DNAC и ISE), DNA должно передавать это сопоставление в ISE. Таким образом, в Workspaces > Trustsec > Component > Security Groups, когда я нажимаю на SGT, должно появиться окно, в котором будут отображаться SGT, VN и пул IP-адресов, к которым сопоставлен этот SGT. Возможно, это даже должно отображаться на странице IP SGT Static Mapping. Но этого нет. Однако SGT предоставляются в ISE при создании, поэтому интеграция ISE и DNA должна работать нормально. Я что-то упустил, или это действительно должно быть предоставлено, и тот факт, что этого нет, означает, что я должен открыть заявку в TAC? Заранее спасибо!

Всем привет, у нас возникла проблема с нашей средой SD-Access. Мы строим новое здание и начинаем настраивать точки доступа, но при настройке фабрики возникает проблема. Проблема заключается в следующем «Следующие точки доступа (AP) назначены этажам, которые не управляются связанными с ними беспроводными контроллерами». Наш WLC установлен в другом здании, но в той же фабрике, что и наши новые точки доступа. Есть какие-нибудь предложения? Спасибо.

Уважаемые коллеги! Мы находимся на последнем этапе приобретения решения SDA и должны определиться с количеством устройств, которые нам необходимо приобрести. В связи с этим у меня возникли следующие вопросы. 1. Поскольку C9120AXI-E и C9130AXE-E являются схожими продуктами, в чем преимущество одного над другим, а также почему следует выбрать внешнюю антенну, такую как C-ANT9101=, и, если возможно, какова зона покрытия для упомянутых точек доступа? 2. В качестве напольного коммутатора рассматриваются C9300-48P-A и C9200-48PB-A, но цена последнего высока, что я не могу оправдать, поскольку это более старая серия. Прошу вас прояснить этот вопрос и предоставить параметры, которые следует учитывать при выборе напольного коммутатора. 3. Имеет ли DN2-HW-APL встроенный интерфейс 10G? Если возможно, прошу вас дать мне правильные рекомендации по этому вопросу. Спасибо!

У нас есть довольно новое развертывание, в котором всегда работала только версия v2.3.5.x, и мы только начали наше путешествие по SDA Fabric. Просматривая документацию, большая часть которой очень старая, я постоянно сталкиваюсь с термином «домены Fabric» в дополнение к сайтам Fabric. Я довольно хорошо знаком с сайтами Fabric, так как это все, что предлагает вам версия v2.3.5. Но в версии 2.3.5 нет никакого упоминания о доменах Fabric. Все найденные мной учебные пособия рассказывают о доменах фабрики, но ни в одном из них не показано, как создать домен в версии 2.3.5, и я не могу найти пример в версии 2.3.3. Все они, как правило, являются старыми, признанно устаревшими примерами. Возможно, когда-нибудь Cisco обновит пошаговые инструкции и демонстрации... Меня беспокоит то, что у нас есть планы по переходу на SDA, но я наткнулся на документы, в которых говорится об ограничении «максимум 10 доменов Fabric» для лицензии на небольшое устройство DNA. Это ограничение увеличивается до 20 только для устройств среднего и высокого уровня. Это серьезный сигнал тревоги, но только если в версии 2.3.5 все еще присутствует эта концепция и только если я не могу ее обойти. Есть ли какая-то связь между доменом фабрики и какой-то другой организационной концепцией в более новых версиях DNAc/Catalyst Center? Кто-нибудь имеет дополнительную информацию по этому вопросу?

Здравствуйте, Я хочу подключить коммутатор Cat9K к моей фабрике SDA с помощью LAN Automation. Но поскольку мы настроили пул IP-адресов в INFRA_VN, чтобы разрешить подключение расширенных узлов (3560CX, ...), похоже, что Cat9K проходит процесс PnP во время загрузки и становится расширенным узлом. Это не позволяет нам подключить этот коммутатор через LAN Automation и настроить его как Fabric Edge. Как я могу предотвратить превращение Cat9K в расширенный узел, чтобы я мог подключить его с помощью LAN Automation? С уважением, Сильвен.

Да... У меня есть 2 сайта, каждый с 2 BN и определенным количеством EN. Конфигурации Lisp в основном идентичны (очевидно, что данные RLOC различаются). Теперь, когда я смотрю на Subject на каждом сайте, я вижу разные результаты (не уверен, что там что наследуется). Кто-нибудь может объяснить мне эту разницу? SITE1EN0002#sho lisp instance-id 4099 ipv4 map-cache detail LISP IPv4 Mapping Cache for LISP 0 EID-table vrf OFFICE_VN (IID 4099), 7 entries 0.0.0.0/0, uptime: 15:21:15, срок действия: 00:11:29, через map-reply, unknown-eid-forward Источники: map-reply, static-send-map-request Состояние: unknown-eid-forward, последнее изменение: 15:21:15, map-source: 10.200.120.242 Исключение, исходящие пакеты: 1143 (451439 байт), счетчики неточны (~ 00:24:33 назад) Настроен как действие адресного пространства EID: send-map-request + инкапсуляция в прокси ETR PETR Время работы Состояние Pri/Wgt Encap-IID Domain-ID/MH-ID Metric 10.200.120.241 15:21:15 up 10/10 - 2128425366/12694 0 10.200.120.242 15:21:15 up 10/10 - 2128425366/12694 0 SITE2EN0002#sho lisp instance-id 4099 ipv4 map de LISP IPv4 Mapping Cache for LISP 0 EID-table vrf OFFICE_VN (IID 4099), 21 entries 0.0.0.0/0, uptime: 00:00:57, срок действия: 00:00:02, через static-send-map-request Источники: static-send-map-request Состояние: send-map-request, последнее изменение: 10w4d, map-source: local Исключение, Выходные пакеты: 28139 (15246720 байт), счетчики неточны (~ 00:07:25 назад) Настроен как пространство адресов EID Отрицательная запись в кэше, действие: send-map-request SITE1EN0002#show ip cef vrf OFFICE_VN 0.0.0.0/0 detail 0.0.0.0/0, эпоха 1, флаги [покрытие зависимых, контекст поддерева, проверка соответствия LISP, маршрут по умолчанию], совместное использование по назначению SC owned,sourced: LISP удаленный EID - биты статуса локатора 0x00000000 LISP удаленный EID: 1143 пакета 451439 байт действие fwd signal-fwd, cfg как пространство EID Список путей источника LISP nexthop 10.200.120.241 LISP0.4099 nexthop 10.200.120.242 LISP0.4099 Покрытые зависимые префиксы: 6 уведомление об обновлении покрытия: 6 2 источника IPL [без флагов] nexthop 10.200.120.241 LISP0.4099 nexthop 10.200.120.242 LISP0.4099 SITE2EN0002#show ip cef vrf OFFICE_VN 0.0.0.0/0 detail 0.0.0.0/0, epoch 0, flags [cover dependents, check lisp eligibility, default route] LISP удаленный EID: 28139 пакетов 15246720 байт fwd action signal, cfg as EID space LISP source path list attached to LISP0.4099 Покрытые зависимые префиксы: 17 notify cover updated: 17 1 IPL source [без флагов] прикреплен к LISP0.4099

Привет всем, У меня есть вопрос по поводу шаблонов в DNAC. Когда используются шаблоны для ввода в эксплуатацию? После запуска автоматизации LAN и подготовки устройства? Или при использовании автоматизации LAN необходимо запускать шаблоны day-n? Когда вы назначаете шаблон day-n для сайта и устройство проходит подготовку, нужно ли удалять шаблон day-n? Какова лучшая практика? Заранее спасибо, Катерина

Здравствуйте, кто-нибудь может мне помочь? Как я могу разработать сценарий SDA в кольцевой топологии, где у меня есть один C9607R на главном сайте и 42 других C9407R (с модулем доступа). Кольцо построено по протоколу 40G QSFP+. На главном сайте у нас будут ISE, DNAC, Fusion Router и службы, которые будут подключаться к C9600. Какова будет роль каждого C9400 (магистраль)?

Привет, сообщество! есть ли у кого-нибудь подтверждение/документация о том, как уменьшается TTL для многоадресной рассылки в одной и той же VN в SDA? Следующий набор слайдов охватывает только одноадресную передачу https://www.ciscolive.com/c/dam/r/ciscolive/emea/docs/2019/pdf/BRKCRS-3810.pdf стр. 97 ff По нашим наблюдениям, как только для VN включается многоадресная рассылка/IGMP/MLD-сниффинг, TTL уменьшается для каждого прыжка в фабрике, даже если источник и получатель находятся в одной и той же VN (в основном mcast следует подходу одноадресной рассылки L3). В нашем случае это вызывает проблемы с совместимостью, поскольку мы имеем дело с конкретными устройствами, которые используют многоадресную рассылку в своей VLAN и имеют жестко запрограммированное значение TTL, равное 2. Когда мы хотим перейти на SDA в зависимости от размера филиала, между конечными точками будет более 2 прыжков. Есть ли способ адаптировать поведение таким образом, чтобы для приемников в той же VN, что и источник, TTL не уменьшался (эквивалентно VN-локальному unicast)? Просто отключить многоадресную рассылку и полагаться на BUM-флуд не является вариантом, так как требуется IGMP / MLD-снифинг. Спасибо Мануэль

Привет, команда! Я хочу узнать, требуется ли лицензия DNAC для интеграции с Cisco ISE? С уважением, Талха

Здравствуйте, коллеги! У меня есть теоретический (или нет) вопрос. Мы знаем, что в проектировании DC, если нам нужно использовать мультихоминг-соединение от конечных точек (серверов или чего-то еще) к двум независимым листьевым коммутаторам, мы можем использовать vPC или мультихоминг ESI или называть это как угодно для обеспечения избыточности и скорости, и это работает в EVPN vxlan или ACI, верно? Представим, что у нас та же цель, но в рамках фабрики SD-Access с LISP и VXLAN, как мы можем решить эту проблему? Условия: мы не можем использовать стек, мы не можем использовать L3 со стороны конечной точки, и мы должны использовать оба соединения. Есть простой сервер с 2 сетевыми картами, который поддерживает LACP или статический LAG, и мы хотим подключить его к 2 независимым пограничным узлам SDA (например, c9300 что-то). Для сервера это должно выглядеть как простой LACP. Что мы можем сделать в этом случае? После нескольких дней поиска в Google я не нашел ни подтверждения, ни опровержения этого дизайна. Давайте будем готовы к худшему, если Cisco ответит, что «извините, это не поддерживается», и что произойдет, если мы все же подключим сервер к двум независимым портам EN с одинаковым L2 VNI? Спасибо!

Привет, команда! Ищу любую информацию, касающуюся конфигурации N+1 в SDA с встроенным беспроводным контроллером Cat 9000. Понимаю, что это, вероятно, похоже на обычную (не SDA) конфигурацию N+1, но если кто-то делал это специально для SDA, было бы хорошо посмотреть, как это делается. Спасибо Роб

Я хотел бы обсудить сценарий, в котором конечные точки подключены к стандартному коммутатору, который сам подключен к границе фабрики сети кампуса sda (как показано на прилагаемом рисунке). Клиенты на коммутаторе, не относящемся к sda, должны подключаться к серверу, расположенному в центре обработки данных, через кампус sda. Первый вопрос: может ли такой сценарий работать? Если да, то как? Второй вопрос: если это не работает, какая может быть альтернатива? Третий вопрос: если маршрутизатор подключен между коммутатором, не относящимся к sda, и краем фабрики, будет ли это работать? [image: 31cc08dcb70cf7f69ef54641b87849a6d9a5044b.png]

У нас очень простая конфигурация SDA. Один пограничный узел фабрики, к которому подключаются клиенты, и один пограничный/узел плоскости управления, который подключается к остальной части нашей нефабричной среды, а именно к маршрутизатору N7K Fusion. Наш сервер DHCP находится в нефабричной среде. Когда наш клиент отправляет запрос DHCP, он попадает в пограничный узел (подтверждено захватом пакетов), а затем устанавливает опцию 82/GIaddr. Я проверил идентификаторы цепи и удаленной цепи с помощью отладки ip dhcp и подтвердил, что он устанавливает правильные RLOC, VLAN и т. д. (подтверждено встроенным захватом пакетов). Однако после этого... процесс, похоже, останавливается. Больше не появляется никаких отладок. Встроенный захват пакетов не находит никаких пакетов, покидающих интерфейсы нашего пограничного/PETR-узла, и на пограничном/PETR-узле не захватываются никакие входящие пакеты, имеющие отношение к DHCP/UDP 67+68. Я думаю, что это может иметь какое-то отношение к нашей таблице LISP? DHCP-сервер — 172.20.100.110. #sh ip cef vrf DEV_VN 172.20.0.0 det 172.20.0.0/16, epoch 0, flags [проверка соответствия LISP] LISP удаленный EID: 48 пакетов 15266 байт fwd action fwd native LISP fwd-native source Зависимый покрытый префикс типа LISP-FWD, покрытие 0.0.0.0/0 1 IPL source [без флагов] присоединен к LISP0.4099 #sh ip lisp map-cache 172.20.100.0 instance-id 4099 LISP IPv4 Mapping Cache для LISP 0 EID-таблица vrf DEV_VN (IID 4099), 1 запись 172.20.0.0/16, время работы: 00:29:58, срок действия: 00:14:38, через map-reply, forward-native Источники: map-reply Состояние: forward-native, последнее изменение: 00:29:58, map-source: 172.21.255.1 Активно, исходящие пакеты: 48 (15266 байт), счетчики неточны (~ 00:00:22 назад) Инкапсуляция в прокси ETR Не знаю, какие шаги предпринять и что делать дальше. Я могу пинговать DHCP-сервер с fusion router. Я могу пинговать DHCP-сервер из глобальной таблицы маршрутизации и из DEV_VN VRF на пограничном узле (при условии, что он исходит из центра Loopback DNA, созданного на границе). Я могу пинговать DHCP-сервер из глобальной таблицы маршрутизации, но НЕ из DEV_VN VRF на краевой части фабрики. Должен ли я иметь возможность пинговать адрес PETR RLOC из DEV_VN VRF на краевой точке фабрики? Возможно ли, что он не знает, как достичь PETR из VRF, и в этом заключается проблема? Я могу пинговать PETR RLOC из глобальной таблицы маршрутизации на краевой точке фабрики, но не из VN VRF. DHCP-сниффинг включен с правильными подключенными VLAN, граница фабрики настроена как PITR, опция 82 originate включена... Не знаю, в чем я ошибаюсь. Спасибо. Дополнительная информация: Fabric Edge LISP — Информация, применимая ко всем экземплярам EID: Router-lisp ID: 0 Таблица локаторов: по умолчанию Маршрутизатор входного туннеля (ITR): отключен Маршрутизатор выходного туннеля (ETR): включен Маршрутизатор прокси-ITR (PITR): включен RLOC: 172.21.255.2 Маршрутизатор прокси-ETR (PETR): отключен Маршрутизатор NAT-traversal (NAT-RTR): отключен Маршрутизатор первого прыжка мобильности: отключен Сервер карт (MS): отключен Резолвер карт (MR): отключен Mr-use-petr: отключен Первый пакет pETR: отключен Поддержка нескольких IP-адресов на MAC: отключена Делегированное дерево базы данных (DDT): отключено Туннель доступа к многоадресной рассылке: отключен Публикация-подписка: включена Издатель(и): *** НЕ НАЙДЕНО *** ITR Map-Resolver(s): 172.21.255.1 ETR Map-Server(s): 172.21.255.1 xTR-ID: 0x570C1D3C-0x75B2B221-0x8FB89F16-0x428F42C4 site-ID: не указан ITR local RLOC (last resort): *** НЕ НАЙДЕНО *** ITR использовать прокси ETR RLOC (Encap IID): 172.21.255.1 Пограничный узел LISP - Информация, применимая ко всем экземплярам EID: Router-lisp ID: 0 Таблица локаторов: по умолчанию Входной туннельный маршрутизатор (ITR): отключен Выходной туннельный маршрутизатор (ETR): включен Прокси-ITR маршрутизатор (PITR): включен RLOC: 172.21.255.1 Маршрутизатор прокси-ETR (PETR): включен Маршрутизатор NAT-traversal (NAT-RTR): отключен Маршрутизатор первого прыжка мобильности: отключен Сервер карт (MS): включен Резолвер карт (MR): включен Mr-use-petr: включен Mr-use-petr locator set name: default-etr-locator-set-ipv4 First-Packet pETR: отключен Поддержка нескольких IP-адресов на MAC: отключена Delegated Database Tree (DDT): отключена Multicast Flood Access-Tunnel: отключен Publication-Subscription: включен Publisher(s): *** НЕ НАЙДЕНО *** ITR Map-Resolver(s): 172.21.255.1 ETR Map-Server(s): 172.21.255.1

Здравствуйте, По какой-то причине DNAC не отображает все топологические связи, даже после повторного обнаружения и синхронизации всех устройств. Как я могу решить эту проблему? Версия 2.3.3.5-70134, все оборудование от Cisco и является новым.