SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:37 GMT

sandeepk — Thu, 12 Feb 2026 14:31:37 GMT

Можете ли вы пояснить? -
Поэтому, если вы не хотите использовать NAT для вашего контрольного трафика, добавьте статическое NAT-утверждение на этом интерфейсе с физическим IP-адресом в качестве источника и преобразованным адресом, который будет действовать как утверждение No NAT. У нас есть DMZ VPN с общедоступным веб-сервером, и мы используем DIA для пользовательского VPN, но с этим «ip nat outside» на интерфейсе ISP он также преобразует все из DMZ VPN. Нам не нужен NAT для любого трафика из DMZ VPN в ISP. Есть ли идеи, возможно ли это с Cisco SDWAN?

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:36 GMT

sjhloco — Thu, 12 Feb 2026 14:31:36 GMT

Спасибо за информацию, я задавался вопросом, почему в ней был разрешен сервис для BGP и OSPF, если это не было необходимо. Я пробовал это в лаборатории много месяцев назад и, кажется, помню проблему с добавлением маршрута, но без статуса (он должен был быть F,S для fib, выбран). Попробую еще раз и посмотрю, имеет смысл не использовать loopback, если это не требуется. Что касается NAT, я не смог заставить работать конфигурацию, которую я вставил, поэтому использовал NAT с обратным адресом. Я просто попробовал, так как в руководстве по настройке было рекомендовано использовать его, но это не кажется лучшим вариантом, так как публичные IP-адреса принадлежат одному провайдеру, поэтому должны быть привязаны к нему.

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:35 GMT

sjhloco — Thu, 12 Feb 2026 14:31:35 GMT

Спасибо за ответ. Согласен, что использование loopback не имеет смысла, просто пытаюсь понять, что предлагают руководства Cisco и почему.

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:34 GMT

Flavio Miranda — Thu, 12 Feb 2026 14:31:34 GMT

Привет Подложка для SDWAN должна быть как можно проще, учитывая, что обычно она будет подключать удаленный сайт через какое-либо соединение ISP с использованием Интернета или MPLS. Таким образом, для подложки в большинстве случаев достаточно статического маршрута, поскольку маршрутизатор в большинстве случаев имеет только один ISP. А для резервирования через второй маршрутизатор можно использовать TLOC. Я рассматриваю здесь наиболее распространенный сценарий, когда cEdge подключен к ISP, а туннель Overlay идет к контроллерам SDWAN. Выход в локальный Интернет. Но это также работает для MPLS. Для NAT при использовании DIA я не думаю, что использование Loopback имеет смысл, поскольку Loopback обычно используется не для подключения к Интернету, а для подключения к туннелю Overlay.

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:33 GMT

MHM Cisco World — Thu, 12 Feb 2026 14:31:33 GMT

Насколько я знаю, для hairpin NAT необходимо Настроить ip nat enable под loopback Ip nat enable равно как ip nat indide, так и ip nat outside.

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:32 GMT

sjhloco — Thu, 12 Feb 2026 14:31:32 GMT

Я попробовал перенастроить транспортную сторону так, чтобы интерфейс туннеля находился на фактическом физическом интерфейсе (а не на обратной связи) с помощью «
allow service BGP»,
и все работает как ожидалось. Поскольку это работает, оно устраняет необходимость просматривать NAT на обратных связях, так что проблема решена.
![] Большое спасибо, что указали мне правильное направление, Kanan. Жаль только, что документация Cisco по маршрутизации на транспортной стороне и NAT настолько нестабильна, что ее стоило бы переписать, теперь, когда они, похоже, уладили вопрос с включением Viptela и ASR в это новое решение SD-WAN. Итак, подводя итог для всех, кто делает то же самое и запутался в документации Cisco: Вы можете запустить BGP на транспортной стороне практически так же, как и обычно, просто убедитесь, что вы
разрешили службу BGP
на интерфейсе туннеля.
Использование loopback в качестве транспортного интерфейса, на мой взгляд, больше подходит для ситуаций, когда вы традиционно хотите, чтобы BGP пиринговал между loopbacks, а не физическим интерфейсом.
DIA NAT работает практически так же, как традиционный ASR NAT (посмотрите конфигурацию при развертывании), то есть по умолчанию будет выполнять NAT вашего контрольного трафика, поскольку
nat outside
применяется к физическому транспортному интерфейсу. Поэтому, если вы не хотите выполнять NAT вашего контрольного трафика, добавьте на этом интерфейсе статическое заявление NAT с физическим IP в качестве источника и преобразованным адресом, который будет действовать как заявление No NAT
Я до сих пор не понимаю, что означает документация или что она пытается достичь в NAT на loopbacks. Спасибо

Reply to SD-WAN BGP-транспорт и DIA NAT с использованием обратного адреса on Thu, 12 Feb 2026 14:31:31 GMT

Kanan Huseynli — Thu, 12 Feb 2026 14:31:31 GMT

Здравствуйте, Ваше предположение неверно. BGP под интерфейсом туннеля предназначен для маршрутизации подслоя, а не надслоя. Обычно интерфейс, настроенный для туннеля, жестко запрограммирован как «туннель SDWAN» и не действует как традиционный интерфейс L3 (например, не может происходить транзитная маршрутизация). Чтобы разрешить некоторые протоколы для различных целей, связанных с подслоем (например, BGP для пиринга с ISP), вы должны включить этот протокол с помощью команды «allow». Ваша настройка в порядке, но у вас также может быть физический интерфейс с конфигурацией туннеля и BGP для подстилающего уровня. BGP как протокол маршрутизации поддерживается как
в подстилающем слое для пиринга
с маршрутизаторами CE
или поставщиками услуг
, так и в накладывающемся слое на стороне услуг для пиринга с маршрутизаторами на локальном сайте. Вышеуказанное заявление взято из cisco SD-WAN CVD. Что касается NAT, не могли бы вы уточнить, какая конфигурация работала, а какая нет? С уважением HTH,
Пожалуйста, оцените и отметьте как принятое решение, если вы нашли какую-либо из предоставленной информации полезной.