Reply to Вопрос об использовании цветов для наших WAN-соединений on Thu, 12 Feb 2026 14:32:02 GMT

AIG — Thu, 12 Feb 2026 14:32:02 GMT

Я помню, как хотел расширить свою SD-WAN-сеть на EVE-NG до облака, где мне пришлось присвоить публичный IP-адрес каждому контроллеру, поскольку они находились за устройством NAT. Локальный WAN Edge не смог установить DTLS-соединение с виртуальным маршрутизатором Azure, потому что я использовал неправильные цвета. Я смог решить эту проблему только после того, как изменил цвет на biz-internet и public-internet соответственно.

Reply to Вопрос об использовании цветов для наших WAN-соединений on Thu, 12 Feb 2026 14:32:01 GMT

bigevilbeard — Thu, 12 Feb 2026 14:32:01 GMT

Цвета — это просто метки, которые вы применяете к своему интерфейсу, например, mpls, internet и т. д. Они не должны совпадать между маршрутизаторами для базовой связи, но, с другой стороны, если у вас есть
два маршрутизатора, которые хотят сформировать туннель dtls/tls через определенный транспорт, они должны быть способны разрешать маршруты tloc друг друга с помощью совпадающих цветов. Цвет помогает в выборе пути при применении политик, таких как предпочтение mpls перед biz-internet.
См.:
https://www.networkacademy.io/ccie-enterprise/sdwan/tloc-color-and-carrier
и
https://www.cisco.com/c/en/us/td/docs/solutions/CVD/SDWAN/cisco-sdwan-design-guide.html Пожалуйста, отметьте это как полезное или принятое решение, чтобы помочь другим.
Свяжитесь со мной https://bigevilbeard.github.io

Reply to Вопрос об использовании цветов для наших WAN-соединений on Thu, 12 Feb 2026 14:32:00 GMT

MHM Cisco World — Thu, 12 Feb 2026 14:32:00 GMT

У вас есть два веджа, каждый из которых имеет два WAN Sdwan создает ipsec между этими двумя веджами, как вы можете это контролировать Mpls wan создает ipsec только с mpls wan удаленного пира? Здесь проявляются преимущества «цвета»: он позволяет вам контролировать, какая WAN может установить ipsec с другой WAN. MHM

Reply to Вопрос об использовании цветов для наших WAN-соединений on Thu, 12 Feb 2026 14:31:59 GMT

Royalty — Thu, 12 Feb 2026 14:31:59 GMT

Привет,
@Mitrixsen
, Как мы знаем, TLOC содержит три элемента информации Система IP
Цвет транспорта
Тип инкапсуляции Системный IP используется для идентификации каждого OMP-динамика или, проще говоря, WAN Edge. Он также «
используется
» в качестве адреса следующего прыжка для маршрутов OMP со стороны сервиса VPN (LAN). Маршруты TLOC сопоставляют системные IP-адреса с транспортными IP-адресами среди прочей информации. Цвет TLOC идентифицирует транспортный IP-адрес, который является IP-адресом, который другие границы WAN (и он сам) используют в качестве пункта назначения для формирования туннелей накладной плоскости данных (туннели IPsec с сессиями BFD) и объявляют в маршрутах TLOC. Большая часть SD-WAN — это возможность выполнять обширную инженерию трафика. Управление трафиком осуществляется в политиках SD-WAN, например, маршрутизация с учетом приложений (AAR), привязка приложений и DIA. Цвета TLOC используются в качестве критериев действия/соответствия для определения, какие транспортные сети WAN используются в определенных сетевых условиях. В случае, если данный WAN Edge имеет два WAN-соединения для резервирования, пример может быть таким: «отправлять трафик данных по GOLD (широкополосный доступ), отправлять VoIP по RED (MPLS), избегать RED, когда задержка > 150 мс» и т. д. Таким образом, значение цвета TLOC заключается в определении IP-адресов транспорта, которые должны использовать другие WAN Edge для формирования туннелей и пересылки трафика, в определении способа построения туннелей, в определении туннелей, которые разрешено строить, а также в создании политик инжиниринга трафика. Теоретически, у вас может быть два маршрутизатора WAN Edge в двух разных зданиях (например, сайт 1 и сайт 2), которые соединены через MPLS WAN. Каждый из маршрутизаторов может иметь транспорт MPLS с цветом интерфейса туннеля «RED» и быть способным пересылать трафик между ними. В другом случае WAN Edge на сайте 1 может иметь цвет TLOC «RED», а WAN Edge на сайте 2 — цвет TLOC «GOLD». При наличии подключения это может работать. Цвета TLOC делятся на два типа: частные цвета и общедоступные цвета. Если цвет TLOC границы WAN является общедоступным цветом, то в результате другие границы WAN будут пытаться сформировать туннели IPsec для передачи данных в направлении общедоступного IP-адреса вышеупомянутой границы WAN и от своего собственного общедоступного IP-адреса. По сути, если туннель формируется от одного цвета к другому, и один из этих цветов является публичным, обе стороны будут пытаться использовать публичный IP-адрес. Если на определенном WAN Edge не обнаружено NAT, то
атрибуты
маршрута TLOC для частного IP-адреса и публичного IP-адреса одинаковы. Именно Catalyst SD-WAN Validator (ранее vBond) помогает WAN Edge обнаруживать свои публичные и частные IP-адреса через STUN, и именно поэтому существуют важные соображения по проектированию для развертывания компонентов управления SD-WAN, которые размещаются на месте, поскольку SD-WAN Validator должен быть способен обнаруживать IP-адреса после NAT любого WAN Edge. Для устройств, находящихся в одном физическом месте, или других компонентов управления SD-WAN это может включать hairpin NAT и размещение Validator в DMZ, наличие публичного IP-адреса и т. д. Все цвета, кроме «mpls», «metro-ethernet» и «private*», являются публичными цветами. Как правило, публичные цвета не используются в транспорте MPLS. Например, если вы используете облачные контроллеры Cisco, и WAN Edge имеет транспорт MPLS WAN с IP-адресом 172.16.1.1 и присоединяется к SD-WAN Fabric через Интернет после NAT, STUN будет использоваться для WAN Edge, чтобы обнаружить, что он находится за NAT. Он будет рекламировать маршруты TLOC, содержащие атрибуты как его публичных, так и частных IP-адресов. Если транспорт MPLS WAN использует публичный цвет, то другие WAN Edge будут пытаться сформировать плоскость данных в направлении публичного IP-адреса. Конечно, это обычно нежелательно; обычно вы хотите построить туннели между двумя сайтами в MPLS WAN, используя частный IP-адрес. Если есть случай использования, когда два WAN Edge используют частный цвет для формирования туннелей с использованием публичных IP-адресов, можно использовать опцию TLOC carrier, поэтому нет реальной необходимости использовать публичный цвет для транспорта MPLS WAN. При использовании MPLS WAN в топологии «звезда» публичный IP-адрес, скорее всего, будет находиться на границе интернет-центра обработки данных, и для обеспечения его работы потребуется какая-то форма «шпильки» и, возможно, правила брандмауэра в центре обработки данных и т. д. Но все зависит от топологии. Если у вас есть несколько сайтов, каждый с одним маршрутизатором WAN Edge и двумя соединениями WAN, вы можете использовать опцию TLOC restrict, которая означает, что WAN Edge может установить туннель к другому WAN Edge только в том случае, если цвета совпадают. Вы также можете использовать группы туннелей или комбинацию обоих. Это возвращает нас к инженерии трафика и топологии/принудительному выполнению потоков. Мой пост немного разбросан и уходит в сторону, но, надеюсь, он даст вам некоторые подсказки о том, что читать дальше, или, по крайней мере, вызовет у вас дополнительные вопросы.