sd-wan故障导致无法访问总部网络?其实未必有那么复杂

IT狂人日志 2024-05-24 13:07:38

有客户反馈,无法通过sdwan链路访问总部及其他分支机构的网络,总部的IT人员要求在核心交换机上写三条静态路由,分别到达总部和另外两个分支机构,但是,在此之前,我就看过核心交换机,这些静态路由本就存在,并未删除或者修改。

要求客户在他电脑上执行命令:tracert -d 172.16.1.254

192.168.240.254是网关IP,下一跳全是*,就是到奇安信防火墙上了,显然路径已经不对了。

因为拓扑图是下面这样的,所以下一跳应该是sdwan才对。

看了一下路由表,想到应该是优先级的问题,所有请求全部从默认路由出去了,并不会走sd-wan链路。

此时,我远程登录华为S5700交换机,发现浏览器版本太高,只能看,没办法修改,于是让客户修改默认路由的优先级为70,并且保存配置。

其实在此之前,我就让他们把优先级设置为100,但是当时我的消息可能被他们忽略了,输入命令的时候,后面的“preference 100”没打上去,导致优先级都是一样的60。

本以为修改优先级后,问题能解决,谁知道,还是无法通过sd-wan链路访问总部的网络。

Sd-wan设备无权登录,一时无法判断问题,原来的IP信息也不是很清楚,于是问客户要来核心交换机没改过配置前的备份文件,分析问题。

从配置文件看到,原vlan240的ip是192.168.240.1,那sd-wan设备就是192.168.240.2了。

核心原来的vlan1是192.168.0.0/24,现在不再使用这个网段了,核心上把VLAN1的端口全部划分到vlan240了,原来vlan1的ip是192.168.0.254,所以顺手把vlan240改成了192.168.240.254,虽然上网是没问题了,但是与sd-wan就跑不通了。

问题找到了,要么登录 sd-wan设备,修改回程路由,要么还是修改核心VLAN240的ip,还是改回192.168.240.1,但是由于客户有线网络环境非DHCP,所以得逐一修改网关IP,比较麻烦,好在台式电脑不多。

于是,趁着午休时间,核心交换机上把vlan240的IP修改为192.168.240.1,经测试sd-wan正常通讯,与总部网络通了,台式电脑逐一修改网关即可。

到此,排查结束,问题解决。

总结:修改网络设备的配置之前,首先要把需要达成的目标了解清楚,然后务必先把拓扑图画出来,关联IP地址标注清楚,理清思路后,方可实施。

顺便再提一下,其实拓扑应该改一下,更为妥当——既然有硬件防火墙,当然让sd-wan接入防火墙更有安全保障吧。

这种架构,一是提高了安全性,二是便于管理:sd-wan与互联网一样,被当做外部链路,今后无论它怎么改,都跟内网没关系。

0 阅读:10

IT狂人日志

简介:网络工程师,从事IT行业20年,写点原创技术类文章