Cisco 300-415: OMP, Rotas e Transport Locators — Guia de estudos

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Faz parte do Cisco SD-WAN 300-415 ENSDWI — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O Overlay Management Protocol (OMP) é o protocolo do plano de controle (control-plane) do Cisco SD-WAN usado entre os roteadores WAN Edge e os controladores vSmart. O vSmart gerencia o plano de controle do overlay e a conectividade dos WAN Edge, refletindo informações de alcançabilidade, políticas e chaves para todos os sites. As conexões de controle com o vSmart usam DTLS por padrão (TLS é opcional), enquanto os túneis do plano de dados (data-plane) entre os dispositivos WAN Edge usam IPsec. O vBond orquestra o onboarding inicial dos dispositivos e a conectividade intermediada com o vSmart. Entender como o OMP distribui vRoutes, TLOCs e rotas de serviço, como os atributos direcionam a seleção de rotas e caminhos, e como o OMP interage com roteamento BGP/OSPF/estático é essencial para projetos estáveis e escaláveis.

Plano de Controle OMP e Troca de Informações

O OMP é executado entre cada WAN Edge e cada controlador vSmart. Os dispositivos WAN Edge não formam adjacências OMP entre si; toda a troca de informações ocorre através do vSmart, que atua como um route reflector (refletor de rotas).

Principais trocas do plano de controle:

• Peering OMP: Conexões de controle seguras com DTLS/TLS do WAN Edge para o vSmart através da VPN 0. O vBond coordena essa descoberta de primeiro salto (first-hop).
• Distribuição de rotas: O WAN Edge anuncia prefixos de VPN locais (vRoutes), TLOCs (alcançabilidade de transporte) e rotas de serviço para o vSmart. O vSmart reflete as rotas elegíveis para outros WAN Edges com base em políticas e regras de prevenção de loop (loop-prevention).
• Distribuição de políticas: O vSmart distribui políticas de controle centralizadas (controle de anúncio de rotas), políticas de dados (direcionamento de tráfego) e políticas de roteamento sensível à aplicação (application-aware routing).
• Distribuição de chaves criptográficas: O vSmart distribui informações de chaves para que os roteadores WAN Edge possam formar túneis de plano de dados IPsec autenticados.
• Estado e convergência: As atualizações incrementais do OMP carregam apenas as mudanças, com keepalives e hold timers supervisionando a saúde da adjacência. O Graceful restart permite que os dispositivos retenham e marquem rotas como obsoletas (stale) durante breves interrupções no plano de controle, preservando o encaminhamento enquanto os TLOCs do plano de dados permanecerem ativos.

Modos de falha a serem considerados:

• Falhas de DTLS/TLS (por exemplo, DCONFAIL): problemas de alcançabilidade na rede de base (underlay), bloqueio por firewall/NAT, problemas de certificado/horário ou configuração incorreta de templates.
• Descarte por política de controle: filtragem intencional ou não intencional de vRoutes/TLOCs causa alcançabilidade parcial.
• Sobrecarga (over-subscription) no vSmart: capacidade insuficiente do controlador ou rotatividade excessiva de rotas (route churn) aumenta o tempo de convergência.

Rotas OMP, TLOCs e Atributos

O OMP transporta três tipos principais de rotas e uma construção geral de prefixo IP.

• vRoute (rota de VPN): Uma rota de overlay para um prefixo de VPN (IPv4/IPv6) com um próximo salto (next-hop) expresso como um ou mais TLOCs. Os atributos incluem origem (origin), Originator, ID do site, ID da VPN, preferência (preference), tag e o conjunto de TLOCs. O vSmart os utiliza para refletir para outros sites e para aplicar políticas e prevenção de loops.
• Rota de TLOC: Anuncia uma localização de transporte (transport location) — a tupla que identifica um endpoint de transporte do WAN Edge. Um TLOC é definido unicamente pelo system IP, cor (color) e encapsulamento (encapsulation). As rotas de TLOC permitem que todos os pares (peers) aprendam como alcançar cada rede de base (underlay) de transporte para construir túneis IPsec.
• Rota de serviço: Anuncia um serviço presente em uma VPN (por exemplo, firewall, IDS/IPS, serviços L4–7). Usada com encadeamento de serviços (service chaining) para direcionar o tráfego através de nós de serviço.
• Prefixo IP: O próprio prefixo (IPv4/IPv6) na VPN; na prática, a vRoute transporta o prefixo IP mais os próximos saltos (TLOCs). As políticas podem fazer correspondência (match) com o elemento de prefixo IP ao filtrar ou definir atributos.

Atributos de TLOC e suas funções:

• System IP: O ID do roteador SD-WAN; parte da chave do TLOC (system-ip, color, encapsulation).
• Color: Um rótulo de transporte lógico que indica a rede de base (underlay) da WAN (por exemplo, mpls, biz-internet, public-internet, variantes private). As cores direcionam as políticas e a seleção da rede de base preferencial.
• Encapsulation: IPsec (padrão) ou GRE. Determina o tipo de túnel do plano de dados. O encapsulamento deve ser o mesmo entre os pares em um determinado par de TLOCs.
• Preference: Prioridade relativa para a seleção de TLOC; a preferência mais alta é escolhida primeiro entre múltiplas opções de TLOC. Útil para configurações ativo/backup entre transportes (por exemplo, MPLS preferencial em relação à Internet).
• Weight: Usado para balanceamento de carga ponderado (weighted load-balancing) entre TLOCs ECMP de mesma preferência. Um peso maior aumenta a parcela de tráfego.
• Tag: Um rótulo de política para agrupamento/seleção (não possui semântica de encaminhamento por si só).

Diretrizes de design e operação:

• Anuncie pelo menos dois TLOCs por site para alta disponibilidade e diversidade de transportes. Use a preferência (preference) para comportamento primário/backup; use o peso (weight) para ECMP proporcional quando caminhos de custo igual são desejados.
• Mantenha as cores (colors) semanticamente consistentes em toda a malha (fabric) para simplificar as políticas de controle e o roteamento sensível à aplicação.
• Verifique o alinhamento do encapsulamento e as características de NAT por transporte; divergências ou NAT assimétrico podem impedir a formação de IPsec SA mesmo que o controle OMP esteja ativo.

Anúncio, Redistribuição, Seleção e Prevenção de Loops

O anúncio e a seleção de rotas ocorrem em duas camadas: dentro do OMP e dentro da RIB local nos WAN Edges.

Dentro do OMP:

• O WAN Edge origina rotas locais (conectadas, estáticas, BGP, OSPF) no OMP por VPN, se permitido pela política de rota (route-policy). A sumarização e a etiquetagem (tagging) podem ser aplicadas na origem ou no vSmart.
• O vSmart reflete vRoutes e TLOCs para outros sites de acordo com a política de controle. Por padrão, o vSmart não reflete uma rota de volta para o mesmo site ID de onde ela foi aprendida, prevenindo loops internos do site entre roteadores redundantes.
• A seleção de rotas do OMP compara atributos na seguinte ordem: preferência OMP mais alta, menor tipo de origem (se aplicável), menor métrica do tipo MED (se presente) e critérios de desempate determinísticos, como IDs de Originator e de roteador. Entre vRoutes equivalentes, múltiplos next-hops de TLOC podem ser mantidos para ECMP.

Entre protocolos de roteamento no WAN Edge (preferência administrativa):

• A RIB compara candidatos de rotas conectadas, estáticas, BGP, OSPF e OMP. Por padrão, rotas de origem local (conectadas/estáticas) e de IGP/BGP do underlay têm preferência sobre o OMP para prefixos idênticos. Isso evita preferir por engano uma cópia da rota aprendida pelo overlay de uma rede localmente alcançável.
• Se você precisar dar preferência ao OMP para prefixos específicos (por exemplo, para evitar retorno assimétrico pelo underlay), use filtragem de rotas ou anúncios de prefixos mais longos em vez de depender de alterações de preferência global.

Interoperabilidade e redistribuição:

• OSPF: Redistribua OSPF para o OMP a partir de VPNs de filial/DC com filtros de prefixo explícitos. Ao exportar OMP para OSPF nos DCs, evite reanunciar rotas aprendidas do outro DC através do DCI.
• BGP: Use a redistribuição de OMP para BGP e de BGP para OMP nas bordas do DC para integrar com o core do data center. Para prevenir loops de roteamento e aprendizado duplicado através de um DCI entre dois conjuntos de WAN Edge de DC, configure o mesmo AS de overlay em ambos os DCs. O AS de overlay participa da lógica de prevenção de loop do AS-path quando rotas aprendidas via OMP são injetadas no BGP e vice-versa, impedindo que as rotas fiquem saltando entre os DCs.
• Estática: Use para originação de rota padrão no OMP ou para alcançabilidade específica, com barreiras de proteção de política (policy guardrails) rigorosas para evitar a criação acidental de um blackhole de tráfego.
• Site ID: Atribua o mesmo site ID a roteadores WAN Edge redundantes no mesmo site físico. O vSmart não reanunciará as vRoutes de um site de volta para esse mesmo site, prevenindo loops de overlay. Sites físicos diferentes devem usar Site IDs únicos.

Vazamento de rotas (route leaking) entre VPNs de serviço:

• Use uma política de controle centralizada (control-policy) para exportar prefixos selecionados de uma VPN para outra e, em seguida, importá-los na VPN de destino. O vazamento ocorre no plano de controle; não existem route-targets de VRF — a política desempenha essa função.
• Aplique o princípio do menor privilégio: corresponda a prefixos ou tags explícitos, defina communities/tags apropriadas e evite vazar a rota 0/0 ou sumarizações amplas, a menos que seja intencional.
• Considere a política de segurança: rotas vazadas podem contornar zonas de segurança; coordene com o firewall baseado em zonas, a segmentação e as service chains.

Extensão de TLOC e transporte duplo:

• A extensão de TLOC permite que um WAN Edge compartilhe um circuito de transporte conectado a outro WAN Edge por meio de uma interface LAN. Isso possibilita a alcançabilidade por transporte duplo quando apenas um dispositivo termina fisicamente um determinado underlay.
• Benefícios: mantém a diversidade de transporte e o comportamento ativo/backup conforme a preferência de TLOC, sem duplicar o CPE.
• Riscos: introduz domínios de falha (se o edge proprietário falhar, o transporte estendido é perdido), consome largura de banda da LAN e pode criar caminhos assimétricos. Use BFD rápido e preferências de primário/backup claramente definidas.

Alta Disponibilidade, Timers e Considerações de Escala

Reinicialização Graciosa (Graceful Restart):

• O OMP suporta graceful restart para que, em interrupções do plano de controle (por exemplo, reinicialização do vSmart ou instabilidade na rede - network flap), os peers receptores marquem as rotas como obsoletas (stale) e as retenham enquanto tentam restabelecer o peering. Os túneis IPsec do plano de dados e o BFD mantêm o tráfego fluindo se os TLOCs permanecerem ativos.
• Quando os timers de obsolescência (stale timers) expiram sem recuperação, as rotas obsoletas são retiradas para evitar blackholes. Habilite o graceful restart tanto no WAN Edge quanto no vSmart para um comportamento consistente.

Hold timers e verificação de atividade (liveliness):

• O peering OMP usa keepalives periódicos na sessão de controle DTLS/TLS. O hold timer determina quando um peer que não responde é declarado inativo (down). O ajuste fino (tuning) raramente é necessário; concentre-se na estabilidade do underlay e no controle de jitter para evitar falsos positivos.
• A verificação de atividade do plano de dados é independente: o BFD sobre cada túnel IPsec impulsiona a detecção rápida de falhas e o direcionamento entre TLOCs.

Escalabilidade:

• Escale o vSmart horizontalmente; implante pelo menos dois controladores vSmart para redundância e capacidade. O vSmart reflete rotas; o planejamento de capacidade deve levar em conta o total de vRoutes, TLOCs, taxa de atualização e complexidade das políticas.
• Restrinja o churn com sumarização nas filiais (branches), originação controlada de prefixos nos DCs, uso criterioso de rotas de serviço e design cuidadoso de políticas (evite explosões de políticas por prefixo).
• Prefira políticas de controle (control-policy) centralizadas para agregação e anúncio seletivo; use tags para agrupar sites/prefixos em vez de ACLs longas.

Verificação e solução de problemas essenciais:

• Conexões de controle e certificados:
  • show control connections
  • show control local-properties
• Saúde e conteúdo do OMP:
  • show omp peers
  • show omp routes
  • show omp tlocs
  • show omp services
• Equivalentes no IOS XE SD-WAN:
  • show sdwan control connections
  • show sdwan omp peers
  • show sdwan omp routes
  • show sdwan omp tlocs
• Plano de dados e alcançabilidade:
  • show bfd sessions
  • show ip route vpn <id>
  • ping vpn <id> <prefix> tloc <color system-ip encap>
• Problemas comuns:
  • Nenhuma rota OMP: bloqueio por control-policy, prevenção de loop por site-ID em ação, ou incompatibilidade de certificado/identidade.
  • TLOC anunciado, mas sem túnel de plano de dados: incompatibilidade de encapsulamento, NAT traversal bloqueado, ou cores ou preferências incompatíveis restringindo o uso.
  • Rotas de DC duplicadas ou em loop: falta de alinhamento do AS do overlay, falta de filtros BGP de saída na borda do DCI, ou vazamento de rotas aprendidas via OMP de volta para o OMP através do underlay.

Cenário de Problema Prático

A Acme Beverages opera dois data centers (DC1 e DC2) com um DCI de Camada 3 e várias filiais conectadas por Internet/MPLS. Eles observam rotas LAN duplicadas e caminhos assimétricos intermitentes após habilitar a redistribuição OMP↔BGP em ambos os DCs.

Abordagem:

1. Alinhar o AS do overlay em ambos os DCs

• Configure o mesmo AS do overlay nos roteadores WAN Edge do DC1 e do DC2.
• Justificativa: Garante a prevenção de loop de AS-path ao redistribuir do OMP para o BGP e vice-versa, impedindo que cada DC reimporte as rotas do outro aprendidas via OMP através do DCI.

2. Reforçar as políticas de redistribuição BGP/OMP

• Nos WAN Edges, faça o match apenas dos prefixos LAN locais do DC para dentro do OMP; impeça a importação de prefixos aprendidos pelo DCI para o OMP.
• Na direção do BGP, marque com tags as rotas derivadas do OMP e bloqueie o reanúncio de volta para a malha (fabric) ou para o DCI, conforme apropriado.
• Justificativa: O anúncio com privilégio mínimo elimina ecos de rota e o aumento de escopo (scope creep) que produz duplicatas.

3. Usar control-policy do OMP para sumarização

• Sumarize as LANs do DC em agregados mais amplos na control-policy no vSmart; preserve exceções específicas conforme necessário.
• Justificativa: Reduz a escala de rotas e o churn, tornando a detecção de duplicatas menos provável e acelerando a convergência.

4. Normalizar as preferências de TLOC para o comportamento do transporte

• Defina uma preferência de TLOC mais alta para MPLS e mais baixa para Internet nas filiais e DCs; use o peso (weight) para ECMP apenas em links de qualidade semelhante.
• Justificativa: O comportamento determinístico de primário/backup evita instabilidade (flapping) entre transportes diferentes e reduz a assimetria.

5. Validar os site IDs e a supressão de mesmo site (same-site suppression)

• Garanta que os WAN Edges redundantes em cada DC compartilhem o mesmo site ID; as filiais devem ter site IDs únicos.
• Justificativa: A supressão de mesmo site do vSmart impede que um site receba suas próprias rotas de volta, evitando loops internos no site.

6. Verificar a saúde do plano de controle e do plano de dados

• Execute:

  show control connections
  show omp peers
  show omp routes vpn 10
  show omp tlocs
  show sdwan omp routes | inc <DC LAN prefix>
  show bfd sessions

• Justificativa: Confirma que o peering OMP está estável, as sumarizações esperadas estão presentes, nenhum prefixo indesejado está vazando e os túneis do plano de dados estão saudáveis.

7. Preparar (stage) e aplicar (commit) as mudanças com monitoramento

• Aplique as políticas em janelas de manutenção, monitore as tabelas de rotas nas filiais (show ip route vpn X) e use sondas sintéticas (synthetic probes) via application-aware routing.
• Justificativa: Garante que a política alcance a desduplicação sem impacto colateral e fornece pontos de rollback.

Ao alinhar o AS do overlay, aplicar redistribuição precisa, sumarizar no vSmart e normalizar a seleção de TLOC, a Acme elimina rotas duplicadas e estabiliza a seleção de caminho em ambos os DCs e em todas as filiais.

← Onboarding de Controladores · Todos os domínios · Configuração de WAN Edge e Gerenciamento de Templates →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →