Cisco 300-415: OMP, Routen und Transport-Locators — Lernleitfaden

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Teil des Cisco SD-WAN 300-415 ENSDWI — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Das Overlay Management Protocol (OMP) ist das Control-Plane-Protokoll von Cisco SD-WAN, das zwischen WAN-Edge-Routern und vSmart-Controllern verwendet wird. vSmart verwaltet die Overlay-Control-Plane und die Konnektivität der WAN-Edge-Geräte und spiegelt Erreichbarkeits-, Richtlinien- und Schlüsselinformationen an alle Standorte. Steuerungsverbindungen zu vSmart verwenden standardmäßig DTLS (TLS optional), während Data-Plane-Tunnel zwischen WAN-Edge-Geräten IPsec nutzen. vBond orchestriert das anfängliche Onboarding von Geräten und die vermittelte Konnektivität zu vSmart. Das Verständnis, wie OMP vRoutes, TLOCs und Service-Routen verteilt, wie Attribute die Routen- und Pfadauswahl steuern und wie OMP mit BGP/OSPF/statischem Routing interagiert, ist für stabile und skalierbare Designs unerlässlich.

OMP Control Plane und Informationsaustausch

OMP wird zwischen jedem WAN Edge und jedem vSmart-Controller ausgeführt. WAN-Edge-Geräte bilden keine OMP-Adjacencies untereinander; der gesamte Austausch erfolgt über vSmart, der als Route Reflector fungiert.

Wichtige Austausche auf der Control Plane:

• OMP-Peering: Sichere DTLS/TLS-Steuerungsverbindungen vom WAN Edge zum vSmart über VPN 0. vBond koordiniert diese First-Hop-Discovery.
• Routenverteilung: WAN Edge kündigt lokale VPN-Präfixe (vRoutes), TLOCs (Transporterreichbarkeit) und Service-Routen an vSmart an. vSmart spiegelt berechtigte Routen basierend auf Richtlinien und Regeln zur Schleifenvermeidung an andere WAN-Edge-Geräte.
• Richtlinienverteilung: vSmart verteilt zentralisierte Control Policies (Steuerung der Routenankündigung), Data Policies (Traffic Steering) und Application-Aware-Routing-Richtlinien.
• Crypto-Keying: vSmart verteilt Schlüsselinformationen, damit WAN-Edge-Router authentifizierte IPsec-Data-Plane-Tunnel aufbauen können.
• Zustandsbehaftung und Konvergenz: Inkrementelle OMP-Updates enthalten nur Änderungen, wobei Keepalives und Hold-Timer den Zustand der Adjacency überwachen. Graceful Restart ermöglicht es Geräten, Routen bei kurzen Ausfällen der Control Plane beizubehalten und als veraltet (stale) zu markieren, wodurch das Forwarding aufrechterhalten wird, solange die Data-Plane-TLOCs aktiv bleiben.

Zu berücksichtigende Fehlermodi:

• DTLS/TLS-Fehler (z. B. DCONFAIL): Erreichbarkeit des Underlays, Blockierung durch Firewall/NAT, Zertifikats-/Zeitprobleme oder Fehlkonfiguration von Templates.
• Verwerfen durch Control Policy: Beabsichtigtes oder unbeabsichtigtes Filtern von vRoutes/TLOCs führt zu teilweiser Erreichbarkeit.
• Überbuchung bei vSmart: Unzureichende Controller-Kapazität oder exzessiver Route Churn erhöht die Konvergenzzeit.

OMP-Routen, TLOCs und Attribute

OMP transportiert drei primäre Routentypen und ein allgemeines IP-Präfix-Konstrukt.

• vRoute (VPN-Route): Eine Overlay-Route zu einem VPN-Präfix (IPv4/IPv6), deren Next-Hop als ein oder mehrere TLOCs ausgedrückt wird. Zu den Attributen gehören Origin, Originator, Site-ID, VPN-ID, Preference, Tag und der TLOC-Satz. vSmart verwendet diese, um Routen an andere Standorte zu spiegeln und Richtlinien sowie Schleifenvermeidung durchzusetzen.
• TLOC-Route: Kündigt einen Transport-Standort (Transport Location) an – das Tupel, das einen WAN-Edge-Transportendpunkt identifiziert. Ein TLOC wird eindeutig durch System-IP, Color und Encapsulation definiert. TLOC-Routen ermöglichen es allen Peers zu lernen, wie sie die jeweiligen Transport-Underlays erreichen können, um IPsec-Tunnel aufzubauen.
• Service-Route: Kündigt einen in einem VPN vorhandenen Dienst an (z. B. Firewall, IDS/IPS, L4–7-Dienste). Wird mit Service Chaining verwendet, um den Datenverkehr über Service-Knoten zu leiten.
• IP-Präfix: Das Präfix selbst (IPv4/IPv6) im VPN; praktisch transportiert die vRoute das IP-Präfix plus Next-Hops (TLOCs). Richtlinien können auf das IP-Präfix-Element matchen, um Attribute zu filtern oder zu setzen.

TLOC-Attribute und ihre Rollen:

• System-IP: Die Router-ID des SD-WAN; Teil des TLOC-Schlüssels (System-IP, Color, Encapsulation).
• Color: Logisches Transport-Label, das das WAN-Underlay anzeigt (z. B. mpls, biz-internet, public-internet, private Varianten). Colors steuern Richtlinien und die Auswahl des bevorzugten Underlays.
• Encapsulation: IPsec (Standard) oder GRE. Bestimmt den Typ des Data-Plane-Tunnels. Die Encapsulation muss zwischen den Peers eines gegebenen TLOC-Paares übereinstimmen.
• Preference: Relative Priorität für die TLOC-Auswahl; eine höhere Preference wird bei mehreren TLOC-Optionen zuerst gewählt. Nützlich für Aktiv/Backup über verschiedene Transporte hinweg (z. B. MPLS bevorzugt gegenüber Internet).
• Weight: Wird für gewichtetes Load-Balancing über ECMP-TLOCs mit gleicher Preference verwendet. Ein höheres Gewicht erhöht den Anteil am Datenverkehr.
• Tag: Ein Richtlinien-Label zur Gruppierung/Auswahl (hat selbst keine Forwarding-Semantik).

Design- und Betriebsanleitungen:

• Kündigen Sie mindestens zwei TLOCs pro Standort an, um Hochverfügbarkeit und Transportdiversität zu gewährleisten. Verwenden Sie Preference für primäres/Backup-Verhalten; verwenden Sie Weight für proportionales ECMP, wenn gleichwertige Pfade (Equal-Cost Paths) gewünscht sind.
• Halten Sie Colors semantisch konsistent über die gesamte Fabric, um Control Policies und Application-Aware-Routing zu vereinfachen.
• Überprüfen Sie die Übereinstimmung der Encapsulation und die NAT-Eigenschaften pro Transport; Nichtübereinstimmungen oder asymmetrisches NAT können die Bildung von IPsec-SAs verhindern, selbst wenn die OMP-Steuerung aktiv ist.

Verbreitung, Umverteilung, Auswahl und Schleifenverhinderung

Die Routenverbreitung und -auswahl erfolgt auf zwei Ebenen: innerhalb von OMP und innerhalb der lokalen RIB auf WAN Edges.

Innerhalb von OMP:

• Ein WAN Edge publiziert lokale Routen (connected, static, BGP, OSPF) in OMP pro VPN, sofern dies durch eine Route-Policy erlaubt ist. Zusammenfassung und Tagging können bei der Erstellung oder auf dem vSmart angewendet werden.
• vSmart reflektiert vRoutes und TLOCs zu anderen Standorten gemäß der Control-Policy. Standardmäßig reflektiert vSmart eine Route nicht zurück zur selben Site-ID, von der sie gelernt wurde, was standortinterne Schleifen über redundante Router hinweg verhindert.
• Die OMP-Routenauswahl vergleicht Attribute in der folgenden Reihenfolge: höhere OMP-Präferenz, niedrigster Ursprungstyp (falls zutreffend), niedrigste MED-ähnliche Metrik (falls vorhanden) und deterministische Tie-Breaker wie Originator- und Router-IDs. Unter gleichwertigen vRoutes können mehrere TLOC-Next-Hops für ECMP beibehalten werden.

Zwischen Routing-Protokollen auf dem WAN Edge (administrative Präferenz):

• Die RIB vergleicht Kandidaten von connected, static, BGP, OSPF und OMP. Standardmäßig werden lokal bezogene Routen (connected/static) und Underlay-IGP/BGP gegenüber OMP für identische Präfixe bevorzugt. Dies vermeidet die irrtümliche Bevorzugung einer über das Overlay gelernten Kopie eines lokal erreichbaren Netzwerks.
• Wenn Sie OMP für bestimmte Präfixe bevorzugen müssen (zum Beispiel, um asymmetrischen Rückverkehr über das Underlay zu vermeiden), verwenden Sie Routenfilterung oder die Ankündigung längerer Präfixe, anstatt sich auf globale Änderungen der Präferenz zu verlassen.

Interoperabilität und Umverteilung:

• OSPF: Verteilen Sie OSPF aus Zweigstellen-/DC-VPNs mit expliziten Präfixfiltern in OMP um. Beim Exportieren von OMP in OSPF in den DCs vermeiden Sie die erneute Ankündigung von Routen, die vom anderen DC über die DCI gelernt wurden.
• BGP: Verwenden Sie die Umverteilung von OMP-zu-BGP und BGP-zu-OMP an den Rändern des Rechenzentrums (DC-Edges), um die Integration mit dem Kern des Rechenzentrums zu gewährleisten. Um Routingschleifen und doppeltes Lernen über eine DCI zwischen zwei Sätzen von DC WAN Edges zu verhindern, konfigurieren Sie auf beiden DCs dasselbe Overlay-AS. Das Overlay-AS nimmt an der AS-Pfad-Schleifenverhinderungslogik teil, wenn von OMP gelernte Routen in BGP injiziert werden und umgekehrt, wodurch verhindert wird, dass Routen zwischen den DCs hin- und herspringen.
• Static: Verwenden Sie dies für die Erstellung einer Default-Route in OMP oder für spezifische Erreichbarkeit, mit strengen Policy-Leitplanken, um zu vermeiden, dass Verkehr versehentlich in ein Blackhole geleitet wird.
• Site ID: Weisen Sie redundanten WAN-Edge-Routern am selben physischen Standort dieselbe Site-ID zu. vSmart wird die erneute Ankündigung der eigenen vRoutes eines Standorts zurück zu diesem Standort unterdrücken, was Overlay-Schleifen verhindert. Unterschiedliche physische Standorte müssen eindeutige Site-IDs verwenden.

Route-Leaking zwischen Service-VPNs:

• Verwenden Sie eine zentralisierte Control-Policy, um ausgewählte Präfixe von einem VPN in ein anderes zu exportieren und sie dann im Ziel-VPN zu importieren. Das Leaking findet in der Control Plane statt; es existieren keine VRF-Route-Targets – die Policy übernimmt diese Rolle.
• Wenden Sie das Prinzip der geringsten Rechte an: Stimmen Sie explizite Präfixe oder Tags ab, setzen Sie passende Communities/Tags und vermeiden Sie das Leaking von 0/0 oder breiten Zusammenfassungen, es sei denn, dies ist beabsichtigt.
• Berücksichtigen Sie die Sicherheitsrichtlinie: Geleakte Routen können Sicherheitszonen umgehen; stimmen Sie sich mit zonenbasierten Firewalls, Segmentierung und Service-Chains ab.

TLOC-Erweiterung und Dual-Transport:

• Die TLOC-Erweiterung ermöglicht es einem WAN Edge, eine Transportschaltung, die über eine LAN-Schnittstelle mit einem anderen WAN Edge verbunden ist, zu teilen. Dies ermöglicht eine Dual-Transport-Erreichbarkeit, wenn nur ein Gerät ein bestimmtes Underlay physisch terminiert.
• Vorteile: Behält die Transportvielfalt und das Aktiv/Backup-Verhalten gemäß der TLOC-Präferenz bei, ohne CPE zu duplizieren.
• Risiken: Führt Fehlerdomänen ein (wenn der besitzende Edge ausfällt, geht der erweiterte Transport verloren), verbraucht LAN-Bandbreite und kann asymmetrische Pfade erzeugen. Verwenden Sie schnelles BFD und klar definierte Primär/Backup-Präferenzen.

Hochverfügbarkeit, Timer und Skalierungsaspekte

Graceful Restart:

• OMP unterstützt Graceful Restart, sodass bei Unterbrechungen der Control-Plane (z. B. Neuladen eines vSmart oder eine Netzwerkinstabilität) empfangende Peers Routen als veraltet (stale) markieren und beibehalten, während sie versuchen, das Peering wiederherzustellen. Data-Plane-IPsec-Tunnel und BFD halten den Datenverkehr aufrecht, wenn die TLOCs aktiv bleiben.
• Wenn die Stale-Timer ohne Wiederherstellung ablaufen, werden die veralteten Routen zurückgezogen, um Blackholes zu verhindern. Aktivieren Sie Graceful Restart sowohl auf dem WAN Edge als auch auf dem vSmart für ein konsistentes Verhalten.

Hold-Timer und Liveness:

• OMP-Peering verwendet periodische Keepalives auf der DTLS/TLS-Control-Session. Der Hold-Timer bestimmt, wann ein nicht reagierender Peer als ausgefallen deklariert wird. Eine Anpassung ist selten erforderlich; konzentrieren Sie sich auf die Stabilität des Underlays und die Jitter-Kontrolle, um Fehlalarme (False Positives) zu vermeiden.
• Die Liveness der Data-Plane ist unabhängig: BFD über jeden IPsec-Tunnel steuert die schnelle Fehlererkennung und die Umleitung zwischen TLOCs.

Skalierbarkeit:

• Skalieren Sie vSmart horizontal; stellen Sie mindestens zwei vSmart-Controller für Redundanz und Kapazität bereit. vSmart reflektiert Routen; die Kapazitätsplanung muss die Gesamtzahl der vRoutes, TLOCs, die Update-Rate und die Komplexität der Richtlinien berücksichtigen.
• Begrenzen Sie den Churn (Änderungsrate) durch Zusammenfassung (Summarization) in den Zweigstellen, kontrollierte Präfix-Generierung in den Rechenzentren, überlegten Einsatz von Service-Routen und sorgfältiges Richtliniendesign (vermeiden Sie eine Explosion von Pro-Präfix-Richtlinien).
• Bevorzugen Sie eine zentralisierte Control-Policy für die Aggregation und selektive Ankündigung; verwenden Sie Tags, um Standorte/Präfixe zu gruppieren, anstatt langer ACLs.

Grundlagen der Verifizierung und Fehlerbehebung:

• Control-Verbindungen und Zertifikate:
  • show control connections
  • show control local-properties
• OMP-Zustand und -Inhalt:
  • show omp peers
  • show omp routes
  • show omp tlocs
  • show omp services
• IOS XE SD-WAN-Äquivalente:
  • show sdwan control connections
  • show sdwan omp peers
  • show sdwan omp routes
  • show sdwan omp tlocs
• Data-Plane und Erreichbarkeit:
  • show bfd sessions
  • show ip route vpn <id>
  • ping vpn <id> <prefix> tloc <color system-ip encap>
• Häufige Probleme:
  • Keine OMP-Routen: Blockierung durch Control-Policy, aktive Loop-Prävention durch Site-ID oder Nichtübereinstimmung von Zertifikat/Identität.
  • TLOC angekündigt, aber kein Data-Plane-Tunnel: Nichtübereinstimmung bei der Kapselung, blockiertes NAT-Traversal, inkompatible Farben oder Präferenzen, die die Nutzung einschränken.
  • Doppelte oder schleifende DC-Routen: fehlende Angleichung des Overlay-AS, fehlende ausgehende BGP-Filter am DCI-Edge oder Zurückleiten von über OMP gelernten Routen in OMP über das Underlay.

Praktisches Problemszenario

Acme Beverages betreibt zwei Rechenzentren (DC1 und DC2) mit einer Layer-3-DCI und mehreren über Internet/MPLS angebundenen Zweigstellen. Sie beobachten doppelte LAN-Routen und zeitweise asymmetrische Pfade, nachdem sie die OMP↔BGP-Redistribution in beiden Rechenzentren aktiviert haben.

Vorgehensweise:

1. Overlay-AS in beiden Rechenzentren angleichen

• Konfigurieren Sie dasselbe Overlay-AS auf den WAN-Edge-Routern von DC1 und DC2.
• Begründung: Stellt die AS-Pfad-Schleifenverhinderung bei der Redistribution von OMP in BGP und umgekehrt sicher und verhindert, dass jedes DC die über OMP gelernten Routen des anderen über die DCI reimportiert.

2. BGP/OMP-Redistributionsrichtlinien verschärfen

• Auf den WAN Edges nur DC-lokale LAN-Präfixe in OMP übernehmen; den Import von über DCI gelernten Präfixen in OMP verhindern.
• In BGP-Richtung die von OMP abgeleiteten Routen taggen und die erneute Ankündigung zurück in die Fabric oder zur DCI entsprechend blockieren.
• Begründung: Die Ankündigung nach dem Prinzip der geringsten Rechte (Least Privilege) eliminiert Routen-Echos und eine Ausweitung des Geltungsbereichs (Scope Creep), die zu Duplikaten führt.

3. OMP-Control-Policy zur Zusammenfassung verwenden

• Fassen Sie die DC-LANs in der Control-Policy auf dem vSmart zu groben Aggregaten zusammen; behalten Sie bei Bedarf spezifische Ausnahmen bei.
• Begründung: Reduziert die Routen-Skalierung und den Churn, was die Erkennung von Duplikaten unwahrscheinlicher macht und die Konvergenz beschleunigt.

4. TLOC-Präferenzen für das Transportverhalten normalisieren

• Setzen Sie eine höhere TLOC-Präferenz für MPLS und eine niedrigere für Internet in den Zweigstellen und Rechenzentren; verwenden Sie die Gewichtung (Weight) für ECMP nur bei Verbindungen gleicher Qualität.
• Begründung: Deterministisches Primär/Backup-Verhalten verhindert Flapping über ungleiche Transportwege und reduziert die Asymmetrie.

5. Site-IDs und Same-Site-Suppression validieren

• Stellen Sie sicher, dass redundante WAN Edges in jedem DC dieselbe Site-ID teilen; Zweigstellen haben eindeutige Site-IDs.
• Begründung: Die Same-Site-Suppression von vSmart verhindert, dass ein Standort seine eigenen Routen zurückerhält, was standortinterne Schleifen abwendet.

6. Zustand der Control-Plane und Data-Plane überprüfen

• Ausführen:

  show control connections
  show omp peers
  show omp routes vpn 10
  show omp tlocs
  show sdwan omp routes | inc <DC LAN prefix>
  show bfd sessions

• Begründung: Bestätigt, dass das OMP-Peering stabil ist, die erwarteten Zusammenfassungen vorhanden sind, keine unbeabsichtigten Präfixe durchsickern und die Data-Plane-Tunnel fehlerfrei sind.

7. Änderungen mit Überwachung stufenweise einführen und bestätigen (Stage and Commit)

• Wenden Sie Richtlinien in Wartungsfenstern an, überwachen Sie die Routing-Tabellen in den Zweigstellen (show ip route vpn X) und verwenden Sie synthetische Tests (Probes) über Application-Aware Routing.
• Begründung: Stellt sicher, dass die Richtlinie die Deduplizierung ohne Kollateralschäden erreicht und Rollback-Punkte bereitstellt.

Durch die Angleichung des Overlay-AS, die Durchsetzung einer präzisen Redistribution, die Zusammenfassung auf dem vSmart und die Normalisierung der TLOC-Auswahl eliminiert Acme doppelte Routen und stabilisiert die Pfadauswahl über beide Rechenzentren und alle Zweigstellen hinweg.

← Controller-Onboarding · Alle Domänen · WAN-Edge-Konfiguration und Template-Management →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →