Cisco 300-415: OMP, Rotte e Transport Locators — Guida allo studio

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Fa parte della Cisco SD-WAN 300-415 ENSDWI — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

L’Overlay Management Protocol (OMP) è il protocollo del piano di controllo (control-plane) di Cisco SD-WAN utilizzato tra i router WAN Edge e i controller vSmart. vSmart gestisce il piano di controllo dell’overlay e la connettività dei WAN Edge, riflettendo le informazioni di raggiungibilità, policy e chiavi crittografiche a tutti i siti. Le connessioni di controllo verso vSmart utilizzano DTLS di default (TLS è opzionale), mentre i tunnel del piano dati (data-plane) tra i dispositivi WAN Edge usano IPsec. vBond orchestra l’onboarding iniziale dei dispositivi e la connettività mediata verso vSmart. Comprendere come OMP distribuisce vRoute, TLOC e service route, come gli attributi guidano la selezione di rotte e percorsi e come OMP interagisce con il routing BGP/OSPF/statico è essenziale per realizzare architetture stabili e scalabili.

Piano di controllo OMP e scambio di informazioni

OMP è in esecuzione tra ogni WAN Edge e ciascun controller vSmart. I dispositivi WAN Edge non formano adiacenze OMP tra di loro; tutto lo scambio di informazioni avviene tramite vSmart, che agisce come un route reflector.

Scambi chiave del piano di controllo:

• Peering OMP: Connessioni di controllo sicure DTLS/TLS dal WAN Edge a vSmart attraverso la VPN 0. vBond coordina questa discovery del primo hop.
• Distribuzione delle rotte: Il WAN Edge annuncia a vSmart i prefissi VPN locali (vRoute), i TLOC (raggiungibilità del trasporto) e le service route. vSmart riflette le rotte idonee agli altri WAN Edge in base alle policy e alle regole di prevenzione dei loop.
• Distribuzione delle policy: vSmart distribuisce le policy di controllo centralizzate (controllo degli annunci di rotta), le data policy (traffic steering) e le policy di application-aware routing.
• Distribuzione delle chiavi crittografiche: vSmart distribuisce le informazioni sulle chiavi in modo che i router WAN Edge possano formare tunnel IPsec autenticati per il piano dati.
• Mantenimento dello stato e convergenza: Gli aggiornamenti incrementali di OMP trasportano solo le modifiche, con keepalive e hold timer che supervisionano lo stato di salute dell’adiacenza. Il graceful restart consente ai dispositivi di mantenere e contrassegnare le rotte come “stale” (obsolete) durante brevi interruzioni del piano di controllo, preservando l’inoltro del traffico finché i TLOC del piano dati rimangono attivi.

Modalità di guasto da considerare:

• Guasti DTLS/TLS (ad esempio DCONFAIL): problemi di raggiungibilità dell’underlay, blocchi da parte di firewall/NAT, problemi con certificati/orari o errata configurazione dei template.
• Scarti dovuti a control policy: il filtraggio, intenzionale o meno, di vRoute/TLOC causa una raggiungibilità parziale.
• Sovraccarico su vSmart: una capacità insufficiente del controller o un’eccessiva variazione delle rotte (route churn) aumenta il tempo di convergenza.

Rotte OMP, TLOC e attributi

OMP trasporta tre tipi di rotte principali e un costrutto generico di prefisso IP.

• vRoute (rotta VPN): Una rotta dell’overlay verso un prefisso VPN (IPv4/IPv6) con un next-hop espresso come uno o più TLOC. Gli attributi includono origin, Originator, site ID, VPN ID, preference, tag e il set di TLOC. vSmart li utilizza per rifletterli ad altri siti e per applicare policy e prevenzione dei loop.
• TLOC route: Annuncia una “transport location”, ovvero la tupla che identifica un endpoint di trasporto del WAN Edge. Un TLOC è definito in modo univoco da system IP, color ed encapsulation. Le TLOC route consentono a tutti i peer di apprendere come raggiungere gli underlay di ogni trasporto per costruire i tunnel IPsec.
• Service route: Annuncia un servizio presente in una VPN (ad esempio, firewall, IDS/IPS, servizi L4–7). Viene utilizzata con il service chaining per instradare il traffico attraverso i nodi di servizio.
• IP prefix: Il prefisso stesso (IPv4/IPv6) nella VPN; in pratica, la vRoute trasporta il prefisso IP più i next-hop (TLOC). Le policy possono effettuare il matching sull’elemento del prefisso IP durante il filtraggio o l’impostazione degli attributi.

Attributi dei TLOC e loro ruoli:

• System IP: L’ID del router SD-WAN; parte della chiave del TLOC (system-ip, color, encapsulation).
• Color: Etichetta logica del trasporto che indica l’underlay WAN (ad esempio, mpls, biz-internet, public-internet, varianti private). I “color” guidano le policy e la selezione dell’underlay preferito.
• Encapsulation: IPsec (default) o GRE. Determina il tipo di tunnel del piano dati. L’incapsulamento deve corrispondere tra i peer su una data coppia di TLOC.
• Preference: Priorità relativa per la selezione dei TLOC; una preferenza più alta viene scelta per prima tra più opzioni di TLOC. Utile per configurazioni attivo/backup tra trasporti diversi (ad esempio, MPLS preferito rispetto a Internet).
• Weight: Utilizzato per il bilanciamento del carico ponderato (weighted load-balancing) tra TLOC ECMP (Equal-Cost Multi-Path) di pari preferenza. Un peso maggiore aumenta la quota di traffico.
• Tag: Un’etichetta di policy per il raggruppamento/selezione (non ha di per sé una semantica di inoltro).

Linee guida operative e di progettazione:

• Annunciare almeno due TLOC per sito per garantire alta disponibilità e diversità di trasporto. Usare l’attributo “preference” per un comportamento primario/backup; usare “weight” per il bilanciamento ECMP proporzionale quando si desiderano percorsi a costo uguale.
• Mantenere i “color” semanticamente coerenti in tutta la fabric per semplificare le control policy e l’application-aware routing.
• Verificare l’allineamento dell’incapsulamento e le caratteristiche del NAT per ogni trasporto; disallineamenti o NAT asimmetrico possono impedire la formazione di SA IPsec anche se il piano di controllo OMP è attivo.

Annuncio, Ridistribuzione, Selezione e Prevenzione dei Loop

L’annuncio e la selezione delle route avvengono su due livelli: all’interno di OMP e all’interno della RIB locale sui WAN Edge.

All’interno di OMP:

• Il WAN Edge origina le route locali (connesse, statiche, BGP, OSPF) in OMP per ogni VPN, se consentito dalla route-policy. La sumarizzazione e l’assegnazione di tag possono essere applicate all’origine o su vSmart.
• vSmart riflette le vRoute e i TLOC verso altri siti in base alla control policy. Di default, vSmart non riflette una route indietro verso lo stesso site ID da cui è stata appresa, prevenendo loop interni al sito tra router ridondanti.
• La selezione delle route OMP confronta gli attributi in questo ordine: preferenza OMP più alta, tipo di origine più basso (se applicabile), metrica di tipo MED più bassa (se presente) e meccanismi di spareggio deterministici come gli ID dell’Originator e del router. Tra vRoute equivalenti, possono essere mantenuti più next-hop TLOC per l’ECMP.

Tra protocolli di routing sul WAN Edge (preferenza amministrativa):

• La RIB confronta le route candidate provenienti da sorgenti connesse, statiche, BGP, OSPF e OMP. Di default, le route di origine locale (connesse/statiche) e quelle dell’IGP/BGP dell’underlay sono preferite rispetto a OMP per prefissi identici. Questo evita di preferire erroneamente una copia di una rete raggiungibile localmente, appresa tramite l’overlay.
• Se è necessario preferire OMP per prefissi specifici (ad esempio, per evitare un ritorno asimmetrico sull’underlay), utilizzare il filtraggio delle route o annunci di prefissi più lunghi invece di affidarsi a modifiche della preferenza globale.

Interoperabilità e ridistribuzione:

• OSPF: Ridistribuire OSPF in OMP dalle VPN di filiali/DC con filtri sui prefissi espliciti. Quando si esportano le route da OMP a OSPF nei DC, evitare di ri-annunciare le route apprese dall’altro DC tramite la DCI.
• BGP: Utilizzare la ridistribuzione da OMP a BGP e da BGP a OMP sugli edge dei DC per integrarsi con il core del data center. Per prevenire loop di routing e apprendimento duplicato attraverso una DCI tra due gruppi di WAN Edge di DC, configurare lo stesso AS dell’overlay su entrambi i DC. L’AS dell’overlay partecipa alla logica di prevenzione dei loop basata sull’AS-path quando le route apprese da OMP vengono iniettate in BGP e viceversa, impedendo alle route di rimbalzare tra i DC.
• Statiche: Utilizzare per l’originazione della route di default in OMP o per una raggiungibilità specifica, con rigide misure di protezione basate su policy per evitare di causare accidentalmente il blackholing del traffico.
• Site ID: Assegnare lo stesso site ID ai router WAN Edge ridondanti nello stesso sito fisico. vSmart tratterrà dal ri-annunciare le vRoute di un sito a quel sito stesso, prevenendo loop dell’overlay. Siti fisici diversi devono utilizzare site ID univoci.

Route leaking tra VPN di servizio:

• Utilizzare una control-policy centralizzata per esportare prefissi selezionati da una VPN a un’altra, per poi importarli nella VPN di destinazione. Il leaking avviene nel piano di controllo (control plane); non esistono route-target VRF, è la policy a svolgere questa funzione.
• Applicare il principio del minimo privilegio: effettuare una corrispondenza con prefissi o tag espliciti, impostare community/tag appropriati ed evitare di far trapelare la route 0/0 o sumarizzazioni ampie, a meno che non sia intenzionale.
• Considerare la policy di sicurezza: le route trapelate (leaked) potrebbero bypassare le zone di sicurezza; coordinarsi con il firewall basato su zone, la segmentazione e le service chain.

Estensione TLOC e doppio trasporto:

• L’estensione TLOC consente a un WAN Edge di condividere un circuito di trasporto connesso a un altro WAN Edge tramite un’interfaccia LAN. Ciò abilita la raggiungibilità con doppio trasporto quando un solo dispositivo termina fisicamente un dato underlay.
• Vantaggi: mantiene la diversità di trasporto e il comportamento attivo/backup in base alla preferenza TLOC senza duplicare i CPE.
• Rischi: introduce domini di guasto (se l’edge proprietario si guasta, il trasporto esteso viene perso), consuma banda LAN e può creare percorsi asimmetrici. Utilizzare BFD veloce e preferenze primario/backup chiaramente definite.

Alta Disponibilità, Timer e Considerazioni sulla Scalabilità

Riavvio graduale (Graceful restart):

• OMP supporta il riavvio graduale (graceful restart) in modo che, in caso di interruzioni del control-plane (ad esempio, ricaricamento di vSmart o flap di rete), i peer riceventi contrassegnino le route come obsolete (stale) e le conservino mentre tentano di ristabilire il peering. I tunnel IPsec del data-plane e BFD mantengono il flusso del traffico se i TLOC rimangono attivi.
• Quando i timer per le route obsolete scadono senza ripristino, le route obsolete vengono ritirate per prevenire i blackhole. Abilitare il graceful restart sia sui WAN Edge che su vSmart per un comportamento coerente.

Timer di hold e vitalità (liveliness):

• Il peering OMP utilizza keepalive periodici sulla sessione di controllo DTLS/TLS. Il timer di hold determina quando un peer che non risponde viene dichiarato non attivo. La regolazione è raramente necessaria; concentrarsi sulla stabilità dell’underlay e sul controllo del jitter per evitare falsi positivi.
• La vitalità del data-plane è indipendente: BFD su ogni tunnel IPsec guida il rilevamento rapido dei guasti e l’instradamento (steering) tra i TLOC.

Scalabilità:

• Scalare vSmart orizzontalmente; implementare almeno due controller vSmart per ridondanza e capacità. vSmart riflette le route; la pianificazione della capacità deve tenere conto del numero totale di vRoute, TLOC, tasso di aggiornamento e complessità delle policy.
• Limitare il churn con la sumarizzazione nelle filiali, l’originazione controllata dei prefissi nei DC, l’uso oculato delle service route e un’attenta progettazione delle policy (evitare esplosioni di policy per-prefisso).
• Preferire control-policy centralizzate per l’aggregazione e l’advertisement selettivo; usare i tag per raggruppare siti/prefissi invece di lunghe ACL.

Verifica e troubleshooting essenziali:

• Connessioni di controllo e certificati:
  • show control connections
  • show control local-properties
• Stato e contenuto di OMP:
  • show omp peers
  • show omp routes
  • show omp tlocs
  • show omp services
• Equivalenti in IOS XE SD-WAN:
  • show sdwan control connections
  • show sdwan omp peers
  • show sdwan omp routes
  • show sdwan omp tlocs
• Data-plane e raggiungibilità:
  • show bfd sessions
  • show ip route vpn <id>
  • ping vpn <id> <prefix> tloc <color system-ip encap>
• Problemi comuni:
  • Nessuna route OMP: blocco da parte di una control-policy, prevenzione dei loop basata sul site-ID in azione, o mancata corrispondenza del certificato/identità.
  • TLOC pubblicizzato ma nessun tunnel nel data-plane: mancata corrispondenza dell’incapsulamento, attraversamento del NAT (NAT traversal) bloccato, colori o preferenze incompatibili che ne limitano l’uso.
  • Route duplicate o in loop dai DC: mancato allineamento dell’AS dell’overlay, mancanza di filtri BGP in uscita (outbound) sul DCI edge, o route apprese da OMP che vengono reinserite (leaking) in OMP attraverso l’underlay.

Scenario di un Problema Pratico

Acme Beverages gestisce due data center (DC1 e DC2) con una DCI di Livello 3 e diverse filiali connesse tramite Internet/MPLS. Dopo aver abilitato la redistribuzione OMP↔BGP in entrambi i DC, osservano route LAN duplicate e percorsi asimmetrici intermittenti.

Approccio:

1. Allineare l’AS dell’overlay in entrambi i DC

• Configurare lo stesso AS dell’overlay sui router WAN Edge di DC1 e DC2.
• Motivazione: Garantisce la prevenzione dei loop tramite AS-path durante la redistribuzione da OMP a BGP e viceversa, impedendo a ciascun DC di reimportare le route apprese da OMP dell’altro DC attraverso il DCI.

2. Rafforzare le policy di redistribuzione BGP/OMP

• Sui WAN Edge, fare il match solo dei prefissi LAN locali del DC verso OMP; impedire l’importazione in OMP di prefissi appresi dal DCI.
• In direzione BGP, taggare le route derivate da OMP e bloccarne la ri-pubblicizzazione (readvertisement) verso il fabric o il DCI, a seconda dei casi.
• Motivazione: L’advertisement con il minimo privilegio elimina gli echi di route e l’espansione incontrollata dello scope (scope creep) che produce duplicati.

3. Usare le control-policy OMP per la sumarizzazione

• Sumarizzare le LAN dei DC in aggregati più ampi nella control-policy su vSmart; mantenere le eccezioni specifiche se necessario.
• Motivazione: Riduce la scala delle route e il churn, rendendo meno probabile il rilevamento di duplicati e accelerando la convergenza.

4. Normalizzare le preferenze dei TLOC per il comportamento del trasporto

• Impostare una preferenza TLOC più alta per MPLS e più bassa per Internet nelle filiali e nei DC; usare il peso (weight) per l’ECMP solo su link di qualità simile.
• Motivazione: Un comportamento primario/backup deterministico previene il flapping tra trasporti dissimili e riduce l’asimmetria.

5. Validare i site ID e la soppressione same-site

• Assicurarsi che i WAN Edge ridondanti in ogni DC condividano lo stesso site ID; le filiali devono avere site ID univoci.
• Motivazione: La soppressione same-site di vSmart impedisce a un sito di ricevere indietro le proprie route, evitando loop interni al sito.

6. Verificare lo stato del control-plane e del data-plane

• Eseguire:

  show control connections
  show omp peers
  show omp routes vpn 10
  show omp tlocs
  show sdwan omp routes | inc <DC LAN prefix>
  show bfd sessions

• Motivazione: Conferma che il peering OMP è stabile, le sumarizzazioni attese sono presenti, nessun prefisso non intenzionale viene propagato (leak) e i tunnel del data-plane sono integri.

7. Implementare e confermare (commit) le modifiche con monitoraggio

• Applicare le policy durante le finestre di manutenzione, monitorare le tabelle di routing nelle filiali (show ip route vpn X) e usare sonde sintetiche tramite l’application-aware routing.
• Motivazione: Assicura che la policy realizzi la deduplicazione senza impatti collaterali e fornisce checkpoint per il rollback.

Allineando l’AS dell’overlay, applicando una redistribuzione precisa, sumarizzando su vSmart e normalizzando la selezione dei TLOC, Acme elimina le route duplicate e stabilizza la selezione del percorso tra entrambi i DC e tutte le filiali.

← Onboarding dei controller · Tutti i domini · Configurazione dei WAN Edge e Gestione dei template →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →