Cisco 300-415: OMP, Routes en Transport Locators — Studiegids

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Onderdeel van de Cisco SD-WAN 300-415 ENSDWI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Overlay Management Protocol (OMP) is het control-plane-protocol van Cisco SD-WAN dat wordt gebruikt tussen WAN Edge-routers en vSmart-controllers. vSmart beheert het overlay-control-plane en de connectiviteit van de WAN Edge, en reflecteert bereikbaarheids-, policy- en sleutelinformatie naar alle sites. Controleverbindingen naar vSmart gebruiken standaard DTLS (TLS is optioneel), terwijl data-plane-tunnels tussen WAN Edge-apparaten IPsec gebruiken. vBond orkestreert de initiële onboarding van apparaten en de bemiddelde connectiviteit met vSmart. Begrijpen hoe OMP vRoutes, TLOC’s en service-routes distribueert, hoe attributen de route- en padselectie sturen, en hoe OMP interageert met BGP/OSPF/statische routing is essentieel voor stabiele, schaalbare ontwerpen.

OMP Control Plane en Informatie-uitwisseling

OMP draait tussen elke WAN Edge en elke vSmart-controller. WAN Edge-apparaten vormen geen OMP-adjacencies met elkaar; alle uitwisseling verloopt via vSmart, die fungeert als een route reflector.

Belangrijkste uitwisselingen in het control-plane:

• OMP-peering: Beveiligde DTLS/TLS-controleverbindingen van WAN Edge naar vSmart via VPN 0. vBond coördineert deze first-hop discovery.
• Routedistributie: WAN Edge adverteert lokale VPN-prefixes (vRoutes), TLOC’s (transportbereikbaarheid) en service-routes naar vSmart. vSmart reflecteert in aanmerking komende routes naar andere WAN Edges op basis van policy en regels voor luspreventie.
• Policydistributie: vSmart distribueert gecentraliseerde control policies (controle over route-advertenties), data policies (traffic steering) en application-aware routing policies.
• Cryptografische sleuteluitwisseling: vSmart distribueert sleutelinformatie zodat WAN Edge-routers geauthenticeerde IPsec data-plane-tunnels kunnen vormen.
• Statefulness en convergentie: Incrementele OMP-updates bevatten alleen wijzigingen, terwijl keepalives en hold-timers de gezondheid van de adjacency bewaken. Graceful restart stelt apparaten in staat om routes te behouden en als ‘stale’ te markeren tijdens korte storingen in het control-plane, waardoor forwarding behouden blijft zolang de data-plane TLOC’s actief zijn.

Te overwegen faalscenario’s:

• DTLS/TLS-storingen (bijvoorbeeld DCONFAIL): bereikbaarheid van de underlay, blokkades door firewall/NAT, problemen met certificaten/tijd, of template-misconfiguratie.
• Drops door control-policy: bedoelde of onbedoelde filtering van vRoutes/TLOC’s veroorzaakt gedeeltelijke bereikbaarheid.
• Over-subscription bij vSmart: onvoldoende controllercapaciteit of excessieve ‘route churn’ verhoogt de convergentietijd.

OMP Routes, TLOC’s en Attributen

OMP transporteert drie primaire routetypes en een algemeen IP-prefixconstruct.

• vRoute (VPN-route): Een overlay-route naar een VPN-prefix (IPv4/IPv6) met een next-hop uitgedrukt als een of meer TLOC’s. Attributen omvatten origin, Originator, site ID, VPN ID, preference, tag en de TLOC-set. vSmart gebruikt deze om naar andere sites te reflecteren en om policy en luspreventie af te dwingen.
• TLOC-route: Adverteert een transportlocatie—de tuple die een WAN Edge-transport-eindpunt identificeert. Een TLOC wordt uniek gedefinieerd door system IP, color en encapsulation. TLOC-routes stellen alle peers in staat te leren hoe ze elke transport-underlay kunnen bereiken voor het bouwen van IPsec-tunnels.
• Service-route: Adverteert een dienst die aanwezig is in een VPN (bijvoorbeeld firewall, IDS/IPS, L4–7-services). Wordt gebruikt met service chaining om verkeer via service nodes te sturen.
• IP-prefix: Het prefix zelf (IPv4/IPv6) in de VPN; in de praktijk bevat de vRoute het IP-prefix plus de next-hops (TLOC’s). Policies kunnen matchen op het IP-prefix-element bij het filteren of instellen van attributen.

TLOC-attributen en hun rollen:

• System IP: De router-ID van de SD-WAN; onderdeel van de TLOC-sleutel (system-ip, color, encapsulation).
• Color: Een logisch transportlabel dat de WAN-underlay aangeeft (bijvoorbeeld mpls, biz-internet, public-internet, private-varianten). Colors sturen policy en de selectie van de geprefereerde underlay.
• Encapsulation: IPsec (standaard) of GRE. Bepaalt het type data-plane-tunnel. De encapsulation moet overeenkomen tussen peers voor een bepaald TLOC-paar.
• Preference: Relatieve prioriteit voor TLOC-selectie; een hogere preference wordt als eerste gekozen uit meerdere TLOC-opties. Nuttig voor active/backup over verschillende transporten (bijvoorbeeld MPLS geprefereerd boven internet).
• Weight: Gebruikt voor gewogen load-balancing over ECMP TLOC’s met gelijke preference. Een hoger gewicht verhoogt het aandeel in het verkeer.
• Tag: Een policylabel voor groepering/selectie (heeft op zichzelf geen forwarding-semantiek).

Richtlijnen voor ontwerp en beheer:

• Adverteer ten minste twee TLOC’s per site voor hoge beschikbaarheid en transportdiversiteit. Gebruik preference voor primair/backup-gedrag; gebruik weight voor proportionele ECMP wanneer paden met gelijke kosten gewenst zijn.
• Houd colors semantisch consistent over de hele fabric om control policies en application-aware routing te vereenvoudigen.
• Verifieer de afstemming van de encapsulation en de NAT-eigenschappen per transport; mismatches of asymmetrische NAT kunnen de vorming van IPsec SA’s voorkomen, zelfs als de OMP-controle actief is.

Adverteren, Redistributie, Selectie en Luspreventie

Route-advertering en -selectie vinden plaats op twee lagen: binnen OMP en binnen de lokale RIB op WAN Edges.

Binnen OMP:

• Een WAN Edge genereert lokale routes (connected, static, BGP, OSPF) in OMP per VPN, indien toegestaan door een route-policy. Summarisatie en tagging kunnen worden toegepast bij het genereren van de route of op de vSmart.
• vSmart reflecteert vRoutes en TLOCs naar andere sites volgens de control-policy. Standaard reflecteert vSmart een route niet terug naar dezelfde site-ID waarvan deze is geleerd, wat site-interne lussen over redundante routers voorkomt.
• OMP-route-selectie vergelijkt attributen in de volgende volgorde: hogere OMP-preference, laagste origin-type (indien van toepassing), laagste MED-achtige metric (indien aanwezig), en deterministische tiebreakers zoals Originator- en router-ID’s. Tussen gelijkwaardige vRoutes kunnen meerdere TLOC next-hops worden behouden voor ECMP.

Tussen routeringsprotocollen op de WAN Edge (administrative preference):

• De RIB vergelijkt kandidaten van connected, static, BGP, OSPF en OMP. Standaard krijgen lokaal gegenereerde routes (connected/static) en underlay IGP/BGP de voorkeur boven OMP voor identieke prefixes. Dit voorkomt dat per ongeluk de voorkeur wordt gegeven aan een via de overlay geleerde kopie van een lokaal bereikbaar netwerk.
• Als u voor specifieke prefixes de voorkeur moet geven aan OMP (bijvoorbeeld om asymmetrische return-paden via de underlay te vermijden), gebruik dan route-filtering of adverteer langere prefixes in plaats van te vertrouwen op globale aanpassingen van de preference.

Interoperabiliteit en redistributie:

• OSPF: Redistribueer OSPF naar OMP vanuit branch/DC VPN’s met expliciete prefix-filters. Vermijd bij het exporteren van OMP naar OSPF in DC’s het opnieuw adverteren van routes die via de DCI van het andere DC zijn geleerd.
• BGP: Gebruik OMP-naar-BGP en BGP-naar-OMP redistributie op de DC edges om te integreren met de core van het datacenter. Om routeringslussen en het dubbel leren van routes over een DCI tussen twee sets DC WAN Edges te voorkomen, configureer dezelfde overlay-AS op beide DC’s. De overlay-AS neemt deel aan de AS-path luspreventielogica wanneer via OMP geleerde routes in BGP worden geïnjecteerd en vice versa, wat voorkomt dat routes tussen DC’s heen en weer ‘bouncen’.
• Static: Gebruik voor het genereren van een default route in OMP of voor specifieke bereikbaarheid, met strikte policy-richtlijnen om te voorkomen dat verkeer per ongeluk wordt ‘geblackholed’.
• Site-ID: Wijs dezelfde site-ID toe aan redundante WAN Edge-routers op dezelfde fysieke site. vSmart zal het opnieuw adverteren van de eigen vRoutes van een site naar diezelfde site tegenhouden, wat overlay-lussen voorkomt. Verschillende fysieke sites moeten unieke site-ID’s gebruiken.

Route leaking tussen service-VPN’s:

• Gebruik een gecentraliseerde control-policy om geselecteerde prefixes van de ene VPN naar de andere te exporteren en vervolgens te importeren in de doel-VPN. Leaking vindt plaats in de control plane; er bestaan geen VRF route-targets—de policy vervult deze rol.
• Pas het ’least privilege’-principe toe: match expliciete prefixes of tags, stel de juiste communities/tags in en vermijd het ’leaken’ van 0/0 of brede samenvattingen, tenzij dit de bedoeling is.
• Houd rekening met de security policy: ‘gelekte’ routes kunnen security-zones omzeilen; coördineer met de zone-based firewall, segmentatie en service chains.

TLOC-extensie en dual transport:

• TLOC-extensie stelt een WAN Edge in staat om een transportcircuit, dat is aangesloten op een andere WAN Edge, te delen via een LAN-interface. Dit maakt dual-transport bereikbaarheid mogelijk wanneer slechts één apparaat fysiek een bepaalde underlay termineert.
• Voordelen: behoudt transportdiversiteit en actief/backup-gedrag per TLOC-preference zonder CPE te dupliceren.
• Risico’s: introduceert ‘failure domains’ (als de ’eigenaar’-edge uitvalt, gaat het uitgebreide transport verloren), verbruikt LAN-bandbreedte en kan asymmetrische paden creëren. Gebruik snelle BFD en duidelijk gedefinieerde primary/backup-preferences.

Hoge Beschikbaarheid, Timers en Schaalbaarheidsoverwegingen

Graceful restart:

• OMP ondersteunt graceful restart zodat bij onderbrekingen van het control-plane (bijvoorbeeld een herstart van vSmart of een netwerk-flap), ontvangende peers routes als ‘stale’ (verouderd) markeren en deze behouden terwijl ze proberen de peering te herstellen. Data-plane IPsec-tunnels en BFD zorgen ervoor dat het verkeer blijft stromen als de TLOC’s up blijven.
• Wanneer de stale-timers verlopen zonder herstel, worden de verouderde routes ingetrokken om blackholes te voorkomen. Schakel graceful restart in op zowel de WAN Edge als de vSmart voor consistent gedrag.

Hold-timers en Liveliness:

• OMP-peering gebruikt periodieke keepalives op de DTLS/TLS-controlesessie. De hold-timer bepaalt wanneer een niet-reagerende peer als ‘down’ wordt beschouwd. Aanpassing is zelden nodig; focus op de stabiliteit van de underlay en het beheersen van jitter om valse positieven te vermijden.
• De liveliness van het data-plane is onafhankelijk: BFD over elke IPsec-tunnel zorgt voor snelle foutdetectie en sturing tussen TLOC’s.

Schaalbaarheid:

• Schaal vSmart horizontaal; implementeer minstens twee vSmart-controllers voor redundantie en capaciteit. vSmart reflecteert routes; capaciteitsplanning moet rekening houden met het totale aantal vRoutes, TLOC’s, de updatefrequentie en de complexiteit van de policies.
• Beperk ‘churn’ (verloop) met samenvatting op de branches, gecontroleerde prefix-originatie in de DC’s, oordeelkundig gebruik van service-routes en een zorgvuldig policy-ontwerp (vermijd explosies van per-prefix policies).
• Geef de voorkeur aan een gecentraliseerde control-policy voor aggregatie en selectieve ‘advertisement’; gebruik tags om sites/prefixes te groeperen in plaats van lange ACL’s.

Essentiële verificatie en troubleshooting:

• Control-verbindingen en certificaten:
  • show control connections
  • show control local-properties
• OMP-status en inhoud:
  • show omp peers
  • show omp routes
  • show omp tlocs
  • show omp services
• Equivalenten voor IOS XE SD-WAN:
  • show sdwan control connections
  • show sdwan omp peers
  • show sdwan omp routes
  • show sdwan omp tlocs
• Data-plane en bereikbaarheid:
  • show bfd sessions
  • show ip route vpn <id>
  • ping vpn <id> <prefix> tloc <color system-ip encap>
• Veelvoorkomende problemen:
  • Geen OMP-routes: blokkade door control-policy, site-ID-luspreventie die actief is, of een mismatch in certificaat/identiteit.
  • TLOC geadverteerd maar geen data-plane-tunnel: mismatch in encapsulatie, NAT-traversal geblokkeerd, incompatibele ‘colors’ of voorkeuren die het gebruik beperken.
  • Dubbele of lussende DC-routes: ontbrekende afstemming van overlay AS, ontbrekende uitgaande BGP-filters aan de DCI-rand, of het lekken van via OMP geleerde routes terug naar OMP via de underlay.

Praktisch Probleemscenario

Acme Beverages beheert twee datacenters (DC1 en DC2) met een Layer 3 DCI en verschillende vestigingen die zijn verbonden via Internet/MPLS. Ze constateren dubbele LAN-routes en intermitterende asymmetrische paden na het inschakelen van OMP↔BGP-redistributie in beide DC’s.

Aanpak:

1. Overlay AS afstemmen in beide DC’s

• Configureer hetzelfde overlay AS op de WAN Edge-routers van DC1 en DC2.
• Rationale: Garandeert AS-path-luspreventie bij het redistribueren van OMP naar BGP en vice versa, waardoor wordt voorkomen dat elk DC de via OMP geleerde routes van het andere DC opnieuw importeert via de DCI.

2. BGP/OMP-redistributiepolicies aanscherpen

• Match op de WAN Edges alleen DC-lokale LAN-prefixes naar OMP; voorkom het importeren van via DCI geleerde prefixes in OMP.
• Tag in de BGP-richting de van OMP afgeleide routes en blokkeer herdistributie terug naar de fabric of de DCI, waar van toepassing.
• Rationale: ‘Least-privilege advertisement’ elimineert route-echo’s en ‘scope creep’ die duplicaten veroorzaken.

3. OMP control-policy gebruiken voor samenvatting

• Vat de DC LAN’s samen in grove aggregaten in de control-policy op vSmart; behoud specifieke uitzonderingen waar nodig.
• Rationale: Vermindert de routeschaal en ‘churn’, waardoor dubbele detectie minder waarschijnlijk wordt en de convergentie versnelt.

4. TLOC-voorkeuren normaliseren voor transportgedrag

• Stel een hogere TLOC-voorkeur in voor MPLS en een lagere voor Internet op branches en in DC’s; gebruik ‘weight’ voor ECMP alleen op links van vergelijkbare kwaliteit.
• Rationale: Deterministisch primair/backup-gedrag voorkomt ‘flapping’ over ongelijke transporten en vermindert asymmetrie.

5. Site-ID’s en ‘same-site suppression’ valideren

• Zorg ervoor dat redundante WAN Edges in elk DC dezelfde site-ID delen; branches hebben unieke site-ID’s.
• Rationale: De ‘same-site suppression’ van vSmart voorkomt dat een site zijn eigen routes terugkrijgt, wat interne lussen op de site voorkomt.

6. Status van control-plane en data-plane verifiëren

• Voer uit:

  show control connections
  show omp peers
  show omp routes vpn 10
  show omp tlocs
  show sdwan omp routes | inc <DC LAN prefix>
  show bfd sessions

• Rationale: Bevestigt dat de OMP-peering stabiel is, de verwachte samenvattingen aanwezig zijn, er geen onbedoelde prefixes doorlekken en de data-plane-tunnels in orde zijn.

7. Wijzigingen stapsgewijs doorvoeren (‘stage’ en ‘commit’) met monitoring

• Pas policies toe in onderhoudsvensters, monitor de route-tabellen op de branches (show ip route vpn X), en gebruik synthetische probes via application-aware routing.
• Rationale: Garandeert dat de policy de ontdubbeling bereikt zonder nevenschade, en biedt rollback-checkpoints.

Door het afstemmen van de overlay AS, het afdwingen van precieze redistributie, het samenvatten op vSmart en het normaliseren van de TLOC-selectie, elimineert Acme dubbele routes en stabiliseert het de padselectie voor beide DC’s en alle branches.

← Controller Onboarding · Alle domeinen · WAN Edge-configuratie en Templatebeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →