Configuración del sitio

Puede agregar nuevos sitios desde la página principal de la red o desde la sección Perfiles y plantillas para configurar su red SD-WAN.

Para crear un sitio, haga clic en + Nuevo sitio en el Panel de control de red. Proporcione un nombre y una ubicación para el sitio.

Puede crear un sitio desde cero o utilizar un perfil de sitio para configurar un sitio rápidamente.

Una pantalla gráfica a la derecha de la pantalla proporciona un diagrama de topología dinámica a medida que se continúa con la configuración.

Para ver la configuración del sitio, seleccione el sitio y vaya a Configuración > Configuración del sitio.

Detalles del sitio

El primer paso consiste en introducir el sitio, el dispositivo, la configuración avanzada y los detalles de contacto del sitio.

Al configurar sitios mediante una plantilla de sitio, aparece la siguiente pantalla.

Información sobre el sitio o la plantilla

• Al elegir un perfil de sitio, se rellenan automáticamente los parámetros del sitio, la interfaz y los enlaces WAN según la configuración del perfil del sitio.
• La dirección y el nombre del sitio se rellenan automáticamente según los detalles proporcionados en el paso anterior.
• Active la casilla Lat/Lng para obtener la latitud y la longitud de un sitio.
• Seleccione la región en la lista desplegable.
• El modelo y elsubmodelodel dispositivo se pueden seleccionar según el modelo de hardware o el dispositivo virtual que se utilice en un sitio determinado.

• Device Edition se refleja automáticamente en función del modelo de dispositivo seleccionado. Actualmente, se admiten las ediciones Premium (PE), Advanced Edition (AE) y Standard Edition (SE). El modelo PE solo es compatible con las plataformas 1100, 2100, 5100 y 6100. El modelo AE es compatible con las plataformas 210 y 1100.

  Nota

  El servicio Citrix SD-WAN Orchestrator no admite las plataformas Advanced Edition y Premium Edition.

• El rol del sitio define el rol del dispositivo. Puede asignar una de las siguientes funciones a un sitio:

  • MCN: El nodo de control maestro (MCN) actúa como controlador de la red y solo se puede designar un dispositivo activo de la red como MCN.
  • Sucursal: Dispositivos en las sucursales que reciben la configuración del MCN y participan en el establecimiento de las funcionalidades de WAN virtual en las sucursales. Puede haber varios sitios de sucursal.
  • RCN: El nodo de control regional (RCN) admite una arquitectura de red jerárquica, lo que permite la implementación de redes multirregionales. MCN controla múltiples RCNs y cada RCN, a su vez, controla múltiples sitios de sucursales.
  • MCN con redundancia geográfica: Un sitio en una ubicación diferente que asume las funciones de administración del MCN, si no está disponible, lo que garantiza la recuperación ante desastres. El MCN con redundancia geográfica no proporciona capacidades de alta disponibilidad ni de conmutación por error para el MCN.
  • RCN georedundante: Un sitio en una ubicación diferente, que asume las funciones de administración del RCN, si no está disponible, lo que garantiza la recuperación ante desastres. El RCN con redundancia geográfica no proporciona capacidades de alta disponibilidad ni de conmutación por error para el RCN.
• Elnivel de ancho de banda es la capacidad de ancho de banda facturable que puede configurar en cualquier dispositivo, según el modelo de dispositivo. Por ejemplo, el dispositivo SD-WAN 410 Standard Edition (SE) admite niveles de ancho de banda de 20, 50, 100, 150 y 200 Mbps. Dependiendo de las necesidades de ancho de banda para un sitio determinado, puede seleccionar el nivel deseado. Cada sitio se factura por el nivel de ancho de banda configurado.

Dominio de redirección

La sección Dominio de enrutamiento le permite seleccionar el dominio de enrutamiento predeterminado para el sitio. La configuración deldominio de enrutamiento puede ser global o específica del sitio. Si selecciona Valores predeterminados globales, seselecciona automáticamente el dominio de enrutamiento predeterminado que se aplica a nivel mundial. Si selecciona Site Specific, puede seleccionar el dominio de enrutamiento predeterminado en la lista desplegable Dominio de enrutamiento.

Funcionalidad de redirección para la segmentación de redes LAN

Los dispositivos SD-WAN Standard y Enterprise Edition (SE/PE) implementan la segmentación de LAN en distintos sitios donde se implementa cualquiera de los dispositivos. Los dispositivos reconocen y mantienen un registro de las VLAN del lado de la LAN disponibles y configuran reglas sobre a qué otros segmentos de LAN (VLAN) se pueden conectar en una ubicación remota con otro dispositivo SE/PE de SD-WAN.

La capacidad anterior se implementa mediante una tabla de enrutamiento y reenvío virtuales (VRF) que se mantiene en el dispositivo SE/PE de SD-WAN, que realiza un seguimiento de los rangos de direcciones IP remotas accesibles a un segmento de LAN local. Este tráfico de VLAN a VLAN seguiría atravesando la WAN a través de la misma ruta virtual preestablecida entre los dos dispositivos (no es necesario crear nuevas rutas).

Un ejemplo de uso de esta funcionalidad es que un administrador de WAN podría segmentar el entorno de redes de sucursales locales a través de una VLAN y proporcionar acceso a algunos de esos segmentos (VLAN) a segmentos de LAN del lado de DC que tienen acceso a Internet, mientras que otros podrían no obtener dicho acceso. La configuración de las asociaciones de VLAN a VLAN se logra a través de la interfaz web del servicio Citrix SD-WAN Orchestrator.

Parámetros avanzados

• Habilitar el aprendizaje de MACde origen: Almacena la dirección MAC de origen de los paquetes recibidos para que los paquetes salientes al mismo destino se puedan enviar al mismo puerto.

• Conservar la ruta a Internet desde el enlace incluso si todas las rutas asociadas están inactivas: Cuando se habilita, los paquetes destinados al servicio de Internet siguen eligiendo el servicio de Internet, incluso si todos los enlaces WAN para el servicio de Internet no están disponibles.

• Conservar la ruta a la Intranet desde el enlace incluso si todas las rutas asociadas están inactivas: Cuando se habilita, los paquetes destinados al servicio de intranet siguen eligiendo el servicio de intranet, incluso si todos los enlaces WAN para el servicio de intranet no están disponibles.

• Datos de contacto del administrador disponibles en el sitio.

Un diagrama de red dinámico a la derecha del panel de configuración proporciona retroalimentación visual de forma continua, a medida que pasa por el proceso de configuración.

Detalles del dispositivo

La sección de detalles del dispositivo le permite configurar y habilitar Alta disponibilidad (HA) en un sitio. Con HA, se pueden implementar dos dispositivos en un sitio como primario activo y secundario pasivo. El dispositivo secundario se hace cargo cuando falla el primario. Para obtener más información, consulte Alta disponibilidad.

Nota

Los números de serie no se pueden configurar con las plantillas del sitio.

Información de dispositivos

Habilite HA e introduzca el número de serie y un nombre abreviado para los dispositivos primarios y secundarios. Haga clic en Agregar y proporcione el número de serie junto con el nombre abreviado del sitio.

Haga clic en Agregar.

• Número de serie: Se puede acceder al número de serie de una instancia SD-WAN virtual (VPX) desde la consola web VPX, como se indica en la siguiente captura de pantalla. También se puede encontrar un número de serie de un dispositivo de hardware en la etiqueta del dispositivo.

  

• Nombre abreviado: El campo Nombre abreviado se utiliza para especificar un nombre abreviado fácilmente identificable para un sitio o para etiquetarlo si se quiere.

Haga clic en la opción Eliminar si quiere eliminar el número de serie.

Nota Para actualizar el número de serie es necesario eliminar el número de serie existente y leer uno nuevo.

Al hacer clic en la opción Eliminar, aparece una ventana emergente para confirmar si quiere eliminar el número de serie o no.

Configuración avanzada de HA

• Tiempo de conmutación por error (ms): Se pierde el tiempo de espera tras el contacto con el dispositivo principal, antes de que el dispositivo en espera se active.
• MAC base compartida: La dirección MAC compartida para el par de dispositivos de alta disponibilidad. Cuando se produce una conmutación por error, el dispositivo secundario tiene las mismas direcciones MAC virtuales que el dispositivo principal con error.
• Inhabilitar la MAC base compartida: Esta opción solo está disponible en plataformas basadas en hipervisores y en la nube. Elija esta opción para inhabilitar la dirección MAC virtual compartida.
• Reclamación principal: El dispositivo principal designado recupera el control al reiniciarse después de un evento de conmutación por error.
• ModoHA Fail-to-Wire: El modoHA Fail-to-Wire está activado. Para obtener más información, consulte Modos de implementación de HA.
• Habilite la compatibilidad con cablesen Y: Los puertos de factor de forma pequeño conectables (SFP) se pueden usar con un cable en Y de fibra óptica para habilitar la función de alta disponibilidad para la implementación del modo Edge. Esta opción solo está disponible en los dispositivos Citrix SD-WAN 1100 SE/PE. Para obtener más información, consulte Habilitar la alta disponibilidad en modo perimetral mediante cable en Y de fibra óptica.

Detalles de Wi-Fi

Puede configurar un dispositivo Citrix SD-WAN que admita Wi-Fi como punto de acceso Wi-Fi.

Las dos variantes siguientes de la plataforma Citrix SD-WAN 110 admiten Wi-Fi y se pueden configurar como punto de acceso Wi-Fi:

• Citrix SD-WAN 110-WiFi-SE
• Citrix SD-WAN 110-LTE-WiFi

Para obtener más información sobre la configuración de Wi-Fi, consulte Punto de acceso Wi-Fi

Interfaces

El siguiente paso es agregar y configurar las interfaces. Haga clic en + Interfaz para comenzar a configurar la interfaz. Haga clic en + HA Interface para comenzar a configurar la interfaz HA. La opción de interfaz + HA solo está disponible si ha configurado un dispositivo secundario para una alta disponibilidad.

La configuración de la interfaz implica seleccionar el modo de implementación y establecer los atributos de nivel de interfaz. Esta configuración es aplicable a los enlaces LAN y WAN.

Administración en banda

La administración en banda le permite utilizar los puertos de datos SD-WAN para la administración. Transporta tanto tráfico de datos como de administración, sin tener que configurar una ruta de administración adicional. La administración en banda permite que las direcciones IP virtuales se conecten a servicios de administración como la interfaz de usuario web y SSH. Puede acceder a la interfaz de usuario web y SSH mediante la IP de administración y las IP virtuales en banda.

Para habilitar la administración dentro de banda, elija una dirección IPv4 de la lista desplegable IP de administración en banda o una dirección IPv6 de la lista desplegable IPv6 de administración en banda. Seleccione el proxy DNS al que se reenvían todas las solicitudes de DNS del plano de administración en banda y de respaldo desde la lista desplegable DNS de administraciónen banda o DNS V6 de administración en banda.

Para obtener más información sobre la administración dentro de banda, consulte Administración dentro de banda.

Las direcciones IP configuradas para las interfaces aparecen en la lista desplegable IP de administración de InBand. Los servicios de proxy DNS configurados en Configuración avanzada > DNS aparecen en la lista desplegable de DNS de InBand Management.

atributos de interfaz

Se admiten los siguientes modos de implementación:

1. Edge (puerta de enlace)
2. Inline: Fail-to-wire, Fail-to-block y Virtual inline.

• Modo de implementación: Seleccione uno de los siguientes modos de implementación.

  • Edge (puerta de enlace):

    

    El modo Gateway implica que SD-WAN sirve como “puerta de enlace” a la WAN para todo el tráfico LAN. El modo Gateway es el modo predeterminado. Puede implementar el dispositivo como una Gateway en el lado LAN o en el lado WAN.

  • En línea:

    Cuando la SD-WAN se implementa en línea entre un conmutador LAN y un enrutador WAN, se espera que la SD-WAN “conecte” la LAN y la WAN.

    Todos los dispositivos Citrix SD-WAN tienen interfaces emparejadas de puentes predefinidas. Con la opción Bridge habilitada, la selección de cualquier interfaz en el extremo de la LAN resalta automáticamente la interfaz emparejada que está reservada para el extremo WAN del puente. Por ejemplo, las interfaces físicas 1 y 2 son un par puente.

    • Fail-to-Wire: Permite una conexión física entre el par de interfaces puenteadas, lo que permite que el tráfico omita la SD-WAN y fluya directamente a través del puente en caso de que se reinicie o falle el dispositivo.

    Anteriormente, el cliente DHCP solo era compatible con el puerto Fail-to-Block. Con la versión 11.2.0 de Citrix SD-WAN, la capacidad del cliente DHCP se amplía en el puerto de falla de conexión para el sitio de la sucursal con implementaciones de alta disponibilidad (HA) en serie. Esta mejora:

    • Permite la configuración del cliente DHCP en el grupo de interfaces que no son de confianza que tiene implementaciones de pares de puentes de error a cable y de alta disponibilidad en serie.
    • Permite seleccionar interfaces DHCP como parte de vínculos WAN de intranet privada.

    Notas

    • La opción Alineación (Fail-to-Wire) solo está disponible en dispositivos de hardware y no en dispositivos virtuales (VPX / VPXL).
    • Ahora se admite el cliente DHCP en el vínculo de intranet privada.
    • Una interfaz LAN no debe estar conectada al par de error a cable, ya que los paquetes pueden estar conectados entre las interfaces.

    

    • Error de bloqueo: Esta opción inhabilita la conexión física entre el par de interfaces en puente en los dispositivos de hardware, lo que evita que el tráfico fluya a través del puente en caso de que se reinicie o falle el dispositivo.

    Nota

    Alineación (Fail-to-Block) es la única opción de modo puente disponible en los dispositivos virtuales (VPX / VPXL).

    

    • Virtual en línea (con un brazo):

    

    Cuando la SD-WAN se implementa en este modo, tiene un solo brazo que la conecta al enrutador WAN, la LAN y la WAN que comparten la misma interfaz en la SD-WAN. Por lo tanto, la configuración de la interfaz se comparte entre los vínculos LAN y WAN.

• Tipo de interfaz: Seleccione el tipo de interfaz en la lista desplegable.
• Seguridad (confiable o no confiable): Especifica el nivel de seguridad de la interfaz. Los segmentos de confianza están protegidos por un firewall.
• Nombre de interfaz: Según el modo de implementación seleccionado, el campo Nombre de interfaz se rellena automáticamente.

Interfaz física

• Seleccione la interfaz: Seleccione el puerto Ethernet configurable que está disponible en el dispositivo.

Interfaz virtual

• ID de VLAN: El ID para identificar y marcar el tráfico hacia y desde la interfaz.
• Nombre de la interfaz virtual: Según el modo de implementación seleccionado, el campo Nombre de la interfaz virtual se rellena automáticamente.
• Activar HA Heartbeat: habilite la sincronización de los latidos de HA a través de esta interfaz. Esta opción está habilitada si ha configurado un dispositivo secundario para HA. Seleccione esta opción para permitir que los dispositivos primarios y secundarios sincronicen los latidos de alta disponibilidad a través de esta interfaz. Especifique la dirección IP del dispositivo principal y secundario.
• Dominio de enrutamiento: El dominio de enrutamiento que proporciona un único punto de administración de la red de la sucursal o la red del centro de datos.
• Zonas de firewall: L a zona de firewall a la que pertenece la interfaz. Las zonas de firewall aseguran y controlan las interfaces en la zona lógica.

• Modo cliente: Seleccione Modo cliente en la lista desplegable. Al seleccionar PPPoE Static muestra más configuraciones.

  Nota

  Cuando el modo Sitio (en la ficha Detalles del sitio) se selecciona como Sucursal y el campo Seguridad (en la ficha Interfaz ) se selecciona como No confiable, la opción PPPoE Dinámica está disponible en Modo cliente.

  Citrix SD-WAN actúa como un cliente PPPoE. Para IPv4, SD-WAN obtiene la dirección IPv4 dinámica o usa la dirección IPv4 estática. Para IPv6, obtiene la dirección local del enlace del servidor PPPoE. Para la dirección IPv6 unicast, se puede usar IP estática, DHCP o SLAAC.

• Cliente DHCP: Cuando se habilita en las interfaces virtuales, el servidor DHCP asigna direcciones IPv4 de forma dinámica al cliente conectado.
• Cliente DHCP IPv6: Cuando se habilita en las interfaces virtuales, el servidor DHCP asigna dinámicamente direcciones IPv6 al cliente conectado.
• SLAAC: Esta opción solo está disponible para direcciones IPv6. Cuando se selecciona, la interfaz obtiene las direcciones IPv6 mediante la configuración automática de direcciones sin estado (SLAAC).
• Transmisión dirigida: Cuando se selecciona la casilla de verificación Transmisión dirigida, las transmisiones dirigidas se envían a las subredes IP virtuales de la interfaz virtual.

• Activado: De forma predeterminada, la casilla Activado está seleccionada para todas las interfaces virtuales. Si quiere inhabilitar la interfaz virtual, desactive la casilla Activado.

  Nota

  • La casilla Activado solo está disponible a partir de la versión 11.3.1 de Citrix SD-WAN.
  • La opción para inhabilitar una interfaz virtual solo está disponible cuando no la utiliza una interfaz de acceso de enlace WAN. Si la interfaz virtual la utiliza una interfaz de acceso al enlace WAN, la casilla de verificación es de solo lectura y está seleccionada de forma predeterminada.
  • Al configurar otras funciones, junto con las interfaces virtuales habilitadas, las interfaces virtuales inhabilitadas también aparecen en la lista, excepto en Interfaces de acceso para un enlace WAN. Incluso si selecciona una interfaz virtual inhabilitada, la interfaz virtual no se considera y no afecta a la configuración de red.

• + Dirección IPv4: La dirección IPv4 virtual y la máscara de red de la interfaz.
• + Dirección IPv6: La dirección IPv6 virtual y el prefijo de la interfaz.
• Identidad: Elija una identidad para utilizarla en los servicios de IP. Por ejemplo, la identidad se utiliza como la dirección IP de origen para comunicarse con los vecinos de BGP.
• Privada: Cuando está habilitada, la dirección IP virtual solo se puede enrutar en el dispositivo local.

Nota

• Los puertos LTE no admiten direcciones IP estáticas (IPv4 e IPv6).
• Los puertos LTE admiten DHCP y SLAAC. La configuración de DHCPv4 o DHCPv6 es obligatoria. SLAAC es opcional.
• En los puertos LTE, las direcciones Link-Local se pueden configurar para IPv6 o SLAAC.

Credenciales de PPPoE

El Protocolo punto a punto sobre Ethernet (PPPoE) conecta varios usuarios de equipos en una LAN Ethernet a un sitio remoto a través de dispositivos locales comunes del cliente, por ejemplo, Citrix SD-WAN. PPPoE permite a los usuarios compartir una línea de suscriptor digital (DSL) común, un módem por cable o una conexión inalámbrica a Internet. PPPoE combina el Protocolo punto a punto (PPP), comúnmente utilizado en las conexiones de acceso telefónico, con el protocolo Ethernet, que admite varios usuarios en una LAN. La información del protocolo PPP se encapsula dentro de una trama Ethernet.

Los dispositivos Citrix SD-WAN utilizan PPPoE para permitir que los ISP tengan conexiones DSL y módem por cable continuas y continuas, a diferencia de las conexiones de acceso telefónico. PPPoE proporciona cada sesión de sitio remoto de usuario para conocer las direcciones de red de los demás mediante un intercambio inicial denominado “descubrimiento”. Después de establecer una sesión entre un usuario individual y el sitio remoto, por ejemplo, un proveedor de ISP, la sesión se puede supervisar. Las empresas utilizan el acceso a Internet compartido a través de líneas DSL mediante Ethernet y PPPoE.

Citrix SD-WAN actúa como un cliente PPPoE. Para IPv4, SD-WAN obtiene la dirección IPv4 dinámica o usa la dirección IPv4 estática. Para IPv6, obtiene la dirección local del enlace del servidor PPPoE. Para la dirección IPv6 unicast, se puede usar IP estática, DHCP o SLAAC.

Se requiere lo siguiente para establecer sesiones PPPoE satisfactorias:

• Configure la interfaz de red virtual (VNI).
• Credenciales únicas para crear una sesión PPPoE.
• Configure el enlace WAN. Cada VNI solo puede tener configurado un enlace WAN.
• Configure la dirección IP virtual. Cada sesión obtiene una dirección IP única, dinámica o estática, según la configuración proporcionada.
• Implemente el dispositivo en modo puente para usar PPPoE con una dirección IP estática y configure la interfaz como “confiable”..
• Se prefiere que la IP estática tenga una configuración para forzar la IP propuesta por el servidor; si es diferente de la IP estática configurada, puede producirse un error.
• Implemente el dispositivo como un dispositivo Edge para usar PPPoE con IP dinámica y configure la interfaz como “no confiable”..
• Los protocolos de autenticación soportados son, PAP, CHAP, EAP-MD5, EAP-SRP.
• El número máximo de sesiones múltiples depende del número de VNI configuradas.
• Cree varios VNIs para admitir varias sesiones PPPoE por grupo de interfaz.

Nota

Se permite crear varias VNI con la misma etiqueta de VLAN 802.1Q.

Limitaciones para la configuración PPPoE:

• No se admite el etiquetado VLAN 802.1q.
• No se admite la autenticación EAP-TLS.
• Compresión de direcciones/controles.
• Compresión desinflada.
• Negociación de compresión de campo de protocolo.
• Protocolo de control de compresión.
• Compresión BSD Compress.
• Protocolos IPX.
• Enlace múltiple PPP.
• Compresión de cabecera TCP/IP estilo Van Jacobson.
• Opción de compresión de ID de conexión en compresión de encabezado TCP/IP estilo Van Jacobson.
• PPPoE no es compatible con las interfaces LTE.

Desde la versión 11.3.1 de Citrix SD-WAN, se considera un encabezado PPPoE de 8 bytes extra para ajustar el tamaño máximo de segmento (MSS) de TCP. El encabezado PPPoE adicional de 8 bytes ajusta el MSS en los paquetes de sincronización en función de la MTU. La MTU admitida oscila entre 1280 y 1492 bytes.

Configuración de PPPoE

En un MCN, solo puede configurar PPPoE estático. En una sucursal, puede configurar PPPoE estático o PPPoE dinámico.

Para configurar PPPoE, en la configuración al nivel de sitio, vaya a la ficha Configuración > Configuración del sitio > Interfaces. En la sección Interfaces virtuales, seleccione la opción PPPoE adecuada de la lista desplegable del modo cliente.

Nota

• Un VNI configurado con múltiples interfaces puede tener una interfaz utilizada para la conectividad PPPoE.
• Si una VNI configurada con varias interfaces y una conectividad PPPoE se cambia a una interfaz diferente, se puede usar la página Informes > Tiempo real > PPPoE para detener la sesión existente e iniciar una nueva sesión. A continuación, se puede establecer la nueva sesión a través de la nueva interfaz.
• Si PPPoE Dynamic está seleccionado, se requiere que el VNI sea “Untrusted.”

• Nombre de CA: Proporcione el nombre del concentrador de acceso (AC) para la configuración de PPPoE.
• Nombre del servicio: introduzca un nombre de servicio.
• Retención (s) de reconexión: introduzca el tiempo de espera del intento de reconexión.
• Nombre de usuario: Introduzca el nombre de usuario para la configuración de PPPoE.
• Contraseña: introduzca la contraseña de la configuración de PPPoE.
• Autenticación: Seleccione el protocolo de autorización en la lista desplegable.
  • Cuando la opción Auth se establece en Automática, el dispositivo SD-WAN cumple con la solicitud de protocolo de autenticación compatible recibida del servidor.
  • Cuando la opción Auth se establece en PAP/CHAP/EAP, solo se respetan los protocolos de autenticación específicos. Si PAP está en la configuración y el servidor envía una solicitud de autenticación con CHAP, se rechaza la solicitud de conexión. Si el servidor no negocia con PAP, se produce un error de autenticación.

Solo se permite la creación de un enlace WAN por VNI estático o dinámico PPPoE. La configuración del enlace WAN varía en función de la selección de VNI del modo cliente.

Si el VNI está configurado con el modo de cliente dinámico PPPoE:

• Los campos Dirección IP y Dirección IP de puerta de enlace se vuelven inactivos.
• El modo de ruta virtual está configurado en “Primario”..
• No se puede configurar el ARP de proxy.

De forma predeterminada, se selecciona Enlace de dirección MAC de puerta de enlace.

Si la VNI está configurada con el modo de cliente estático PPPoE, configure la dirección IP.

Nota

Si el servidor no respeta la dirección IP estática configurada y ofrece una dirección IP diferente, se produce un error. La sesión PPPoE intenta restablecer la conexión periódicamente, hasta que el servidor acepte la dirección IP configurada.

Supervisión y solución de problemas de PPPo

A nivel de sitio, navegue por la sección Informes > Tiempo real > PPPoE para ver información sobre las VNI configuradas con el modo de cliente dinámico o estático de PPPoE. Le permite iniciar o detener manualmente las sesiones para solucionar problemas.

Si hay un problema al establecer una sesión PPPoE:

• Al pasar el ratón sobre el estado fallido, se muestra el motivo del error reciente.
• Para establecer una sesión nueva o para solucionar problemas de una sesión PPPoE activa, reinicie la sesión.
• Si una sesión PPPoE se detiene manualmente, no se puede iniciar hasta que se inicie manualmente y se active un cambio de configuración, o se reinicie el servicio.

Una sesión PPPoE puede fallar por los siguientes motivos:

• Cuando la SD-WAN no se autentica ante el par debido a un nombre de usuario o contraseña incorrectos en la configuración.
• La negociación PPP falla: La negociación no llega al punto en el que se ejecuta al menos un protocolo de red.
• Problema de memoria del sistema o recursos del sistema.
• Configuración incorrecta o inválida (nombre de CA o nombre de servicio incorrecto).
• Error al abrir el puerto serie debido a un error del sistema operativo.
• No se recibió ninguna respuesta para los paquetes de eco (el enlace es incorrecto o el servidor no responde).
• Hubo varias sesiones continuas de marcación fallidas en un minuto.

Después de 10 fallas consecutivas, se observa el motivo de la falla.

• Si el fallo es normal, se reinicia inmediatamente.
• Si el error es un error, el reinicio se revierte durante 10 segundos.
• Si el error es grave, el reinicio se revierte durante 30 segundos antes de reiniciar.

Los paquetes de solicitud de eco LCP se generan desde SD-WAN cada 60 segundos y si no se reciben 5 respuestas de eco se considera un error de enlace y se restablece la sesión.

• Si el VNI está activo y listo, las columnas IP y IP de puerta de enlace muestran los valores actuales de la sesión. Indica que se trata de valores recibidos recientemente.
• Si el VNI está detenido o se encuentra en estado fallido, los valores son los últimos valores recibidos.
• Al pasar el ratón sobre la columna IP de la puerta de enlace, se muestra la dirección MAC del concentrador de acceso PPPoE desde donde se reciben la sesión y la IP.
• Al pasar el ratón sobre el valor del “estado”, se muestra un mensaje, que es más útil para un estado de “Fallo”.

El archivo SDWAN_ip_learned.log contiene registros relacionados con PPPoE. Vaya a Solución de problemas > Registros de dispositivos para ver o descargar el archivo SDWAN_ip_learned.log.

Configuración 802.1X cableada

El 802.1X cableado es un mecanismo de autenticación que requiere que los clientes se autentiquen antes de poder acceder a los recursos de la LAN. El servicio Citrix SD-WAN Orchestrator admite la configuración de la autenticación 802.1X cableada en interfaces LAN.

En la red Citrix SD-WAN, los clientes envían solicitudes de autenticación al dispositivo Citrix SD-WAN para tener acceso a los recursos de LAN. El dispositivo Citrix SD-WAN actúa como autenticador y envía las solicitudes de autenticación al servidor de autenticación. El servicio Citrix SD-WAN Orchestrator solo admite servidores RADIUS que se configuran como servidores de autenticación.

Al autenticarse por primera vez, solo se pueden procesar los paquetes EAPOL o los paquetes DHCP que pueden inicializar la autenticación 802.1X desde la LAN virtual predeterminada. Un cliente recién conectado debe autenticarse en un plazo de 90 segundos. Si la autenticación se realiza correctamente, obtiene acceso a los recursos de la LAN.

Si la autenticación falla, no se concede al cliente acceso a la red y se descartan todos los paquetes. Los clientes que están conectados directamente al dispositivo Citrix SD-WAN pueden volver a intentar la autenticación desconectando el cable Ethernet y volviéndolo a insertar. De manera opcional, puede definir una LAN virtual específica para conceder acceso a recursos de LAN limitados para las solicitudes de autenticación fallidas. En esos casos, las solicitudes de autenticación fallidas obtienen acceso a la LAN virtual especificada. Puede restringir el acceso al tráfico autenticado mediante diferentes dominios de enrutamiento o zonas de firewall al crear la LAN virtual.

Nota

• La LAN virtual predeterminada siempre debe tener 802.1X habilitado.
• No se admiten las LAN virtuales dinámicas.

El dispositivo Citrix SD-WAN espera recibir paquetes sin una etiqueta 802.1Q (paquetes sin etiquetar). Si el dispositivo Citrix SD-WAN recibe un paquete con una etiqueta 802.1Q establecida en la LAN virtual asignada, todos los paquetes originados en el MAC deben etiquetarse. Si se recibe un paquete sin la etiqueta 802.1Q en el encabezado o con una etiqueta que no sea la LAN virtual a la que pertenece la dirección MAC, el paquete se descarta.

Cuando varios clientes conectados a un switch intentan autenticarse al mismo tiempo en un solo puerto, cada cliente se autentica de forma individual, antes de que pueda acceder a los recursos de la LAN. Los clientes que no se autentiquen pueden volver a intentar la autenticación desconectando el cable Ethernet, esperando 3 minutos y volviendo a insertar el cable Ethernet. Las plataformas Citrix SD-WAN 110, 210 y 410 admiten un máximo de 32 clientes (tanto autenticados como no autenticados). Todas las demás plataformas admiten un máximo de 64 clientes (tanto autenticados como no autenticados).

Para configurar la autenticación 802.1X, vaya a Configuración del sitio > Interfaces y active el botón Activar 802.1x. Seleccione un perfil RADIUS existente o haga clic en Crear perfil RADIUS para crear un perfil RADIUS. Para obtener información sobre la creación de un perfil RADIUS, consulte Perfiles de servidor RADIUS. Puede usar los mismos perfiles RADIUS para la autenticación empresarial inalámbrica 802.1x y WPA2-Enterprise inalámbrica, siempre que el dispositivo sea compatible con WPA2-Enterprise inalámbrica.

Seleccione una interfaz virtual de la lista desplegable VIF autenticado. La interfaz virtual seleccionada otorga acceso a los recursos de la LAN para que las solicitudes de autenticación se realicen correctamente.

Si lo quiere, puede seleccionar una interfaz de la lista desplegable VIF sin autenticar. La interfaz virtual seleccionada otorga acceso a un recurso LAN específico para las solicitudes autenticadas fallidas.

Puede agregar una lista de direcciones MAC que omita el proceso de autenticación. El tráfico de estas direcciones MAC se tratará implícitamente como autenticado. Estas direcciones MAC son susceptibles de sufrir ataques malintencionados. Por lo tanto, utilice esta capacidad solo en entornos físicamente seguros y para hardware heredado que no admita la autenticación 802.1x cableada.

Puede ver las alertas asociadas a las solicitudes de autenticación 802.1x cableadas en Informes > Alertas. Para obtener más información, consulte Alertas.

Enlaces WAN

El siguiente paso es configurar enlaces WAN. Haga clic en + Enlace WAN para empezar a configurar un enlace WAN.

La configuración del enlace WAN implica configurar el tipo de acceso al enlace WAN y los atributos de interfaz de acceso.

Puede configurar el atributo de enlace WAN desde cero o utilizar una plantilla de enlace WAN para configurar rápidamente los atributos de enlace WAN. Si ya ha utilizado un perfil de sitio, los atributos del enlace WAN se rellenan automáticamente.

Atributos de enlace WAN

• Nombre de la plantilla: El nombre de la plantilla de enlace WAN utilizada para crear el enlace WAN. El nombre de la plantilla de enlaces WAN no se puede modificar después de la creación de los enlaces WAN. Una vez creados los enlaces WAN mediante una plantilla de enlaces WAN, no podrá modificar el tipo de acceso, el nombre del ISP o la categoría de Internet.
• Tipo de acceso: Especifica el tipo de conexión WAN del enlace.
  • Internet pública: indica que el enlace está conectado a Internet a través de un ISP.
  • Intranet privada: indica que el enlace está conectado a uno o más sitios dentro de la red SD-WAN y no puede conectarse a ubicaciones fuera de la red SD-WAN.
  • MPLS: variante especializada de intranet privada. Indica que el vínculo utiliza una o más etiquetas DSCP para controlar la calidad de servicio entre dos o más puntos de una Intranet y no puede conectarse a ubicaciones fuera de la red SD-WAN.
• Nombre del ISP: El nombre del proveedor de servicios.
• Categoría de Internet: El tipo de servicio de tecnología de acceso a Internet con enlace WAN (banda ancha, satélite, fibra, LTE, etc.) habilitado en el enlace WAN.
• Nombre del enlace: Se rellena automáticamente según las entradas anteriores.
• Dirección IP de seguimiento: La dirección IP virtual de la ruta virtual a la que se puede hacer ping para determinar el estado de la ruta.
• DirecciónIPv4 pública y direcciónIPv6pública: La dirección IP del servidor NAT o DNS. Esta dirección es aplicable y expuesta, solo cuando el tipo de acceso de enlace WAN es Internet público o Intranet privada en la implementación de HA serie. La IP pública se puede configurar manualmente o aprender automáticamente mediante la opción Aprendizaje automático.
• Detección automática: Cuando está habilitada, el dispositivo SD-WAN detecta automáticamente la dirección IP pública. Esta opción solo está disponible cuando la función del dispositivo es una rama y no el nodo de control maestro (MCN).
• Velocidad de salida: La velocidad de WAN a LAN.
  • Velocidad: La velocidad disponible o permitida del tráfico de WAN a LAN en Kbps o Mbps.
  • Velocidad permitida: En los casos en que se supone que el dispositivo SD-WAN no debe utilizar toda la capacidad del enlace WAN, cambie la velocidad permitida en consecuencia.
  • Aprendizaje automático: Si no está seguro del ancho de banda y si los enlaces no son confiables, puede habilitar la función de aprendizaje automático. La función Aprendizaje automático solo aprende la capacidad del vínculo subyacente y utiliza el mismo valor en el futuro.
  • Velocidad física: La capacidad de ancho de banda real del enlace WAN.
• Velocidad de ingreso: La velocidad de LAN a WAN.
  • Velocidad: La velocidad disponible o permitida del tráfico de LAN a WAN en Kbps o Mbps.
  • Velocidad permitida: En los casos en que se supone que el dispositivo SD-WAN no debe utilizar toda la capacidad del enlace LAN, cambie la velocidad permitida en consecuencia.
  • Aprendizaje automático: Si no está seguro del ancho de banda y si los enlaces no son confiables, puede habilitar la función de aprendizaje automático. La función Aprendizaje automático solo aprende la capacidad del vínculo subyacente y utiliza el mismo valor en el futuro.
  • Velocidad física: La capacidad de ancho de banda real del enlace LAN.

Colas MPLS

La configuración de la cola MPLS solo está disponible para el tipo de acceso al enlace WAN MPLS. Esta opción tiene por objeto permitir la definición de las colas correspondientes a las colas MPLS del proveedor de servicios, en el enlace WAN MPLS. Para obtener información sobre cómo agregar colas MPLS, consulte Colas MPLS.

Interface de acceso

Una interfaz de acceso define la dirección IP y la dirección IP de la puerta de enlace de un enlace WAN. Se requiere al menos una interfaz de acceso para cada enlace WAN. Los siguientes son los parámetros de la interfaz de acceso:

• Nombre de la interfaz de acceso: Nombre con el que se hace referencia a la interfaz de acceso El valor predeterminado utiliza la siguiente convención de nomenclatura: WAN_LINK_NAME-AI-Number: Donde WAN_LINK_Name es el nombre del enlace WAN que está asociando a esta interfaz, y number es el número de interfaces de acceso configuradas actualmente para este vínculo, incrementadas en 1.
• Interfaz virtual: La interfaz virtual que utiliza la interfaz de acceso. Seleccione una entrada en el menú desplegable de Interfaces virtuales configuradas para el sitio de sucursal actual.
• Modo de ruta virtual: Especifica la prioridad del tráfico de ruta virtual en el enlace WAN actual. Las opciones son: Principal, Secundarioo Excluir. Si se establece en Excluir, la interfaz de acceso se usa únicamente para el tráfico de Internet e Intranet.
• Dirección IP: La dirección IP del punto final de la interfaz de acceso desde el dispositivo a la WAN. Seleccione V4 (IPv4) o V6 (IPv6) según sea necesario.
• Dirección IP de puertade enlace: La dirección IP del router de puerta de enlace.
• Enlazar la interfaz de acceso a la MAC de la puertade enlace: Si está habilitada, la dirección MAC de origen de los paquetes recibidos en los servicios de Internet o Intranet debe coincidir con la dirección MAC de la puerta de enlace Enlaces de.
• Habilitar el ARP del proxy: Si se habilita, el dispositivo WAN virtual responde a las solicitudes de ARP para la dirección IP de la puerta de enlace cuando no se puede acceder a la puerta de enlace.
• Habilitar el acceso a Internet en los dominios de enrutamiento: Crea automáticamente una ruta PREDETERMINADA (0.0.0.0/0) en todas las tablas de enrutamiento de los dominios de enrutamiento respectivos. Puede habilitar para TODOS los dominios de enrutamiento o NINGUNO. Evita la necesidad de crear una ruta estática exclusiva a través de todos los dominios de enrutamiento si necesitaban acceso a Internet.

Servicios

La sección Servicios le permite agregar tipos de servicios y asignar el porcentaje de ancho de banda que se utilizará para cada tipo de servicio. Puede definir los tipos de servicio y configurar sus atributos en la sección Servicios de entrega. Puede optar por utilizar estos valores predeterminados globales o configurar los ajustes de ancho de banda de servicio específicos del enlace en la lista desplegable de ajustes de ancho de banda del servicio. Si elige el vínculo específico, introduzca los siguientes detalles:

• Nombre del servicio: El nombre del servicio de enlace WAN.
• % de asignación: La parte justa garantizada del ancho de banda asignada al servicio con respecto a la capacidad total del enlace.
• Modo: El modo de funcionamiento del enlace WAN, según el servicio seleccionado. Para Internet, hay uno de Primaria, Secundaria y Equilibrio y para Intranet hay Primaria y Secundaria.
• Tamaño del encabezado del túnel: El tamaño del encabezado del túnel, en bytes.
• Etiqueta de LAN a WAN: La etiqueta DHCP que se aplica a los paquetes de LAN a WAN del servicio.
• Retraso de LAN a WAN: Tiempo máximo para almacenar paquetes en búfer cuando se supera el ancho de banda de los enlaces WAN.
• Mínimo Kbps de LAN a WAN: El valor mínimo de ancho de banda de carga que está reservado para el servicio. El campo Mínimo en Kbps es obligatorio.
• Máximo en Kbps de LAN a WAN: El valor máximo de ancho de banda de carga reservado para el servicio. El campo Máximo de Kbps es opcional y el valor no puede ser inferior al valor mínimo de ancho de banda de carga configurado. El valor debe ser igual o superior al valor mínimo del ancho de banda de carga.
• Etiqueta WAN a LAN: La etiqueta DHCP que se aplica a los paquetes WAN a LAN del servicio.
• Coincidencia de WAN a LAN: Los criterios de coincidencia para que los paquetes de Internet WAN a LAN se asignen al servicio.
• Kbps mínimo de WAN a LAN: El valor mínimo de ancho de banda de descarga que está reservado para el servicio. El campo Mínimo en Kbps es obligatorio.
• Máximo de Kbps de WAN a LAN: El valor máximo de ancho de banda de descarga reservado para el servicio. El campo Máximo de Kbps es opcional y el valor no puede ser inferior al valor mínimo de ancho de banda de descarga configurado. El valor debe ser igual o superior al valor mínimo del ancho de banda de descarga.
• Limpieza deWAN a LAN: Sise habilita, los paquetes se descartan aleatoriamente para evitar que el tráfico de WAN a LAN supere el ancho de banda aprovisionado por el servicio.

Nota

Los campos de Kbps mínimo y máximo no están disponibles para la ruta virtual.

Configuración de la ruta virtual para el enlace

Seleccione el aprovisionamiento de ancho de banda relativo en las rutas virtuales como predeterminado global o específico de enlace, según sea necesario. Al seleccionar Link Specific, al habilitar el aprovisionamiento automático del ancho de banda, la parte del ancho de banda para el servicio de rutas virtuales se calcula automáticamente y se aplica en función de la magnitud del ancho de banda que pueden consumir los sitios remotos.

• Relación de ancho de banda de ruta virtual máxima a mínima para el enlace: Puede establecer la relación de ruta virtual máxima y mínima que se puede aplicar al enlace WAN seleccionado.

• Ancho debanda mínimo reservado para cada ruta virtual (Kbps): Puede establecer el valor mínimo de ancho de banda reservado en Kbps para cada ruta virtual.

Para personalizar los anchos de banda de las rutas virtuales asociadas a un enlace WAN:

1. Desactive la casilla Habilitar el Provisioning automático de ancho de banda en todas las rutas virtuales asociadas al enlace.

2. En la sección Asignación personalizada de ancho de banda para rutas virtuales, seleccione un sitio remoto. Puede aprovisionar anchos de banda para las rutas virtuales al sitio remoto.

   • Ancho de banda mínimo (Kbps): El ancho de banda mínimo reservado para la ruta virtual. El ancho de banda mínimo que puede configurar para una ruta virtual es de 80 Kbps.

   • Ancho debanda máximo (Kbps): El ancho de banda máximo que la ruta virtual puede utilizar desde el enlace WAN. Si no se establece el ancho de banda máximo, el sitio utiliza todo el ancho de banda disponible.

   • Asignación de ancho de banda (medida relativa): El ancho de banda compartido asignado a una ruta virtual fuera del ancho de banda elegible de su grupo. Por ejemplo, si un grupo de enlaces WAN de 3 rutas virtuales cumple los requisitos para un ancho de banda de 30 Mbps y quiere asignar el mismo ancho de banda para cada ruta virtual, actualice 10 como asignación de ancho de banda en el sitio remoto.

   

3. Haga clic en Listo.

Nota

El servicio Citrix SD-WAN Orchestrator conserva la configuración de ancho de banda personalizada previamente configurada incluso después de que las rutas virtuales dinámicas configuradas anteriormente estén inhabilitadas entre dos sitios. Asegúrese de actualizar la configuración personalizada del ancho de banda de forma manual cuando vuelva a configurar las rutas virtuales dinámicas.

Puntos a tener en cuenta para el aprovisionamiento de

• De forma predeterminada, todas las sucursales y los servicios WAN (ruta virtual/Internet/intranet) reciben una ponderación de 1 cada uno.

• La personalización del ancho de banda es necesaria cuando hay una gran disparidad en términos de requisitos de ancho de banda.

• Cuando se habilitan las rutas virtuales dinámicas entre los sitios disponibles, la capacidad del enlace WAN se comparte entre la ruta virtual estática al centro de datos y las rutas virtuales dinámicas.

Opciones WAN avanzadas

La configuración avanzada del enlace WAN permite configurar los atributos específicos del ISP.

• Umbral de congestión: Cantidad de congestión después de la cual el enlace WAN limita la transmisión de paquetes para evitar una mayor congestión.
• ID de proveedor: identificador único para que el proveedor diferencie las rutas al enviar paquetes duplicados.
• Coste de trama (bytes): Se agregan bytes adicionales de encabezado/tráiler a cada paquete, por ejemplo, para los tráilers de Ethernet IPG o AAL5.
• MTU (bytes): El tamaño de paquete sin procesar más grande en bytes, sin incluir el coste de la trama.

• Modo de espera: Un enlace en espera no se usa para transportar el tráfico de usuarios a menos que se active. El modo de espera de un enlace WAN está inhabilitado de forma predeterminada. Para obtener más información sobre el modo de espera, consulte Modo de espera.

  

• Habilitar la medición: Realiza un seguimiento del uso en un enlace WAN y alerta al usuario cuando el uso del enlace supera el límite de datos configurado. Para obtener información detallada sobre la medición, consulte Vínculos WAN de medición y en espera.

  

• Detección de ancho de banda adaptable: Utiliza el enlace WAN a una velocidad de ancho de banda reducida cuando se detecta una pérdida. Cuando el ancho de banda disponible esté por debajo del ancho de banda mínimo aceptableconfigurado, la ruta se marcará como INCORRECTA. Utilice Sensibilidad de pérdida errónea personalizada en el grupo Ruta o Autopath con Detección de ancho de banda adaptable.

  Nota

  La detección de ancho de banda adaptable solo está disponible para el cliente y no para MCN.

  • Ancho debanda mínimo aceptable: Cuando hay una velocidad de ancho de banda variable, el porcentaje de velocidad permitida de WAN a LAN por debajo del cual la ruta se marca como MALA. Los kbps mínimos son diferentes en cada lado de una ruta virtual. El valor puede estar en el rango 10% -50% y el valor predeterminado es 30%.

Para obtener más información, consulte Detección de ancho de banda adaptable

Rutas

El siguiente paso en el flujo de trabajo de configuración del sitio es crear rutas. Puede crear rutas de aplicaciones e IP en función de los requisitos del sitio.

NOTA

Las rutas que se agregaron antes de introducir las fichas Ruta de aplicación y Ruta IP se enumeran en la ficha Rutas IP con el nombre de Servicio de entrega como Internet.

Las rutas globales y las rutas específicas del sitio que se crean al nivel de red aparecen automáticamente en las fichas Rutas > Rutas de aplicación y rutas > Rutas IP. Solo se pueden ver las rutas globales en el nivel de emplazamiento. Para modificar o eliminar una ruta global, vaya a las configuraciones de nivel de red.

También puede crear, modificar o eliminar rutas en el nivel del sitio.

Rutas de aplicación

Haga clic en + Ruta de aplicación para crear una ruta de aplicación.

• Criterios de coincidencia de aplicaciones personalizados
  • Tipo de coincidencia: Seleccione el tipo de coincidencia como Aplicación/**Aplicación personalizada/Grupo** de aplicaciones en la lista desplegable.
  • Aplicación: Seleccione una aplicación de la lista desplegable.
  • Dominio de enrutamiento: Seleccione un dominio de enrutamiento.
• Dirección de Tráfico
  • Servicio de entrega: Elija un servicio de entrega de la lista.
  • Coste: Refleja la prioridad relativa de cada ruta. Reduzca el coste, mayor será la prioridad.
• Elegibilidad basada en la ruta:
  • Agregar ruta: Elija un sitio y enlaces WAN, tanto de origen como de destino. Si la ruta agregada desaparece, entonces la ruta de la aplicación no recibe ningún tráfico.

Si se agrega una nueva ruta de aplicación, el coste de la ruta debe estar en el rango siguiente:

• Aplicación personalizada: 1—20
• Aplicación: 21—40
• Grupo de aplicación: 41-60

Rutas IP

Vaya a la ficha Rutas IP y haga clic en + Ruta IP para crear la directiva de rutas IP para dirigir el tráfico.

• Criterios de coincidencia del protocolo IP
  • Red de destino: Agregue la red de destino que ayuda a reenviar los paquetes.
  • Usar grupo IP: Puede agregar una red de destino o activar la casilla Usar grupo IP para seleccionar cualquier grupo de IP de la lista desplegable.
  • Dominio de enrutamiento: Seleccione un dominio de enrutamiento de la lista desplegable.
• Dirección de Tráfico
  • Servicio de entrega: Elija un servicio de entrega de la lista desplegable.
  • Coste: Refleja la prioridad relativa de cada ruta. Reduzca el coste, mayor será la prioridad.
• Criterios de elegibilidad
  • Exportar ruta: Si se selecciona la casilla Exportar ruta y la ruta es una ruta local, la ruta se puede exportar de forma predeterminada. Si la ruta es una ruta basada en INTRANET/INTERNET, para que la exportación funcione, el reenvío WAN a WAN debe estar habilitado. Si la casilla Exportar ruta está desactivada, la ruta local no puede exportarse a otra SD-WAN y tiene importancia local.
• Elegibilidad basada en la ruta:
  • Agregar ruta: Elija un sitio y enlaces WAN, tanto de origen como de destino. Si la ruta agregada desaparece, entonces la ruta IP no recibe ningún tráfico.

Si se agrega una nueva ruta IP, el coste de la ruta debe estar entre 1 y 20.

Resumen

Esta sección proporciona un resumen de la configuración del sitio para permitir una revisión rápida antes de enviar el mismo.

Utilice la opción Guardar como plantilla para guardar la configuración del sitio como plantilla para volver a utilizarla en otros sitios. Al hacer clic en Listo, se completa la configuración del sitio y se accede a la página de inicio de Configuración de red para revisar todos los sitios configurados. Para obtener más información, consulte Configuración de red.