使用 Citrix SD-WAN 连接到微软 Azure 虚拟广域网

对于要连接到 Azure 的本地设备，需要使用控制器。控制器插入 Azure API，用于建立与 Azure WAN 和 Hub 的站点到站点的连接。

Microsoft Azure 虚拟 WAN 包括以下组件和资源：

• WAN：表示 Microsoft Azure 中的整个网络。它包含指向您希望在此广域网中拥有的所有中心的链接。WAN 彼此相互隔离，不能包含公用集线器，也不能包含在不同 WAN 中的两个 hub 之间的连接。

• 站点：表示本地 VPN 设备及其设置。一个站点可以连接到多个中心。通过 Citrix SD-WAN，可以使用内置解决方案自动将此信息导出到 Azure。

• Hub：表示您的网络在特定区域的核心。Hub 包含各种服务终端节点，可以实现与本地网络的连接和其他解决方案。在站点之间建立站点到站点的连接，然后再到 Hub VPN 端点。

• Hub 虚拟网络连接：Hub 网络可以将 Azure 虚拟 WAN Hub 无缝连接到您的虚拟网络。目前，连接到同一虚拟中心区域内的虚拟网络可用。

• 分支：分支是本地 Citrix SD-WAN 设备，存在于客户办公地点。SD-WAN 控制器集中管理分支。连接源于这些分支的后面，终止到 Azure。SD-WAN 控制器负责将所需的配置应用于这些分支和 Azure Hub。

下图介绍了虚拟 WAN 组件：

微软 Azure 虚拟广域网如何工作

1. SD-WAN Center 通过使用服务主体、主体或基于角色的访问功能进行身份验证，在 Azure GUI 中处于启用状态。

2. SD-WAN Center 获取 Azure 连接配置并更新本地设备。这会自动执行本地设备的配置下载、编辑和更新。

3. 在设备具有正确的 Azure 配置后，将向 Azure WAN 建立一个站点到站点连接（两个主动 IPsec 通道)。Azure 需要分支设备连接器才能支持 IKEv2 设置。BGP 配置是可选的。

   注意：建立 IPsec 通道的 IPsec 参数的标准化。

   IPsec 属性	参数
   IKE 加密算法	AES 256
   IKE 完整性算法	SHA 256
   Dh 集团	DH2
   IPsec 加密算法	GCM AES 256
   IPsec 完整性算法	GCM AES 256
   PFS 组	无

Azure 虚拟 WAN 可自动执行工作负载虚拟网络和中心之间的连接。创建中心虚拟网络连接时，它会在预配的 Hub 与工作负载虚拟网络 (VNET) 之间设置适当的配置。

先决条件和要求

请先阅读以下要求，然后再继续配置 Azure 和 SD-WAN 以管理连接到 Azure hub 的分支站点。

1. 已将虚拟广域网的 Azure 订阅列入白名单。
2. 使用本地设备（如 SD-WAN 设备）在 Azure 资源中建立 IPsec。
3. 拥有带公共 IP 地址的互联网链接。虽然单个 Internet 链接足以建立连接到 Azure，但您需要两个 IPsec 通道才能使用相同的 WAN 链接。
4. SD-WAN controller-controller 是负责配置 SD-WAN 设备以连接到 Azure 的接口。
5. Azure 中至少有一个工作负载的 VNET。例如，负责托管服务的 VM。请注意以下几点：
   1. 虚拟网络不应具有 Azure VPN 或快速路由网关或网络虚拟设备。
   2. 虚拟网络不应具有用户定义的路由，该路由将流量路由到非虚拟 WAN 虚拟网络，以处理从本地分支机构访问的工作负载。
   3. 必须配置访问工作负载的适当权限。例如，对于 ubuntu VM，请使用端口 22 SSH 访问权限。

下图说明了 Microsoft Azure 中包含两个站点和两个虚拟网络的网络。

设置微软 Azure 虚拟 WAN

要使本地 SD-WAN 分支连接到 Azure 并通过 IPsec 隧道访问资源，应完成以下步骤。

1. 配置 WAN 资源。
2. 启用 SD-WAN 分支以使用 IPsec 通道连接到 Azure。

配置 SD-WAN 网络之前，请配置 Azure 网络，因为连接到 SD-WAN 设备所需的 Azure 资源事先必须可用。但是，您可以在配置 Azure 资源之前配置 SD-WAN 配置（如果您首选)。本主题讨论在配置 SD-WAN 设备之前首先设置 Azure 虚拟 WAN 网络。https://microsoft.com azure virtual-wan。

创建 WAN 资源

要使用虚拟 WAN 功能并将本地分支设备连接到 Azure，请执行以下操作：

1. 登录 Azure 应用商店，转到虚拟 WAN 应用程序，然后选择创建广域网。

   

2. 输入 WAN 的名称，然后选择要用于 WAN 的订阅。

3. 选择现有资源组或创建新资源组。资源组是逻辑构造，资源组之间的数据交换始终是可能的。

4. 选择您希望资源组驻留的位置。WAN 是一种没有位置的全球资源。但是，您必须为包含 WAN 资源元数据的资源组输入位置。

5. 单击 “ 创建”。这将启动验证和部署设置的过程。

创建网站

您可以使用首选供应商创建站点。首选供应商将与您的设备和站点有关的信息发送至 Azure，或者您可以决定自己管理设备。如果要管理设备，需要在 Azure 门户中创建站点。

SD-WAN 网络和微软 Azure 虚拟 WAN 工作流

配置 SD-WAN 设备：

1. 预配 Citrix SD-WAN 设备
   • 将 SD-WAN 分支设备连接到 MCN 设备。
2. 配置 SD-WAN 设备
   • 为主动-主动连接配置 Intranet 服务。

配置 SD-WAN Center：

• 将 SD-WAN Center 配置为连接到 Microsoft Azure。

配置 Azure 设置：

• 提供租户 ID、客户端 ID、安全密钥、订阅者 ID 和资源组。

将分支站点配置为 WAN 关联：

1. 将一个 WAN 资源关联到分支机构。同一站点无法连接到多个 WAN。
2. 单击新建以配置站点 WAN 关联。
3. 选择 Azure WAN 资源。
4. 选择站点的服务 （Intranet）。选择两项服务以获得活动-备用支持。
5. 选择要与 WAN 资源相关联的站点名称。
6. 单击部署以确认关联。
7. 等待状态更改为已部署的通道，以查看IPsec 通道设置。
8. 使用 SD-WAN Center 报告视图检查相应 IPsec 隧道的状态。

配置 Citrix SD-WAN 网络

MCN：

MCN 充当初始系统配置和后续配置更改的分发点。虚拟 WAN 中只能有一个活动的 MCN。 默认情况下，设备具有客户端的预先分配的角色。要将设备建立为 MCN，必须首先添加站点并将其配置为 MCN。在将站点配置为 MCN 后，网络配置 GUI 变为可用。必须仅从 MCN 或 SD-WAN Center 执行升级和配置更改。

MCN 的角色：

MCN 是指用作 SD-WAN 网络以及客户端节点的中央管理点的控制器的中心节点。所有配置活动、固件包的准备及其分发到客户端，都在 MCN 上进行配置。此外，监视信息仅在 MCN 上可用。MCN 可以监视整个 SD-WAN 网络，而客户端节点只能监视本地 Intranet 以及其所连接的客户端的某些信息。MCN 的主要用途是建立覆盖连接（虚拟路径），其包含一个或多个位于 SD-WAN 网络中的一个或多个客户端节点，用于实现企业站点到站点之间的通信。MCN 可以管理和拥有多个客户端节点的虚拟路径。可以有多个 MCN，但在任意给定时间只能激活一个。下图说明了一个小型两站点网络的 MCN 和客户端（分支节点）设备的基本示意图。

将 SD-WAN 设备配置为 MCN

要添加并配置 MCN，必须先在要指定为 MCN 的设备上登录到管理 Web 界面，然后将管理 Web 界面切换到 MCN 控制台模式。MCN 控制台 模式允许访问当前连接的管理 Web 界面中的配置编辑器。然后，您可以使用 配置编辑器 添加和配置 MCN 站点。

要将管理 Web 界面切换到 MCN 控制台 模式，请执行以下操作：

1. 在要配置为 MCN 的设备上登录到 SD-WAN 管理 Web 界面。
2. 在管理 Web 界面主屏幕（页面顶部的蓝色栏）的主菜单栏中单击 配置 。
3. 在导航树（左窗格）中，打开设备设置分支，然后单击管理员界面。

4. 选择 “其 他” 选项 卡。此时将打开其他管理设置页面。

   

   在杂项选项卡页面底部，切换到[客户端，MCN] 控制台部分。本节包含切换控制台按钮，用于在设备控制台模式之间切换。

节标题指示当前控制台模式，如下所示：

• 处于 客户端控制台 模式（默认）时，部分标题为 “ 切换到 MCN 控制台”。
• 处于 MCN 控制台 模式时，部分标题为 “ 切换到客户端控制台”。

默认情况下，新设备在客户端控制台模式下显示。MCN 控制台模式在导航树结构中启用“配置编辑器”视图。配置编辑器 仅在 MCN 设备上可用。

配置 MCN

要添加和开始配置 MCN 设备站点，请执行以下操作：

1. 在 SD-WAN 设备 GUI 中，导航到虚拟 WAN >配置编辑器。

   

2. 单击“站点”栏中的 + 站点以开始添加和配置 MCN 站点。此时将显示添加站点对话框。

   

3. 输入一个站点名称，用于确定设备的地理位置和角色（DC/辅助 DC）。选择正确的设备型号。选择正确的设备是非常重要的，因为硬件平台在处理能力和许可方面互不相同。由于我们将此设备配置为主头端设备，请选择模式作为主 MCN，然后单击添加。

4. 这样会将新站点添加到站点树，默认视图将显示基本设置配置页面，如下所示：

   

5. 输入基本设置，例如位置、站点名称。

6. 对设备进行配置，使其能够接受来自 Internet/MPLS/宽带的流量。定义链接终止的接口。这取决于设备处于叠加模式还是底层模式。

7. 单击接口组开始定义接口。

   

8. 单击 + 添加虚拟接口组。这将添加一个新的虚拟接口组。虚拟接口的数量取决于您希望设备处理的链接。设备可以处理的链接数因设备型号而异，最大链接数最多可以有八个。

   

9. 单击虚拟接口右侧的 +，以按如下所示查看屏幕。

   

10. 选择构成此虚拟接口一部分的以太网接口。设备具有预配置的一对故障的故障到网络界面，具体取决于平台型号。如果要在设备上启用故障-有线，请确保选择正确的接口对，并确保在旁路模式列下选择“故障切换”。
11. 从下拉列表中选择安全级别。如果接口为在各接口上使用 Internet 链接，则选择“可信模式”（如果接口为“MPLS 链路”提供），将选择不受信任。

12. 在名为虚拟接口的标签右侧，单击 +。这将显示名称、防火墙区域和 VLAN ID。输入此虚拟接口组的名称和 VLAN ID。VLAN ID 用来识别进出虚拟接口的流量，并将其标记为从虚拟接口，对本机/未加标签的流量使用 0（零)。

    

13. 要将接口配置为无法连接，请单击 Bridge 对。这会添加新的桥接对，并允许进行编辑。单击应用以确认这些设置。
14. 要添加更多虚拟接口组，请单击接口组分支右侧的 +，然后按如上所述操作。
15. 选择这些接口后，下一步是在这些接口上配置 IP 地址。在 Citrix SD-WAN 术语中，这称为 VIP（虚拟 IP）。

16. 继续在站点视图中，然后单击虚拟 IP 地址以查看用于配置 VIP 的接口。

    

17. 输入 IP 地址/前缀信息，然后选择与该地址关联的虚拟接口。虚拟 IP 地址必须包含完整的主机地址和网络掩码。为虚拟 IP 地址选择所需的设置，例如防火墙区域、身份、专用和安全性。单击应用。这会将地址信息添加到站点中，并将其包含在站点 虚拟 IP 地址 表中。要添加更多虚拟 IP 地址，请单击 虚拟 IP 地址 右侧的 +，然后按照上述步骤继续操作。

18. 继续在站点部分为站点配置 WAN 链接。

    

19. 在右侧面板的顶部，单击添加链接。此时将打开一个对话框，您可以在此对话框中选择要配置的链接类型。

    

20. 公用 Internet 适用于 Internet/宽带/DSL/ADSL 链接，而专用 MPLS 则用于 MPLS 链路。私人内联网也用于 MPLS 链接。私有 MPLS 和私有内联网链接之间的区别在于，私有 MPLS 允许保留 MPLS 链路的 QoS 策略。
21. 如果您选择“公用 Internet”，并且通过 DHCP 分配 IP，请选择“自动检测 IP”选项。

22. 在 WAN 链接配置页面中，选择访问接口。这将打开站点的访问接口视图。添加并配置每个链接对应的 VIP 和网关 IP，如下所示。

    

23. 单击 + 以添加界面。这会向表格中添加一个空条目，并将其打开以进行编辑。

24. 输入要分配给此接口的名称。您可以根据链接类型和位置选择命名它。如果不希望将网络隔离，并为接口分配 IP，请将路由域保留为默认值。

25. 如果链接是互联网链接或私有 IP（如果链接是 MPLS 链接），请确保提供可公开访问的网关 IP 地址。将虚拟路径模式保持为主要模式，因为您需要使用此链接形成虚拟路径。

    注意：启用代理 ARP 时，当网关无法访问时，设备会回复网关 IP 地址的 ARP 请求。

26. 单击应用完成 WAN 链接的配置。如果要配置更多 WAN 链接，请对其他链接重复执行这些步骤。
27. 配置站点的路由。单击连接视图，然后选择路线。

28. 单击 + 以添加路由，这将打开一个对话框，如下所示。

    

29. 输入适用于新路由的以下信息：

    • 网络 IP 地址
    • 成本 — 成本决定哪条路线优先于另一条路线。成本较低的路径优先于成本较高的路线。默认值为 5。
    • 服务类型 - 选择服务，一项服务可以是以下任意项：
      • 虚拟路径
      • 内联网
      • Internet
      • 直通
      • 本地
      • GRE 隧道
      • 局域网 IPsec 隧道
30. 单击应用。

要为站点添加更多路由，请单击“路由”分支右侧的 +，然后按照上面的方式进行操作。有关更多信息，请参阅 配置 MCN。

配置 MCN 和分支站点之间的虚拟路径

在 MCN 和分支节点之间建立连接。您可以通过在这两个站点之间配置虚拟路径来实现此目的。导航到配置编辑器配置树中的连接选项卡。

1. 在“配置”部分中，单击连接选项卡。这将显示配置树的连接部分。

2. 在连接部分页面中，从“查看站点”下拉菜单中选择 MCN。

   

3. 从连接选项卡中选择虚拟路径，以在 MCN 和分支站点之间创建虚拟路径。

   

4. 在“虚拟路径”部分中，单击静态虚拟路径名称旁边的添加虚拟路径。此时将打开一个对话框，如下所示。选择要为其配置虚拟路径的分支。必须在名为远程站点的标签下进行配置。从此下拉列表中选择分支节点，然后单击同时反向复选框。

   

   在虚拟路径的两个站点上镜像流量分类和转向。完成此操作后，请从名为“节”下的下拉菜单中选择路径，如下所示。

   

5. 在路径表格上方单击 + 添加，将显示“添加路径”对话框。指定必须在其中配置虚拟路径的端点。现在，单击添加以创建路径，然后单击反转复选框。

   注意：Citrix SD-WAN 在两个方向上测量链接质量。这意味着点 A 到点 B 是一条路径，点 B 到点 A 是另一个路径。通过单向度量链路条件的帮助，SD-WAN 可以选择发送流量的最佳路由。这与诸如 RTT 之类的度量值不同，后者是用来度量延迟的双向指标。例如，点 A 与点 B 之间的一个连接显示为两条路径，每个连接都分别计算链路性能指标。

此设置足够用来将虚拟路径置于 MCN 与分支之间，其他配置选项也可用。有关详细信息，请参阅在 MCN 和客户端站点之间配置虚拟路径服务。

部署 MCN 配置

下一步是部署配置。这包括以下两个步骤：

1. 将 SD-WAN 配置包导出到更改管理。

   • 在生成设备包之前，必须首先将完成的配置包从配 置编辑器 导出到 MCN 上的全局 变更管理 暂存收件箱。请参阅 执行变更管理一节中提供的步骤。

2. 生成并暂存设备软件包。

   • 将新配置包添加到更改管理收件箱后，可以在分支站点上生成并暂存设备包。要执行此操作，请使用 MCN 上的管理 Web 界面中的更改管理向导。请参阅 Stage 设备包一节中提供的步骤。

配置 Intranet 服务以连接 Azure WAN 资源

1. 在 SD-WAN 设备 GUI 中，转到 配置编辑器。导航到 “ 连接 ” 磁贴。单击 + 添加服务可为该站点添加 Intranet 服务。

2. 在 Intranet 服务的基本设置中，您希望 Intranet 服务在 WAN 链接不可用期间的行为方式有几个选项。

   • 启用主回收–如果希望选定的主链路在故障转移后接管，请选中此复选框。如果您选择不选中此选项，则辅助链路将继续发送流量。
   • 忽略 WAN 链接状态 - 如果此选项处于启用状态，则发送给此 Intranet 服务的数据包将继续使用此服务，即使构成的 WAN 链接不可用也是如此。

3. 配置基本设置后，下一步是为此服务选择组成 WAN 链接。一项内联网服务最多可选择两个链接。要选择 WAN 链接，请从标有 “部分” 的下拉列表中选择 WAN 链接选项。WAN link 功能在主模式和辅助模式下，只有一个链路被选为主要 WAN 链接。

   注意：创建第二个 Intranet 服务时，必须具有主和辅助 WAN 链接映射。

   

4. 可以使用特定于分支站点的规则，从而使每个分支站点的自定义功能唯一覆盖在全局默认集中配置的任何常规设置。模式包括基于特定 WAN 链接的所需交付，或者用作覆盖服务，允许您经过过滤或放弃过滤的流量。例如，如果存在一些流量，即不希望通过 Intranet 服务，则可以编写一条规则，以丢弃该流量或通过其他服务（Internet 或直通）发送。

   

5. 如果为站点启用了 Intranet Service，则可以使用 Provisi oning 磁贴以允许在使用 WAN 链接的各种服务之间双向（LAN 到 WAN /WAN 到 LAN）分配 WAN 链路的带宽。服务部分允许您进一步微调带宽分配。此外，还可以启用公平共享，以允许服务在进行公平分发之前接收最低的保留带宽。

   

配置 SD-WAN Center

下图介绍了 SD-WAN Center 和 Azure 虚拟 WAN 连接的高级别工作流。

配置 Azure 设置：

• 提供租户 ID、客户端 ID、安全密钥、订阅者 ID 和资源组。

将分支站点配置为 WAN 关联：

• 将一个 WAN 资源关联到一个分支站点。同一站点无法连接到多个 WAN。
• 单击新建以配置站点 WAN 关联。
• 选择 Azure WAN 资源。
• 选择站点的服务 （Intranet）。应为活动-备用支持选择两项服务。
• 选择要与 WAN 资源相关联的站点名称。
• 单击部署以确认关联。
• 等待状态更改为 “已下载” 以查看 IPsec 隧道 设置。
• 使用 SD-WAN Center 报告视图检查相应 IPsec 隧道的状态。要传输的数据流量应为“绿色”（IPsec 通道）状态。

预配 SD-WAN Center：

SD-WAN Center 是用于 Citrix SD-WAN 的管理和报告工具。虚拟 WAN 的必需配置是在 SD-WAN Center 中执行的。SD-WAN Center 仅作为虚拟外形规格 (VPX) 提供，需要安装在 VMware ESXi 或 XenServer 虚拟机管理程序上。配置 SD-WAN Center 设备所需的最少资源包括 8 GB RAM 和4个 CPU 内核。以下是 安装 和 配置 SD-WAN 中心虚拟机的步骤。

为 Azure 连接配置 SD-WAN Center

请确保已配置所需站点的 Intranet 服务，并在 SDWAN center 中配置 Azure 门户的服务策略信息。请参阅上面部分中提供的说明。在使用 SD-WAN Center 与 Azure WAN 资源连接之前，您需要创建一个服务主体，用于向 Azure 验证第三方应用程序（在这种情况下为 SD）（在这种情况下为 SD-WAN Center）。 有关详细信息，请阅读创建服务主体。

要成功通过 Azure 向 SD-WAN center 进行身份验证，应使用以下参数：

• 租户 ID
• 客户端 ID
• 安全密钥
• 订阅者 ID

请确保已配置所需站点的 Intranet 服务，并在 SDWAN center 中配置 Azure 门户的服务策略信息。请参阅上面部分中提供的说明。

对 SD-WAN Center 进行身份验证：

在 SD-WAN Center UI 中，导航到Configuration > Cloud 连接。配置 Azure 连接设置。有关配置 Azure VPN 连接的详细信息，请参阅以下链接： Azure Resource Manager。

输入 租户 ID、安全密钥、订阅者 ID 和应用程序 ID。需要执行此步骤才能使用 Azure 对 SD-WAN Center 进行身份验证。如果在上面输入的凭据不正确，则身份验证将失败，并且不允许执行进一步操作。单击应用。

存储帐户字段引用您在 Azure 中创建的存储帐户。如果未创建存储帐户，单击应用后，将在您的订阅中自动创建一个新存储帐户。

获取 Azure 虚拟 WAN 资源：

成功完成身份验证后，Citrix SD-WAN 轮询 Azure 以获取 Azure 虚拟 WAN 资源的列表，在登录 Azure 门户后的第一个步骤中创建这些资源。WAN 资源是终止从分支站点启动的 IPsec 隧道的端点或集线器。此资源表示你在 Azure 中的整个网络。它包含指向您希望在此广域网中拥有的所有中心的链接。WAN 彼此相互隔离，不能包含公用集线器，也不能包含不同 WAN 资源中的两个不同中枢之间的连接。

要关联分支站点和 Azure WAN 资源，请执行以下操作：

分支站点需要与 Azure WAN 资源相关联才能建立 IPsec 隧道。一个分支可以连接到多个这样的 Azure 虚拟 WAN 资源，一个 Azure 虚拟 WAN 资源可以连接到多个本地分支站点。

要添加多个站点，请执行以下操作：

你可以选择一次添加多个站点，然后将它们关联到 Azure WAN 资源。

1. 单击添加多个可添加具有相同服务集的所有站点并将其与所选 WAN 资源相关联。

   

2. Azure WAN 资源下拉列表（如下所示）已预先填充属于您的 Azure 帐户的资源。如果尚未创建 WAN 资源，则此列表为空，您必须导航到 Azure 门户才能创建资源。如果列表中填充了 WAN 资源，请选择您需要将分支站点连接到的 Azure WAN 资源。

   

3. 选择已创建的 Intranet 服务，您可以在此字段中选择两个 Intranet 服务。服务对应于使用 SD-WAN 配置创建的 Intranet 服务。

4. 选择一个或所有分支站点以启动 IPsec 隧道建立过程。根据所选的 Intranet 服务，将填充可用的分支信息。将显示具有所需服务的所有分支。

   

   

   

要添加单个站点，请执行以下操作：

您还可以选择一次性添加站点（单个），随着网络增长，或者如果正在执行站点间部署，可以选择添加多个站点（如上所述）。

1. 单击新增为站点 WAN 关联选择一个站点名称。在“将站点配置到 Azure 网络”对话框中添加站点。

   

   

2. 使用 SD-WAN 配置创建的 Intranet 服务基于 Intranet 服务（Tunnel1 和 Tunnel2）下的选定站点进行填充。选择一个或两个内联网服务。

3. 从 Azure 虚拟 WAN 下拉菜单中选择站点必须关联的广域网资源。

4. 单击部署以确认关联。状态（“未推送”、“已推送” 和 “已下载”）将更新，以通知您有关该进程的信息。

部署过程包括以下状态：

• 推送网站信息
• 等待 VPN 配置
• 已部署的隧道

• 连接处于活动状态（IPsec 通道已启动）或连接已关闭（IPsec 通道已关闭）

  

等待状态更改为 “已激活连接” 以查看IPsec 通道设置。查看与所选服务关联的 IPsec 设置。

SD-WAN Azure 设置：

默认情况下，更改管理过程是自动完成的。这意味着，只要可以在 Azure 虚拟 WAN 基础结构上提供新配置，SD-WAN Center 便会获得此配置，并开始将其自动应用于分支机构。但是，如果您希望控制何时需要将配置应用于分支，则可以控制此行为。禁用自动更改管理功能的一个优点是独立管理此功能和其他 SD-WAN 功能的配置。 巡回检测时间间隔选项控制在 Azure 虚拟 WAN 基础结构中查找配置更新的时间间隔，建议的轮询时间间隔时间为2分钟。

• 禁用分支到分支连接–禁用通过 Azure 虚拟 WAN 基础结构进行分支到分支通信。默认情况下，此选项处于禁用状态。启用此功能后，这意味着本地分支可以通过 Azure 的虚拟 WAN Infra 通过 IPsec 相互通信，也可以与分支后面的资源进行通信。这对通过 SD-WAN 虚拟路径进行分支到分支的通信没有任何影响，分支可以相互通信，并通过虚拟路径与它们各自的资源/端点通信，即使禁用此选项也是如此。

• 调试级别–如果存在任何连接问题，则可以启用捕获日志以进行调试。

刷新 WAN 资源：

单击刷新图标可检索您在 Azure 门户上更新的最新 WAN 资源集。刷新过程完成后，将显示一条消息，指出 “已成功刷新 WAN 资源”。

删除站点-WAN 资源关联

选择一个或多个映射以执行删除。在内部会触发 SD-WAN 设备更改管理过程，直至成功完成后，删除选项处于禁用状态，以防止进一步执行删除操作。要删除映射，需要取消关联或删除 Azure 门户中相应的站点。

监视 IPsec 隧道

导航到 SD-WAN Center 报告视图以检查各个 IPsec 隧道的状态。隧道状态应为绿色，数据流量才能流动。