Cisco SD-WAN AWSブランチコネクト

# はじめに
2024年CiscoSystems合同会社社員有志によるAdventCalendarの記事の一つです。
https://qiita.com/advent-calendar/2024/cisco

# この記事の目的
[ブランチコネクト紹介](https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/cloudonramp/ios-xe-17/cloud-onramp-book-xe/cloud-onramp-multi-cloud-aws.html)
CiscoSD-WANのマルチクラウド機能の一つとしてAWSのGlobalNetworkの機能（TGW、VPNゲートウェイ、などのネットワーク機能の集合）との連携のうち、最も安価な運用方法の取れるブランチコネクトの設定方法を紹介します。ブランチコネクトはAWSに新規のTGWを作成しながらルータとのVPN設定を自動化してくれます。vManageからAPIがほとんどを行ってくれますが、フロー中にAWS側での作業が必要です。

SD-WANコントローラとルータが事前に接続されている状態からスタートします。
ルータの設定はFeature-Templateモードで設定されている必要があります。

# 設定フロー
☪️☪️☪️　vManageから　☪️☪️☪️
マルチクラウド画面からAWSアカウントの登録をします。
![スクリーンショット 2024-11-23 16.50.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/81259802-f274-5535-0f0d-d18fcd6d6ed5.png)

![スクリーンショット 2024-11-23 16.53.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/277afff7-8837-0c89-d5ff-a41477338605.png)

![スクリーンショット 2024-11-23 16.54.32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/fcfab5c8-e44e-5884-31de-1bb726b1689d.png)

グローバルセッティング　接続方式を決めます。
![スクリーンショット 2024-11-23 16.56.11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/f5834eb8-b63f-7e46-ad77-ffc22a213a1b.png)

![スクリーンショット 2024-11-23 16.57.32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/0cece965-c2a3-2de3-e3b1-24ff18709c1f.png)

vManageからAWSへTGWを作成を作成させに行きます。
![スクリーンショット 2024-11-23 16.58.50.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/fb18a319-c4d0-2bac-7034-d2cb11c94069.png)

![スクリーンショット 2024-11-23 17.00.11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/77447971-682e-5e87-fe7f-c1f8a57f25cc.png)

![スクリーンショット 2024-11-23 17.02.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/2429b8b3-4b72-b7d7-be0c-c1bdd10884a6.png)

⭐️⭐️⭐️  AWSから　⭐️⭐️⭐️
コンソールに移動しGlobal Networkから
![スクリーンショット 2024-11-23 17.04.39.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/af71facb-27d2-5178-8e15-c17312f4e21e.png)

自身の組織名のGlobal networkが作成されているので、一旦、コアネットワークを作ります。
![スクリーンショット 2024-11-23 17.07.27.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/3b345ed3-ca9e-102a-efcc-84d944bec058.png)

![スクリーンショット 2024-11-23 17.08.57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/635248f9-7b06-ffe7-a6ec-3ae1b314d976.png)

コアネットワークが作成されるまで10分くらいかかるので終わるまで待ちます。
![スクリーンショット 2024-11-23 17.10.05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/6f3d23e6-92f0-b5d1-87e8-d823818630a2.png)

![スクリーンショット 2024-11-23 17.12.46.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/1dc684be-0cd8-354f-9279-67d4afea0173.png)

できました
![スクリーンショット 2024-11-23 17.14.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/4efdf349-1613-7bbb-ed75-7b7908ea7865.png)

☪️☪️☪️　vManageから　☪️☪️☪️
再びvManageに戻りまして、拠点からの接続を行なっていきます。
Gateway Managementというボタンが一番下の方にあるのでそれを押します。
![スクリーンショット 2024-11-23 17.16.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/9188793e-7166-cbec-d0bb-7acd04b7c52e.png)

右の方の・・・ボタンからAttachmentを押します。
![スクリーンショット 2024-11-23 17.17.37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/b238e733-11a2-739b-31ee-8f856e0d08fc.png)

![スクリーンショット 2024-11-23 17.19.09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/8f8f57f4-b184-51fb-78d1-500e5f62ea20.png)

接続させるルータのWANインタフェースのカラーを選びます。（複数も可）
![スクリーンショット 2024-11-23 17.19.35.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/2b1c3540-040d-72d6-61ed-4dddb92c9a04.png)

![スクリーンショット 2024-11-23 17.20.34.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/32a282d3-cfeb-ca42-e3c3-e46e141dbbf0.png)

![スクリーンショット 2024-11-23 17.20.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/28fc6c77-0d05-677e-1f66-48b9fd8f5422.png)

![スクリーンショット 2024-11-23 17.21.54.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/95b75592-ce7d-0b87-57e5-720498a01a8f.png)

![スクリーンショット 2024-11-23 17.22.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/62c14577-f17e-52cd-8d4b-b95c360d61b2.png)

左のSaveのボタンを押します。
![スクリーンショット 2024-11-23 17.23.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/df30fd77-a117-6062-74f5-4976346b95d4.png)

![スクリーンショット 2024-11-23 17.23.58.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/6c2787ab-822e-dbcd-0a11-a78fae52cd1b.png)

![スクリーンショット 2024-11-23 17.24.54.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/4f74a84f-deba-b890-f00a-f9bec7ce2574.png)

AWSの接続の必要なVPCに対してTAGをつけることでルーティングの連携が行えます。今回は適当なVPCを選びます。
![スクリーンショット 2024-11-23 17.28.32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/d8ac6663-4f57-4374-5f4d-e879a9e442f5.png)

![スクリーンショット 2024-11-23 17.30.00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/ef2ff4d3-bccb-eb50-b018-1ed109fb65b3.png)

![スクリーンショット 2024-11-23 17.30.26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/6001c9ab-ceb3-f7f5-6ac3-3c363407e577.png)

また画面の一番下の方のCloud Connectivityを押して、相互通信を可能とします。
![スクリーンショット 2024-11-23 17.32.08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/620d37d1-842f-8726-d568-c7e67d942056.png)

![スクリーンショット 2024-11-23 17.32.52.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/e67fffd9-d0be-9fa4-1e7a-e944fd7a85b8.png)

![スクリーンショット 2024-11-23 17.33.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/ed05cd65-65d2-941d-7ee1-2966728879d2.png)

![スクリーンショット 2024-11-23 17.33.31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/68432d0a-24af-ead2-11a6-c03d669e2af4.png)

![スクリーンショット 2024-11-23 17.34.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/3f63c284-00e3-d834-ce89-1a34f141ee07.png)

10分くらい待つとこのように諸々のタスクが自動的に行われます。
![スクリーンショット 2024-11-23 17.40.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/1c538382-b056-ae9d-c905-f4d341bb0afe.png)

マルチクラウドの画面に戻るとルータとのIPsecが自動的に接続されているのがわかります。
![スクリーンショット 2024-11-23 17.42.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/586113ba-77f6-d365-1af6-c2f9207b075b.png)

# ルータの設定っぷりを見てみよう
最後の通信元と宛先のVPCとの連携を行った際にvManageから以下の設定が自動的に追加されます。
これらはAWS側のパラメータと連携するところが素敵です。

```
vrf definition 1
address-family ipv4
 route-target export 65530:1
 route-target import 65530:1
 exit-address-family
!
vrf definition Mgmt-intf
description Management VPN
rd          1:512
address-family ipv4
 route-target export 65530:512
 route-target import 65530:512
 exit-address-family
!

interface Tunnel100001
 no shutdown
 vrf forwarding 1
 ip address 169.254.0.6 255.255.255.252
 no ip clear-dont-fragment
 ip mtu              1500
 tunnel source GigabitEthernet1
 tunnel destination 18.176.XX.XX
 tunnel mode ipsec ipv4
 tunnel path-mtu-discovery
 tunnel protection ipsec profile if-ipsec1-ipsec-profile
exit
interface Tunnel100002
 no shutdown
 vrf forwarding 1
 ip address 169.254.0.10 255.255.255.252
 no ip clear-dont-fragment
 ip mtu              1500
 tunnel source GigabitEthernet1
 tunnel destination 54.92.XX.XX
 tunnel mode ipsec ipv4
 tunnel path-mtu-discovery
 tunnel protection ipsec profile if-ipsec2-ipsec-profile
exit
!
crypto ipsec transform-set if-ipsec1-ikev1-transform esp-aes 256 esp-sha-hmac
 mode tunnel
!
crypto ipsec transform-set if-ipsec2-ikev1-transform esp-aes 256 esp-sha-hmac
 mode tunnel
!
crypto ipsec profile if-ipsec1-ipsec-profile
 set isakmp-profile if-ipsec1-ikev1-isakmp-profile
 set pfs group15
 set transform-set if-ipsec1-ikev1-transform
 set security-association lifetime kilobytes disable
 set security-association lifetime seconds 3600
 set security-association replay window-size 512
!
crypto ipsec profile if-ipsec2-ipsec-profile
 set isakmp-profile if-ipsec2-ikev1-isakmp-profile
 set pfs group15
 set transform-set if-ipsec2-ikev1-transform
 set security-association lifetime kilobytes disable
 set security-association lifetime seconds 3600
 set security-association replay window-size 512
!
crypto keyring if-ipsec1-ikev1-keyring
 pre-shared-key address 18.176.140.47 key slxFfXXXX
!
crypto keyring if-ipsec2-ikev1-keyring
 pre-shared-key address 54.92.95.214 key sqSXt1XXXX
!
crypto isakmp aggressive-mode disable
crypto isakmp keepalive 10 3 on-demand
crypto isakmp policy 1
 authentication pre-share
 encryption aes 128
 group          15
 hash           sha
 lifetime       28800
!
crypto isakmp policy 2
 authentication pre-share
 encryption aes 128
 group          15
 hash           sha
 lifetime       28800
!
crypto isakmp profile if-ipsec1-ikev1-isakmp-profile
 keyring if-ipsec1-ikev1-keyring
 match identity address 18.176.XX.XX 255.255.255.255
!
crypto isakmp profile if-ipsec2-ikev1-isakmp-profile
 keyring if-ipsec2-ikev1-keyring
 match identity address 54.92.XX.XX 255.255.255.255
!
router bgp 65530
 bgp log-neighbor-changes
 address-family ipv4 unicast vrf 1
  distance bgp 20 200 20
  maximum-paths eibgp 2
  neighbor 169.254.0.5 remote-as 65500
  neighbor 169.254.0.5 activate
  neighbor 169.254.0.5 ebgp-multihop 255
  neighbor 169.254.0.5 send-community both
  neighbor 169.254.0.9 remote-as 65500
  neighbor 169.254.0.9 activate
  neighbor 169.254.0.9 ebgp-multihop 255
  neighbor 169.254.0.9 send-community both
  redistribute connected
  redistribute static
 exit-address-family
!
timers bgp 60 180
!
```

# AWSで行われた設定を見てみよう
初期構築ではここまでですが、以降の運用ではAWS側でもパラメータを変えたりできます。
基本的には拠点ごとのIPsecの速度などを調整することになるかなと思ったので、その画面へ。

![スクリーンショット 2024-11-23 17.53.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/8d25fae2-39e1-b2f2-587c-be6be773c5a4.png)

![スクリーンショット 2024-11-23 17.57.36.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/259135/8221ac06-3134-837a-85c6-8a3ba61c74c7.png)

# 参考文献
- [リリースノート](https://www.cisco.com/c/en/us/support/routers/sd-wan/products-release-notes-list.html)
- [マニュアルリンク](https://www.cisco.com/c/en/us/td/docs/routers/sdwan/config/ios-xe-sdwan17.html)