SD-Accessを検証したいのに2 -port有効化・L3 Handoff

## 概要
ciscoが提供するsandboxでSD-ACCESSを勉強しています。
動画などで見るとスムーズに設定しているのですが、意外と検証できるまでの初期設定が難しかったです。
エラーになったところを備忘として記録します。メモ書きなので、これを見ればわかる！とは言えませんが、同じことで悩んでいる方の参考になれば嬉しいです。


この記事はファブリックを設定後、Edgeの各ポートの設定とL3 Handoffの設定についてです。
間違えていたら教えてほしい..

##
環境はこちらを使用しました。
無料でcatalyst centerやSD-WAN環境が試せます。
cisco sandbox

https://developer.cisco.com/site/sandbox/

Catalyst Center Sandbox
Cisco DNA Center Release 2.3.7.4 with ISE

## 構成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/e5c1c557-d7f8-35f3-65a3-662daf8930f6.png)


sandboxの構成を少しシンプルに変更
sw2を削除、外部接続用としてR1を追加

## 手順
１．ISEと紐づけ
２．サイトの作成
３．ネットワークの設定
４．デバイスの設定
５．ファブリックの設定

 ↓ここから
６．Layer3 Virtual Networks/Anycast Gatewayの作成
　６－１．Layer3 Virtual Networks作成
　６－２．Anycast Gateway作成
    
７．Edgeのportを有効化

８．L3 Handoff
　８－１．Transitの設定
　８－２．Border Nodeの設定
<br>

##
**太字**はGUIで選択するところ
<br>
## ６．Layer3 Virtual Networks/Anycast Gatewayの作成
６－１．Layer3 Virtual Networks作成
**Provision > Fabric Sites**
**Layer3 Virtual Networks > +Create Layer 3 Virtual Networks**

今回の設定
|Layer 3 Virtual Network|
|---|
|EMPLOYEE_VN|
|GUEST_VN|

<br>

６－２．Anycast Gateway作成
**Provision > Fabric Sites**
**Anycast Gateway > +Create Anycast Gateway**

今回の設定
|IP Address Pool|VLAN_Name|Security Groups
|---|---|---|
|EMPLOYEE[10.0.1.0/24]|10_0_1_0-EMPLOYEE_VN|Employees|
|GUEST[10.0.2.0/24]|10_0_2_0-GUEST_VN|Guests|

　・Auto generate VLAN nameをチェックすると自動でVLAN_Nameが入力される
　・VLAN IDは未指定だと自動で割り当てられる
　・Security Groupsは既存のものを使用
　　作成したい場合はPolicy > Group-Based Access Control - Security Groups
  
　・[Submit]後、Edge Nodeにvlanが作成される
　・Layer 2 Virtual Networksは、Anycast Gateway設定後に自動で作成される
　　Fabric Sites > Layer 2 Virtual Networksから確認できる

#show vlan
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/ede17ade-0ce3-3719-770f-3c475ad4251c.png)


## ７．Edgeのportを有効化
**Provision > Fabric Sites**
**Port Assignment**
**設定したいポートのInetrface Nameを選択**
**User Devices and Endpointsを選択 > VLAN NameとSecurity Groupを指定**

今回の設定
|sw|port|VLAN Name|Secrity Group|
|---|---|---|---|
|sw3|g1/0/3|10_0_1_0-EMPLOYEE_VN|Employees|
|sw3|g1/0/4|10_0_2_0-GUEST_VN|Guests|
|sw4|g1/0/3|10_0_1_0-EMPLOYEE_VN|Employees|

Deploy Allで反映
sw3
#show vlan
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/16eb8983-1829-506b-8ee2-0d53fd490adc.png)

##
６．Layer3 Virtual Networks/Anycast Gatewayの作成、７．Edgeのportを有効化の確認


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/29cdbe4c-c55b-bf29-3786-51296195e62d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/cb61e23c-4915-33b7-087d-0129ab8a0ee1.png)



#show ip int b
SVIが作成され、Anycast gatewayのアドレスが割り当てられている
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/e33e7d7e-70be-ba1f-dcbc-d870ca812b39.png)

#show ip route vrf *
VNごとにルーティングテーブルが作成され、hostのIPアドレスをLISPで学習している
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/21035c69-dd2f-0b9b-b3fd-f91d9b2e2b57.png)

<br>

:::note info
これが正解かはわからないけど

設定後、sw3とsw4のg1/0/1のtrunk portで作成したvlanが許可されておらず、VN内もpingがNGになってしまいます。
GUIからsw3とsw4のg1/0/1をtrunk portに設定するとpingが通るようになります。
　Provision > Fabric Sites
　Port Assignment > Trunking Deviceを選択

コマンドでallow vlanでもできちゃう
:::


## ８．L3 Handoff
８－１．Transitの設定
**Provision > Transits > +Create Transit**　←画面中央くらいにある

今回の設定
|Transit Name|Transit Type|ASN|
|---|---|---|
|AS200|IP-Based|200|

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/554a2078-bdfd-0f5f-9cea-24d1c5294997.png)

　・SD-AccessにおけるTransit Networkとは、fabricの外でBorder Nodeの接続先のこと
　・ここでは接続先の情報を入力

<br>

８－２．Border Nodeの設定
**Provision > Fabric Sites
Border Nodeを選択 > Border Node - Configure > + Add Transits
設定したTransitを追加 > Add External Interface**

今回の設定
|Virtual Network|VLAN|Local IP Address/Mask|Peer IP Address/Mask|
|---|---|---|---|
|EMPLOYEE_VN|1021|100.1.1.2/31|100.1.1.3/31|
|GUEST_VN|100.1.1.4/31|100.1.1.5/31|


　・ここはBorder Nodeの情報を入力
　・IP addressはIP address poolを作成して自動で割り当てることも可能
　・自動で割り当てた場合にどのアドレスが割り当てられたかは、
　　Border Nodeを選択 > Border Node - details >　IFを選択
　　または CLIから#show bgp all summaryなどで確認
　・R1はファブリック外なので、Border Nodeのコマンドから推測しながら手動で設定

とりあえずupはした　うーん
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/122841/5c540ff6-4898-e44a-e3ec-9197c91f88b1.png)

:::note info
GlobalのBGPができない!!!と思っていたら、もともと設定が入っているINFRA_VNをBGPのVNに追加したらGlobalにできていました。うーん
:::


## 思ったこと
SD-Access触れるようになって大変助かっています！が、触れば触るだけわからないことが増えていく..
時間をあけてリセットしてから復習します。