內容

簡介

需求

設定

路由器納管的 NAT 規則設定（選填）

SD-WAN 設定

驗證

結論

問答

簡介

軟體定義廣域網路 (SD-WAN) 透過利用集中控制和自動化來動態路由跨多個連接（例如 MPLS、寬頻、LTE）的流量，徹底改變了傳統的 WAN 架構。SD-WAN 透過整合智慧流量導向和簡化的跨站點管理來增強中心-分支 (hub-and-spoke) 模型。主要好處是集中式策略管理，它從單個控制器定義並強制執行所有站點的網路規則。

注意：

• 參與組網的 WAN 不能啟用 DMZ 功能。
• 所有分支都需要先連接到中心。

本文提供了在 Omada 控制器上設定 SD-WAN 功能的全面演練，使企業能夠在單個控制器中集中網路管理、優化流量路由並在分佈式站點之間建立安全的中心-分支連接。本指南涵蓋了前提條件、路由器納管、IP 範圍分配和設定後驗證，以確保穩定的 WAN 效能。

需求

• 韌體完全適配 Omada 控制器 V6.2 及以上的 Omada 路由器
• Omada 控制器 V6.2 及以上

設定

在以下部分中，我們將以設定三個路由器為例來介紹如何設定 SD-WAN。這三個路由器在同一個控制器上的三個站點中被納管：SD-WAN 1/2/3，且路由器命名為路由器 A/B/C。

請注意，您必須納管支援 SD-WAN 功能的韌體的路由器，才能看到 SD-WAN 面板並繼續以下所有設定！

路由器納管的 NAT 規則設定（選填）

當使用本地控制器時，路由器通常是遠端納管的，這需要設定通訊埠轉發來完成納管。

步驟 1. 控制器應位於路由器的 LAN 側，在納管此路由器後，前往 網路設定 > NAT。

步驟 2. 在 通訊埠轉發 頁面中，點擊 建立新規則。

步驟 3. 命名規則，選擇 任何 IP 位址或 受限 IP 位址 能夠使用此通訊埠轉發規則，然後選擇正確的 WAN 連接埠作為 介面。之後，設定 來源連接埠、目的地 IP、目的地連接埠 和 協定。最後，點擊 建立。

為了納管 Omada 設備，需要啟用以下通訊埠：UDP29810、TCP29811-29817 和 TCP8043。以下螢幕截圖是為 UDP29810 設定通訊埠轉發規則的示例。

步驟 4. 建立通訊埠轉發規則後，將此路由器的 WAN IP 位址設定為其他路由器上的 通知 URL 以完成納管。請注意，WAN IP 位址必須可以從其他路由器直接存取，否則您可能需要在上層設備中設定更多通訊埠轉發規則。

SD-WAN 設定

如果您已完成在同一個控制器上納管所有路由器，則 SD-WAN 設定程序從這裡開始。

步驟 1. 前往 全域觀看 > SD-WAN。

步驟 2. 點擊 建立 SD-WAN 群組。

步驟 3. 如果需要，編輯 群組名稱 和 描述。

Omada 控制器 V6.2 新支援 網段衝突解決方案，它將 SD-WAN 路由器的衝突網路區段對應到一個虛擬區段，以解決衝突網路區段無法加入同一個 SD-WAN 群組的問題，此選項預設為啟用。

從 Omada 控制器 V6.2 開始，無需為 SD-WAN 群組中的路由器手動設定虛擬 SD-WAN IP 池，它將自動生成並分配。

步驟 4. 點擊 選取 按鈕以選取 中心設備 (Hub Device) 和 分支設備 (Spoke Device)。請注意，只有具有公網 IP 位址的設備才能作為 中心設備。勾選以選取設備並點擊 儲存。

步驟 5. 完成選取中心和分支設備後，點擊 下一步 繼續。

步驟 6. 在 設定網路拓樸 頁面中，您可以預覽在路由器之間建立的通道。預設情況下，將僅建立中心-分支通道，分支之間的所有流量都需要由中心轉發，您也可以選擇在分支之間建立通道以直接連接它們並減輕中心設備的壓力，這可以透過點擊 管理分支-分支連接 來設定。請注意，要形成分支-分支連接，要求至少有一個分支具有公網 IP 位址。

在 管理分支-分支連接 頁面中，勾選以選取連接並點擊 儲存。

啟用分支-分支連接後，拓樸預覽會相應改變。

點擊右下角的 下一步 繼續。

步驟 7. 在 選取 WAN 和網路 頁面中，點擊以選取每個路由器參與此 SD-WAN 群組的 WAN 連接埠，或點擊右上角的 自動選取 WAN 連接埠，它將自動選擇最適合的 WAN，通常是具有公網 IP 的那些。

點擊以選擇每個路由器上您希望參與 SD-WAN 群組的 LAN 網路。請注意，只能選取子網路遮罩不低於 /20 的 LAN，例如，路由器 B 上的 LAN 2 的遮罩為 /16，它是灰色的且無法選取。此外，可以選取重疊的子網路，然後它將被對應到一個沒有衝突的虛擬子網路。點擊右下角的 儲存 繼續。

步驟 8.（選填）。 從 Omada 控制器 V6.2.10 開始，且在使用適配 Omada 控制器 V6.2 的 Omada 路由器韌體時，使用者能夠在 SD-WAN 群組中新增自訂路由。此路由由使用者自己輸入，而不是由 Omada 控制器管理的子網路。它可能是 VPN 通道、已連接但未由 Omada 管理的靜態子網路或一些連接的第三方設備。此功能僅在中心 (Hub) 上可用，點擊 新增 按鈕以新增 自訂路由。

在彈出頁面中，輸入此自訂路由的名稱和目的地子網路。點擊 儲存 完成建立。

請注意，必須在包含在 SD-WAN 中設定的此 自訂路由 的路由器上設定靜態路由才能使其生效。路由器的靜態路由可以在 網路設定 > 傳輸 > 路由 中設定，然後前往 靜態路由 標籤頁。

新增自訂路由後，LAN 區段預覽應如以下螢幕截圖所示，點擊 儲存 繼續。

步驟 9. 由於選取了跨路由器的重疊子網路且啟用了 網段衝突解決方案，將彈出 虛擬網路區段對應 頁面以確認重疊子網路的虛擬對應。預設情況下，虛擬對應範圍將是私有 IP 位址，10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16，您也可以選擇新增 自訂 選項並點擊 新增 來設定您想要的對應範圍。

對應結果將自動生成，如果您想更改，請點擊 編輯 按鈕並更改為您想要的子網路。

對應子網路的子網路遮罩與原始子網路相同且無法更改，這可以確保範圍內的原始 IP 位址可以一對一對應而不會發生衝突。例如，子網路 192.168.254.1/24 被對應到 10.1.0.0/24，則 IP 為 192.168.254.1 和 192.168.254.100 的用戶端將相應地對應到 10.1.0.1 和 10.1.0.100。

對應網路區段範圍 的順序可以更改，如螢幕截圖中的示例，順序為 10.0.0.0/8 > 172.16.0.0/12 > 192.168.0.0/16 > 自訂。第一優先級是 10.0.0.0/8，因此，生成的虛擬對應區段都在此範圍內，您可以將任何區段移到最前面以將其優先作為生成的虛擬對應範圍。

確認虛擬對應設定後，點擊 儲存 繼續。

步驟 10. 完成設定虛擬對應後，對應的子網路將顯示在 選取 WAN 和網路 頁面中每個子網路的下方。如果沒有問題，點擊 儲存 繼續。

步驟 11. SD-WAN 群組設定完成，您將返回到總體 SD-WAN 頁面，建立的 SD-WAN 群組的狀態將顯示在這裡。這兩個檢視可以透過點擊右上角的檢視按鈕進行切換。

如示例螢幕截圖所示，兩個中心-分支通道已建立，但分支-分支通道尚未建立。

步驟 12. 透過點擊右上角的 管理 按鈕，您可以選擇 編輯群組、刪除群組 或 管理虛擬網路。

透過點擊 編輯群組，您將回到 SD-WAN 群組詳細設定頁面。

透過點擊 刪除群組，整個 SD-WAN 群組將在確認後被刪除。

透過點擊 管理虛擬網路，您可以檢查狀態或編輯重疊網路區段的虛擬對應。

如果您希望更改參與 SD-WAN 群組的 LAN 的網路區段和遮罩，建議先從 SD-WAN 群組中移除此 LAN，完成更改 LAN 設定後，再次將其新增回 SD-WAN 群組，之後您還需要重新對應衝突的子網路。

步驟 13. 透過點擊右上角的地圖按鈕，使用者能夠根據為站點設定的經緯度在地圖上看到站點的位置，或者如果沒有經緯度資訊則手動放置它。在示例螢幕截圖中，未設定經緯度，因此站點未放置並列在左側面板中，拖曳以在地圖上手動放置它們。

放置站點後，點擊每個站點圖示上的 鎖定 圖示以確認位置，通道狀態隨後將被視覺化。右鍵點擊站點圖示以 編輯位置 或 移除。

將游標移到通道或站點圖示上以檢查狀態。

驗證

SD-WAN 群組狀態可以在 SD-WAN 頁面中檢查，包括參與的路由器和通道狀態。

前往其中一個站點並檢查路由器的路由表，將會有由 SD-WAN 形成的路由項目。

Ping 工具也可用於驗證連線性，請注意重疊子網路需要使用對應的虛擬 IP。

結論

在本文中，我們介紹了如何在 Omada 控制器 V6.2 及以上版本上設定 SD-WAN，此版本為 SD-WAN 新增了一些新功能。

欲瞭解每個功能和設定的更多詳細資訊，請前往 下載中心 下載您產品的手冊。

問答

Q1：

如果我將設定了虛擬 NAT 的現有 SD-WAN 群組中的設備降級到不支援虛擬 NAT 的版本，我該怎麼辦？

A1： 降級後，虛擬 NAT 將無法再生效，原始 SD-WAN 群組將被移除，需要手動重新設定。

Q2：登入 Omada 控制器時，如何控制哪位使用者能夠更改或檢視 SD-WAN 面板？

A2： 建立帳戶角色時，SD-WAN 面板有三種權限類型：修改、僅檢視 和 封鎖。如果設定為 封鎖，此使用者登入後將看不到 SD-WAN 面板；如果設定為 僅檢視，此使用者可以看到 SD-WAN 面板，但無法對目前設定進行任何更改；如果設定為 修改，此使用者擁有檢視和更改 SD-WAN 面板中設定的完整權限。角色權限可以在 全域觀看 > 帳戶 > 角色 中設定，預設角色的權限無法更改，若要自訂，請點擊 新增新角色 來建立您自己的角色。在控制器 V6.2.10 之前，對 SD-WAN 面板具有僅檢視或修改權限的使用者即使在控制器中沒有存取這些站點的權限，也可以看到 SD-WAN 頁面和相關站點，這會帶來風險。從控制器 V6.2.10 開始，只有在控制器中具有所有站點存取權限的使用者，加上為 SD-WAN 面板設定的相應權限，才能檢視或修改 SD-WAN 面板。