تنفيذ تجزئة تغشية BGP EVPN المحمية على محولات Catalyst 9000 Series Switches

المقدمة

يصف هذا وثيقة كيف أن يطبق BGP EVPN VXLAN محمي تغشية تجزئة على مادة حفازة 9000 sery مفتاح.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• مفاهيم BGP EVPN VxLAN
• أستكشاف أخطاء البث الأحادي وإصلاحها بواسطة BGP EVPN
• سياسة توجيه BGP EVPN VxLAN

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Catalyst 9300
• Catalyst 9400
• Catalyst 9500
• Catalyst 9600
• Cisco IOS® XE 17.12.1 والإصدارات الأحدث

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

وصف الميزات عالي المستوى

ميزة المقطع المحمي هي مقياس أمان يمنع المنافذ من إعادة توجيه حركة مرور البيانات إلى بعضها البعض، حتى إذا كانت على شبكة VLAN نفسها والمحول نفسه

• هذه الميزة مماثلة ل 'switchport protected' أو شبكات VLAN الخاصة، ولكن لبنى EVPN.
• يفرض هذا التصميم كل حركة المرور إلى CGW حيث يمكن فحصها بواسطة جدار حماية قبل إرسالها إلى وجهتها النهائية.
• يتم التحكم في تدفقات حركة المرور وتحديد هويتها وتفتيشها بسهولة باستخدام جهاز أمني مركزي.

تفاصيل المستند

هذا وثيقة الجزء 2 أو 3 وثيقة مترابطة:

• المستند 1: تنفيذ سياسة توجيه BGP EVPN على محولات Catalyst 9000 Series Switches يغطي كيفية التحكم في حركة مرور BGP BUM في التراكب، ويجب تكوينها أولا 
• الوثيقة 2: هذا المستند. بناء على تصميم التغشية والسياسة للوثيقة 1، يصف هذا وثيقة تنفيذ الكلمة المفتاحية "محمي"
• الوثيقة 3:يطبق BGP EVPN DHCP طبقة 2 ترحيل على مادة حفازة 9000 sery مفتاح يغطي كيف DHCP ترحيل يعمل على l2 فقط VTEP

تحذير: يجب تنفيذ التكوين في المستند 1 قبل تنفيذ تكوينات المقاطع المحمية.

أنواع المقاطع المحمية

معزول تماما

• يسمح فقط بالاتصالات من الشمال إلى الجنوب، و
• يتم الإعلان عن البوابة داخل البنية باستخدام واجهة سطر الأوامر (CLI) "إعلان البوابة الافتراضية"

معزول في الغالب

• يسمح بالاتصال من الشمال إلى الجنوب (في هذه الحالة من الاستخدام يسمح بتدفقات حركة المرور من الشرق إلى الغرب استنادا إلى سياسات حركة مرور جدار الحماية)
• يسمح بالاتصال من الشرق إلى الغرب (استنادا إلى سياسات حركة مرور الجدار الناري)
• تكون البوابة خارجية للنسيج ولا يتم الإعلان عن SVI باستخدام واجهة سطر الأوامر "default-gateway advertising"

سلوك المحول

• لا يمكن للمضيفين الاتصال ببعضهم البعض مباشرة حتى إذا كانوا متصلين بنفس المحول (لا يتم إرسال طلب ARP إلى المنافذ الأخرى على نفس المحول عندما تكون الأجهزة المضيفة في نفس VRF/VLAN/Segment)​
• لا توجد حركة مرور بيانات خطأ (BUM) بين بادئات L2 VTEPs (بادئات IMET التي تمت تصفيتها باستخدام تكوين سياسة التوجيه)
• يتم إرسال جميع الحزم من البيئات المضيفة إلى ورقة الحدود لإعادة توجيهها. (هذا يعني للمضيف 1 أن يتصل بالمضيف 2 على نفس الورقة، حركة المرور مثبته إلى CGW)​

معالجة نوع المسار 2

المصطلح

مخططات التدفق

الرسم التخطيطي للمسار-النوع 2 (RT2)

يوضح هذا المخطط تصميم الشبكة الكاملة لبادئات مضيف MAC/MAC-IP من النوع 2. 

ملاحظة: يلزم وجود شبكة كاملة لدعم إمكانية التنقل والتجوال

الرسم التخطيطي للنوع 3 (RT3)

يوضح هذا الرسم التخطيطي التصميم المحوري للأنفاق Broadcast IMET (RT3)

ملاحظة: يلزم البث الشبكي عن طريق المحور والمحور لمنع المنشورات التي تحتوي على نفس الجزء من البث من إرسال البث إلى بعضها البعض مباشرة.

مخطط تحليل العنوان (ARP)

يوضح هذا المخطط أنه غير مسموح ل ARP بالوصول إلى أي مضيف في مقطع EPVN نفسه. عندما يستضيف ARPs لمضيف آخر، يحصل CGW فقط على ARP هذا والردود

ملاحظة: يتم إنشاء مثيل لتغيير سلوك ARP هذا باستخدام الكلمة الأساسية 'protected'.

مثال: عضو evpn-instance 202 vni 20201 محمي

التكوين (معزول تماما)

الرسم التخطيطي للشبكة

يتم تطبيق الكلمة الأساسية "تكوين محمي" على المحولات الطرفية. CGW هو جهاز مختلط ويثبت جميع عناوين MAC.

ملاحظة: يتم عرض تكوين قائمة مجتمع سياسة التوجيه وخريطة المسار الذي يتحكم في إستيراد/تصدير بادئات IMET في تنفيذ سياسة توجيه BGP EVPN على محولات Catalyst 9000 Series Switches. يتم عرض إختلافات الأجزاء المحمية فقط في هذا المستند. 

Leaf-01 (تكوين Base EVPN)

Leaf-01#show run | sec l2vpn
l2vpn evpn
 replication-type static
 flooding-suppression address-resolution disable  <-- Disables ARP caching so ARP is always sent up to the CGW 
 router-id Loopback1
l2vpn evpn instance 201 vlan-based
 encapsulation vxlan
 replication-type ingress                        <-- Sets segment to use Unicast replication of BUM traffic via RT3 type BGP routes
 multicast advertise enable

Leaf01#show run | sec vlan config
vlan configuration 201
 member evpn-instance 201 vni 20101 protected  <-- protected keyword added 

CGW (التكوين الأساسي)

CGW#show running-config | beg l2vpn evpn instance 201
l2vpn evpn instance 201 vlan-based
 encapsulation vxlan
 replication-type ingress
 default-gateway advertise enable    <-- adds the BGP attribute EVPN DEF GW:0:0 to the MAC/IP prefix
 multicast advertise enable

CGW#show running-config | sec vlan config
vlan configuration 201
 member evpn-instance 201 vni 20101

CGW#show run int nve 1
Building configuration...

Current configuration : 313 bytes
!
interface nve1
 no ip address
 source-interface Loopback1
 host-reachability protocol bgp
 member vni 20101 ingress-replication local-routing  <-- 'ingress-replication' (Unicast all BUM traffic) / 'local-routing' (Enables vxlan centralized gateway forwarding)

CGW#show run interface vlan 201
Building configuration...

Current configuration : 231 bytes
!
interface Vlan201
 mac-address 0000.beef.cafe          <-- MAC is static in this example for viewing simplicity. This is not required 
 vrf forwarding red                  <-- SVI is in VRF red
 ip address 10.1.201.1 255.255.255.0
 no ip redirects
 ip local-proxy-arp                 <-- Sets CGW to Proxy reply even for local subnet ARP requests 
 ip pim sparse-mode
 ip route-cache same-interface      <-- This is auto added when local-proxy-arp is configured. However, this is a legacy 'fast switching' command that is not used by CEF & is not required for forwarding 
 ip igmp version 3
 no autostate

ملاحظة: لا يوجد في CGW نهج BGP مطبق. يسمح ال CGW أن يستلم ويرسل كل نوع بادئة (RT2، RT5 / RT3).

التحقق من الصحة (معزولة بالكامل)

تفاصيل الإتجاه

Leaf01#sh l2vpn evpn evi 201 detail
EVPN instance:       201 (VLAN Based)
  RD:                172.16.254.3:201 (auto)
  Import-RTs:        65001:201
  Export-RTs:        65001:201
  Per-EVI Label:     none
  State:             Established
  Replication Type:  Ingress
  Encapsulation:     vxlan
  IP Local Learn:    Enabled (global)
  Adv. Def. Gateway: Disabled (global)
  Re-originate RT5:  Disabled
  Adv. Multicast:    Enabled
  AR Flood Suppress: Disabled (global)
  Vlan:              201
    Protected:       True (local access p2p blocked)  <-- Vlan 201 is in protected mode 
<...snip...>

جيل RT2 المحلي (مضيف محلي إلى RT2)

تحقق من سلسلة تبعية المكونات من التعلم من المضيف المحلي إلى إنشاء RT2:

• SIF (في حين أن الورقة ليس لها SVI، SIF لا يزال يلخص معلومات المضيف عبر إطار ARP من المضيف)
• EVPN Mgr
• L2RIB
• BGP

تلميح: إذا لم تتم برمجة مكون سابق بشكل صحيح فواصل سلسلة التبعية بأكملها (مثال: لا يحتوي SIF على إدخال en، ثم لا يمكن BGP إنشاء RT2).

SIF

تحقق من أن المضيف قد تعلم في DB (معلومات المضيف التي تم التعرف عليها من DHCP أو ARP)

• يتعلم SIF إدخالات MAC من تعلم IOS-MATM ثم يرسل إلى EVPN MGR (يجب أن يكون MAC-REACHABLE مع النهج "evpn-isf-policy")​
• ويميل SIF ربط IP/MAC على VTEP محلي ويستخدم مدير EVPN أن المعلومات من المتوقع أن تتم برمجتها كمسار /32 عبر BGP إلى منشورات أخرى.

ملاحظة: في هذا السيناريو، يكون للمضيف IP ثابت، لذلك يستخدم SIF ARP لاستخلاص تفاصيل المضيف. في القسم الذي غالبا ما يكون معزولا، يتم عرض التطفل على بروتوكول DHCP و DHCP.

Leaf01#show device-tracking database vlanid 201
vlanDB has 1 entries for vlan 201, 1 dynamic
Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created
Preflevel flags (prlvl):
0001:MAC and LLA match     0002:Orig trunk            0004:Orig access
0008:Orig trusted trunk    0010:Orig trusted access   0020:DHCP assigned
0040:Cga authenticated     0080:Cert authenticated    0100:Statically assigned


    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left
ARP 10.1.201.10                              0006.f601.cd43         Gi1/0/1    201        0005       3mn        REACHABLE  86 s  <-- Gleaned from local host ARP Request 

مدير EVPN

يقوم EVPN Mgr بتعلم MAC المحلي وتثبيته في L2RIB. كما يعلم EVPN MGR MAC البعيد من L2RIB، ولكن الإدخال يستخدم فقط لمعالجة إمكانية تنقل MAC  

تأكيد ​ EVPN MGR مع إدخال ISF

Leaf01#show l2vpn evpn mac evi 201
MAC Address    EVI   VLAN  ESI                      Ether Tag  Next Hop(s)
-------------- ----- ----- ------------------------ ---------- ---------------
0006.f601.cd43 201   201   0000.0000.0000.0000.0000 0          Gi1/0/1:201    <-- MAC in VLan 201 local interface Gi1/0/1:service instance 201
<...snip...>

L2RIB

• L2RIB يعلم MAC المحلي من EVPN MGR ويرسل إلى BGP و L2FIB.​
• L2RIB مسؤول أيضا عن تعلم عناوين MAC البعيدة من BGP لتحديث EVPN MGR و L2FIB. ​
• يحتاج L2RIB إلى كل من المحلي والبعيد لتحديث المكونات الأخرى بشكل صحيح. ​
• يقبع مكون L2RIB بين التعرف على MAC المحلي والبعيد اعتمادا على الإتجاه / المكون الذي يجب تحديثه

​

تحقق من تحديث L2RIB باستخدام MAC المحلي من EVPN MGR

Leaf01#show l2route evpn mac topology 201      <-- View the overall topology for this segment
  EVI       ETag  Prod    Mac Address                                          Next Hop(s) Seq Number
----- ---------- ----- -------------- ---------------------------------------------------- ----------
  201          0   BGP 0000.beef.cafe                                 V:20101 172.16.254.6          0 <-- produced by BGP who updated L2RIB (remote learn)
  201          0 L2VPN 0006.f601.cd43                                          Gi1/0/1:201          0 <-- produced by EVPN Mgr who updated L2RIB (local learn) 

Leaf01#show l2route evpn mac mac-address 0006.f601.cd43 detail
EVPN Instance:            201
Ethernet Tag:             0
Producer Name:            L2VPN                 <-- Produced by local 
MAC Address:              0006.f601.cd43        <-- Host MAC Address
Num of MAC IP Route(s):   1
Sequence Number:          0
ESI:                      0000.0000.0000.0000.0000
Flags:                    B()
Next Hop(s):              Gi1/0/1:201 (E-LEAF) <-- Port:Instance and info about the Role (Leaf)

BGP

التحقق من تحديث BGP بواسطة L2RIB

Leaf01#show bgp l2vpn evpn route-type 2 0 0006.f601.cd43 *  
BGP routing table entry for [2][172.16.254.3:201][0][48][0006F601CD43][0][*]/20, version 268232
Paths: (1 available, best #1, table evi_201)                                      <-- In the totally isolated evi context
  Advertised to update-groups:
     2
  Refresh Epoch 1
  Local
    0.0.0.0 (via default) from 0.0.0.0 (172.16.255.3)                             <-- from 0.0.0.0 indicates local 
      Origin incomplete, localpref 100, weight 32768, valid, sourced, local, best <-- also indicates local 
      EVPN ESI: 00000000000000000000, Label1 20101
      Extended Community: RT:65001:201 ENCAP:8 EVPN E-Tree:flag:1,label:0         <-- EVPN e-Tree attribute with Leaf flag = 1 (added to indicate this is a host address)
      Local irb vxlan vtep:
        vrf:not found, l3-vni:0
        local router mac:0000.0000.0000
        core-irb interface:(not found)
        vtep-ip:172.16.254.3                                                     <-- Local VTEP Loopback
      rx pathid: 0, tx pathid: 0x0
      Updated on Sep 14 2023 20:16:17 UTC

تعلم RT2 عن بعد (البوابة الافتراضية RT2)

BGP

التحقق من أن BGP قد تعلم بادئة CGW RT2

Leaf01#show bgp l2vpn evpn route-type 2 0 0000.beef.cafe 10.1.201.1
BGP routing table entry for [2][172.16.254.3:201][0][48][0000BEEFCAFE][32][10.1.201.1]/24, version 114114
Paths: (1 available, best #1, table evi_201)                     <-- EVI context is 201
  Flag: 0x100
  Not advertised to any peer
  Refresh Epoch 2
  Local, imported path from [2][172.16.254.6:201][0][48][0000BEEFCAFE][32][10.1.201.1]/24 (global)
    172.16.254.6 (metric 3) (via default) from 172.16.255.1 (172.16.255.1)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      EVPN ESI: 00000000000000000000, Label1 20101                <-- Correct segment identifier
      Extended Community: RT:65001:201 ENCAP:8 EVPN DEF GW:0:0    <-- Default gateway attribute is added via the 'default gateway advertise CLI'
      Originator: 172.16.255.6, Cluster list: 172.16.255.1
      rx pathid: 0, tx pathid: 0x0
      Updated on Sep 1 2023 15:27:45 UTC

L2RIB

التحقق من تحديث BGP ل2RIB

• L2RIB يعلم MAC المحلي من EVPN MGR ويرسل إلى BGP و L2FIB. L2RIB مسؤول أيضا عن تعلم عناوين MAC البعيدة من BGP لتحديث EVPN MGR و L2FIB. ​
• يحتاج L2RIB إلى كل من المحلي والبعيد لتحديث المكونات الأخرى بشكل صحيح. ​
• يقبع مكون L2RIB بين التعلم المحلي والتعليم عن بعد لأجهزة التحكم في الوصول للوسائط (MAC) اعتمادا على الإتجاه والمكون الذي يحتاج إلى التحديث.​

Leaf01#show l2route evpn default-gateway host-ip 10.1.201.1
  EVI       ETag  Prod    Mac Address                                 Host IP                                        Next Hop(s)
----- ---------- ----- -------------- --------------------------------------- --------------------------------------------------
  201          0   BGP 0000.beef.cafe                              10.1.201.1                               V:20101 172.16.254.6  <-- L2RIB has the MAC-IP of the Gateway programmed 

L2FIB

التحقق في L2FIB

• المكون المسؤول عن تحديث FED باستخدام أجهزة التحكم في الوصول للوسائط (MAC) للبرمجة في الأجهزة.
• لا يتم فرض قيود على إدخالات التحكم في الوصول للوسائط عن بعد التي تم تثبيتها بواسطة L2FIB في FED-MATM على IOS-MATM. (يعرض IOS-MATM أجهزة التحكم في الوصول للوسائط (MAC) المحلية فقط، بينما يعرض FED-MATM كل من أجهزة التحكم في الوصول للوسائط (MAC) المحلية والبعيدة)​
• يظهر إخراج L2FIB فقط MACs البعيد (ليس هو المسؤول عن برمجة MACs المحلية).

Leaf01#show l2fib bridge-domain 201 address unicast 0000.beef.cafe

MAC Address                   : 0000.beef.cafe                                           <-- CGW MAC 
Reference Count               : 1
Epoch                         : 0
Producer                      : BGP                                                      <-- Learned from BGP
Flags                         : Static
Adjacency                     : VXLAN_UC  PL:2973(1) T:VXLAN_UC [MAC]20101:172.16.254.6  <-- CGW Loopback IP 
PD Adjacency                  : VXLAN_UC  PL:2973(1) T:VXLAN_UC [MAC]20101:172.16.254.6
Packets                       : 6979
Bytes                         : 0

أطعمتما

التحقق في FED MATM

Leaf01#show platform software fed switch active matm macTable vlan 201

VLAN   MAC                  Type  Seq#    EC_Bi  Flags  machandle           siHandle            riHandle            diHandle              *a_time  *e_time  ports                                                         Con
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
201    0000.beef.cafe  0x5000001       0      0     64  0x7a199d182498      0x7a199d183578      0x71e059173e08      0x0                         0       82  VTEP 172.16.254.6 adj_id 9                                    No
<-- Only remote MAC installed in Fed is the Default Gateway (0x5000001 type) Conn = No (meaning not directly connected)

201    0006.f601.cd01        0x1    2458      0      0  0x7a199d1a2248      0x7a199d19eef8      0x0                 0x7a199c6f7cd8            300        2  GigabitEthernet1/0/1                                          Yes

201    0006.f601.cd43        0x1    8131      0      0  0x7a199d195a98      0x7a199d19eef8      0x0                 0x7a199c6f7cd8            300       84  GigabitEthernet1/0/1
<-- Two local MAC addresses (0x1 type) Conn = Yes (directly connected)

Total Mac number of addresses:: 5
Summary:
Total number of secure addresses:: 0
Total number of drop addresses:: 0
Total number of lisp local addresses:: 0
Total number of lisp remote addresses:: 3
*a_time=aging_time(secs)  *e_time=total_elapsed_time(secs)
Type:
MAT_DYNAMIC_ADDR           0x1  MAT_STATIC_ADDR            0x2  MAT_CPU_ADDR               0x4  MAT_DISCARD_ADDR           0x8
MAT_ALL_VLANS             0x10  MAT_NO_FORWARD            0x20  MAT_IPMULT_ADDR           0x40  MAT_RESYNC                0x80
MAT_DO_NOT_AGE           0x100  MAT_SECURE_ADDR          0x200  MAT_NO_PORT              0x400  MAT_DROP_ADDR            0x800
MAT_DUP_ADDR            0x1000  MAT_NULL_DESTINATION    0x2000  MAT_DOT1X_ADDR          0x4000  MAT_ROUTER_ADDR         0x8000
MAT_WIRELESS_ADDR      0x10000  MAT_SECURE_CFG_ADDR    0x20000  MAT_OPQ_DATA_PRESENT   0x40000  MAT_WIRED_TUNNEL_ADDR  0x80000
MAT_DLR_ADDR          0x100000  MAT_MRP_ADDR          0x200000  MAT_MSRP_ADDR         0x400000  MAT_LISP_LOCAL_ADDR   0x800000
MAT_LISP_REMOTE_ADDR 0x1000000  MAT_VPLS_ADDR        0x2000000  MAT_LISP_GW_ADDR     0x4000000

<-- the addition of these values = 0x5000001

MAT_LISP_REMOTE_ADDR 0x1000000
MAT_LISP_GW_ADDR 0x4000000
MAT_DYNAMIC_ADDR 0x1

تجاور مستوى البيانات

Leaf01#sh platform hardware fed switch active fwd-asic abstraction print-resource-handle 0x71e059173e08 0 
<-- 0x71e059173e08 is taken from previous FED command riHandle for the CGW MAC
Handle:0x71e059173e08 Res-Type:ASIC_RSC_RI Res-Switch-Num:255 Asic-Num:255 Feature-ID:AL_FID_L2_WIRELESS Lkp-ftr-id:LKP_FEAT_INVALID ref_count:1
priv_ri/priv_si Handle: 0x71e05917b8d8Hardware Indices/Handles: index0:0x38  mtu_index/l3u_ri_index0:0x0  index1:0x38  mtu_index/l3u_ri_index1:0x0
Features sharing this resource:58 (1)]


Brief Resource Information (ASIC_INSTANCE# 0)
----------------------------------------
ASIC#:0 RI:56 Rewrite_type:AL_RRM_REWRITE_LVX_IPV4_L2_PAYLOAD_ENCAP_EPG(116) Mapped_rii:LVX_L3_ENCAP_L2_PAYLOAD_EPG(137)
 Src IP:	 172.16.254.3      <-- source tunnel IP 
 Dst IP:	 172.16.254.6      <-- dest tunnel IP
 iVxlan dstMac:	 0x9db:0x00:0x00
 iVxlan srcMac:	 0x00:0x00:0x00
 IPv4 TTL:	 0
 iid present:	 0
 lisp iid:	 20101            <-- Segment 20101
 lisp flags:	 0
 dst Port:	 4789             <-- VxLAN
 update only l3if:	 0
 is Sgt:	 0
 is TTL Prop:	 0
 L3if LE:	 53 (0)
 Port LE:	 281 (0)
 Vlan LE:	 8 (0)

ملاحظة: يمكنك أيضا إستخدام 'show platform software fed switch active matm macTable vlan 201 detail' الذي يربط هذا الأمر مع أمر FED في نتيجة واحدة

التكوين (معزول جزئيا)

الرسم التخطيطي للشبكة

ملاحظة: يغطي هذا القسم الاختلافات عن المقاطع المعزولة بالكامل فقط.

• نهج التوجيه لوضع علامة على MAC IP لبوابة GCW باستخدام سمة DEF GW
• يلزم وجود نهج مخصص لتتبع الأجهزة لمنع ترددات MAC
• ربط ثابت لتتبع الأجهزة ل GW MAC IP

Leaf-01 (تكوين Base EVPN)

Leaf-01#show run | sec l2vpn
l2vpn evpn
 replication-type static
 flooding-suppression address-resolution disable  <-- Disables ARP caching so ARP is always sent up to the CGW 
 router-id Loopback1
l2vpn evpn instance 202 vlan-based
 encapsulation vxlan
 replication-type ingress
 multicast advertise enable

Leaf01#show run | sec vlan config
vlan configuration 202
 member evpn-instance 202 vni 20201 protected <-- protected keyword added 

CGW (التكوين الأساسي)

تعيين وضع النسخ المتماثل ضمن NVE 

CGW#show run int nve 1
Building configuration...

Current configuration : 313 bytes
!
interface nve1
 no ip address
 source-interface Loopback1
 host-reachability protocol bgp
 member vni 20201 ingress-replication local-routing <-- 'ingress-replication' (Unicast all BUM traffic) / 'local-routing' (Enables vxlan centralized gateway forwarding)
end

تكوين البوابة الخارجية SVI 

CGW#show run interface vlan 2021
Building configuration...

Current configuration : 231 bytes
!
interface Vlan2021
 mac-address 0000.beef.cafe          <-- MAC is static in this example for viewing simplicity. This is not required 
 vrf forwarding pink                  <-- SVI is in VRF pink
 ip address 10.1.202.1 255.255.255.0
 no ip redirects
 ip local-proxy-arp                 <-- Sets CGW to Proxy reply even for local subnet ARP requests 
 ip pim sparse-mode
 ip route-cache same-interface      <-- This is auto added when local-proxy-arp is configured. However, this is a legacy 'fast switching' command that is not used by CEF & is not required for forwarding 
 ip igmp version 3
 no autostate
end

إنشاء سياسة باستخدام تجميع معطل

device-tracking policy dt-no-glean​ <-- Configure device tracking policy to prevent MAC-IP flapping 
 security-level glean​
 no protocol ndp​
 no protocol dhcp6​
 no protocol arp​
 no protocol dhcp4​

إرفاق إلى الشبكات المحلية الظاهرية/شبكات VLAN

CGW#show running-config | sec vlan config
vlan configuration 202
 member evpn-instance 202 vni 20201
 device-tracking attach-policy dt-no-glean <-- apply the new device tracking policy to the vlan configuration 

إضافة إدخالات ثابتة في جدول تعقب الأجهزة ل ExternalGateway mac-ip

device-tracking binding vlan 202 10.1.202.1 interface TwentyFiveGigE1/0/1 0000.beef.cafe
<-- All static entries in device tracking table should be for external gateway mac-ip’s. 
 If there is any other static entry in device tracking table, match ip/ipv6 configurations in route map with prefix lists (permit/deny) are required to attach default gateway extended community to external gateway mac-ip routes only.

قم بإنشاء خريطة مسار BGP لمطابقة بادئات RT2 MAC-IP وتعيين مجتمع البوابة الافتراضي الموسع

​route-map CGW_DEF_GW permit 10
 match evpn route-type 2-mac-ip <-- match RT2 type MAC-IP
 set extcommunity default-gw <-- Set Default-gateway (DEF GW 0:0) extended community 
route-map CGW_DEF_GW permit 20

تطبيق خريطة المسار على جيران عاكس مسار BGP 

CGW#sh run | s r bgp
address-family l2vpn evpn
 neighbor 172.16.255.1 activate
 neighbor 172.16.255.1 send-community both
 neighbor 172.16.255.1 route-map CGW_DEF_GW out <-- Sets the DEF GW Community when it advertises MAC-IP type RT2 to the RR
 neighbor 172.16.255.2 activate
 neighbor 172.16.255.2 send-community both
 neighbor 172.16.255.2 route-map CGW_DEF_GW out <-- Sets the DEF GW Community when it advertises MAC-IP type RT2 to the RR

التحقق من الصحة (معزول جزئيا)

تفاصيل الإتجاه

Leaf01#show l2vpn evpn evi 202 detail
EVPN instance:       202 (VLAN Based)
  RD:                172.16.254.3:202 (auto)
  Import-RTs:        65001:202
  Export-RTs:        65001:202
  Per-EVI Label:     none
  State:             Established
  Replication Type:  Ingress
  Encapsulation:     vxlan
  IP Local Learn:    Enabled (global)
  Adv. Def. Gateway: Enabled (global)
  Re-originate RT5:  Disabled
  Adv. Multicast:    Enabled
  Vlan:              202
    Protected:       True (local access p2p blocked)  <-- Vlan 202 is in protected mode 
<...snip...>

جيل RT2 المحلي (مضيف محلي إلى RT2)

مشمول في المثال السابق المعزول تماما

تعلم RT2 عن بعد (البوابة الافتراضية RT2)

يغطي الفروق من عزلة تامة

بادئة العبارة الافتراضية (ورقة) CGW

تحقق من أن البادئة لها السمة المناسبة لتكون مؤهلة للتثبيت في الأجهزة

ملاحظة: يعد هذا أمرا بالغ الأهمية لترحيل DHCP L2 لكي يعمل

Leaf01#show bgp l2vpn evpn route-type 2 0 0000.beef.cafe 10.1.202.1
BGP routing table entry for [2][172.16.254.3:202][0][48][0000BEEFCAFE][32][10.1.202.1]/24, version 184602
Paths: (1 available, best #1, table evi_202)   <-- the EVI context of 202 which matches the Vlan/EVI we are concerned about 
  Not advertised to any peer
  Refresh Epoch 2
  Local, imported path from [2][172.16.254.6:202][0][48][0000BEEFCAFE][32][10.1.202.1]/24 (global)
    172.16.254.6 (metric 3) (via default) from 172.16.255.1 (172.16.255.1)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      EVPN ESI: 00000000000000000000, Label1 20201              <-- Correct Segment ID
      Extended Community: RT:65001:202 ENCAP:8 EVPN DEF GW:0:0  <-- prefix has the Default GW attribute added
      Originator: 172.16.255.6, Cluster list: 172.16.255.1
      rx pathid: 0, tx pathid: 0x0
      Updated on Sep 7 2023 19:56:43 UTC

FED MATM (ورقة)

F241.03.23-9300-Leaf01#show platform software fed active matm macTable vlan 202 mac 0000.beef.cafe
VLAN   MAC                  Type  Seq#    EC_Bi  Flags  machandle           siHandle            riHandle            diHandle              *a_time  *e_time  ports                                                         Con
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
202    0000.beef.cafe  0x5000001       0      0     64  0x71e058da7858      0x71e05916c0d8      0x71e059171678      0x0                         0        5  VTEP 172.16.254.6 adj_id 651                                  No
<-- MAC of Default GW is installed in FED 

SIF (CGW)

CGW#sh device-tracking database vlanid 202
vlanDB has 1 entries for vlan 202, 0 dynamic
Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created
Preflevel flags (prlvl):
0001:MAC and LLA match     0002:Orig trunk            0004:Orig access
0008:Orig trusted trunk    0010:Orig trusted access   0020:DHCP assigned
0040:Cga authenticated     0080:Cert authenticated    0100:Statically assigned


    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left
S   10.1.202.1                               0000.beef.cafe         Twe1/0/1   202        0100       13006mn    STALE      N/A

IOS MATM (CGW)

CGW#show mac address-table address 0000.beef.cafe
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0000.beef.cafe    STATIC      Vl201
2021    0000.beef.cafe    STATIC      Vl2021   <-- The Vlan 2021 SVI MAC advertised out Tw1/0/1
 202    0000.beef.cafe    DYNAMIC     Twe1/0/1 <-- The Vlan 2021 SVI MAC learned dynamically after passing through the Firewall and the Dot1q tag swapped to fabric Vlan 202

استكشاف الأخطاء وإصلاحها

دقة العنوان (ARP)

خطوات عامة لعزل قضايا بروتوكول تحليل العناوين

تحذير: كن حذرا عند تمكين تصحيح الأخطاء!

تأكد من تعطيل قمع الفيضانات

Leaf-01#show run | sec l2vpn
l2vpn evpn
 replication-type static
 flooding-suppression address-resolution disable <-- This CLI prevents a VTEP from trying to unicast other VTEPs based on its EVPN table 

عندما يحل مضيف من ورقة-02 ARP لمضيف من ورقة-01، لا يتم بث طلب ARP إلى ورقة-01 مباشرة

• ARP بدلا من ذلك مر نفق BUM الوحيد المبرمج على Leaf-02 باتجاه CGW
• لا يقوم CGW بإعادة توجيه هذا إلى Leaf-01، وبدلا من ذلك يرد باستخدام MAC الخاص به
• هذا يسبب كل إتصال أن يكون نقلت إلى CGW بعد ذلك يوجه إلى بين المضيف 
• يقوم CGW بتوجيه الحزم، حتى عندما تكون على الشبكة الفرعية المحلية نفسها

الغرض من هذا المخطط هو المساعدة في إظهار تدفق عملية تحليل ARP الموضحة في هذا القسم. 

يتم عرض طلب ARP باللون البنفسجي

• ال ARP طلب أن يحل ال mac عنوان من ال hos 10.1.202.10 خارج ليف-01
• لاحظ أن الخط البنفسجي ينتهي عند CGW، ولا يصل إلى ورقة-01

يتم عرض رد ARP باللون الأخضر

• يحتوي الرد على MAC الخاص ب CGW SVI ل VLAN 202 
• لاحظ أن الخط الأخضر يأتي من CGW، وليس من المضيف الحقيقي

ملاحظة: تشير X الحمراء إلى أن هذا الاتصال لم يتضمن إرسال حركة مرور البيانات إلى Leaf-01.

مراقبة إدخالات بروتوكول تحليل العناوين (ARP) على كل مضيف خاص

Leaf02-HOST#sh ip arp 10.1.202.10
Protocol  Address          Age (min)  Hardware Addr   Type   Interface
Internet  10.1.202.10             1   0000.beef.cafe  ARPA   Vlan202  <-- MAC address for Leaf01 host is CGW MAC

Leaf01-HOST#sh ip arp 10.1.202.11
Protocol  Address          Age (min)  Hardware Addr   Type   Interface
Internet  10.1.202.11             7   0000.beef.cafe  ARPA   Vlan202  <-- MAC address for Leaf02 host is CGW MAC

لاحظ على CGW أنه يتم تعلم بادئات RT2. هذا مطلوب ل CGW أن يوجه ربط 

CGW#sh bgp l2vpn evpn route-type 2 0 0006.f617.eec4 *                      <-- Leaf02 actual MAC 
BGP routing table entry for [2][172.16.254.6:202][0][48][0006F617EEC4][0][*]/20, version 235458
Paths: (1 available, best #1, table evi_202)
  Not advertised to any peer
  Refresh Epoch 2
  Local, imported path from [2][172.16.254.4:202][0][48][0006F617EEC4][0][*]/20 (global)
    172.16.254.4 (metric 3) (via default) from 172.16.255.1 (172.16.255.1)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      EVPN ESI: 00000000000000000000, Label1 20201                         <-- correct segment identifier
      Extended Community: RT:65001:202 ENCAP:8 EVPN E-Tree:flag:1,label:0  <-- prefix contains the Leaf flag indicating this is a normal host 
      Originator: 172.16.255.4, Cluster list: 172.16.255.1
      rx pathid: 0, tx pathid: 0x0
      Updated on Apr 9 2025 17:11:22 UTC

CGW#sh bgp l2vpn evpn route-type 2 0 0006.f601.cd44 *                      <-- Leaf01 actual MAC 
BGP routing table entry for [2][172.16.254.6:202][0][48][0006F601CD44][0][*]/20, version 235521
Paths: (1 available, best #1, table evi_202)
  Not advertised to any peer
  Refresh Epoch 2
  Local, imported path from [2][172.16.254.3:202][0][48][0006F601CD44][0][*]/20 (global)
    172.16.254.3 (metric 3) (via default) from 172.16.255.1 (172.16.255.1)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      EVPN ESI: 00000000000000000000, Label1 20201                         <-- correct segment identifier
      Extended Community: RT:65001:202 ENCAP:8 EVPN E-Tree:flag:1,label:0  <-- prefix contains the Leaf flag indicating this is a normal host 
      Originator: 172.16.255.3, Cluster list: 172.16.255.1
      rx pathid: 0, tx pathid: 0x0
      Updated on Apr 9 2025 17:17:06 UTC

التقاط تبادل ARP على الوصلات لتأكيد الاتصال ثنائي الإتجاه 

• يمكنك إستخدام التقاط الحزم المضمن (EPC) على وصلات البنية 
• يوضح هذا السيناريو EPC على الوصلة الطرفية01. كرر نفس العملية على CGW إذا لزم الأمر 

تكوين EPC

Leaf01#monitor capture 1 interface range te 1/1/2 , te 1/1/4 both match any buffer size 100  <-- both Uplinks toward fabric included 

بدء عملية الالتقاط

Leaf01#monitor capture 1 start

بدء إختبار الاتصال لتشغيل طلب ARP (في هذه الحالة يكون إختبار الاتصال من المضيف Leaf01 10.1.201.10 إلى المضيف Leaf02 10.1.201.11)

Leaf01-HOST#ping vrf red 10.1.201.11
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.201.11, timeout is 2 seconds:
...!!
Success rate is 40 percent (2/5), round-trip min/avg/max = 1/1/1 ms

إيقاف الالتقاط والتحقق من إطارات ARP

Leaf01#mon cap 1 stop

F241.03.23-9300-Leaf01#show mon cap 1 buff br | i ARP
11 8.153510 00:06:f6:01:cd:42 -> ff:ff:ff:ff:ff:ff ARP 110 Who has 10.1.201.11? Tell 10.1.201.10  <-- .10 requests .11 MAC (this is Frame 11)
12 8.154030 00:00:be:ef:ca:fe -> 00:06:f6:01:cd:42 ARP 110 10.1.201.11 is at 00:00:be:ef:ca:fe    <-- CGW replies with its MAC 

عرض حزم الالتقاط بالتفصيل. إذا كنت تريد رؤية مزيد من المعلومات حول الحزمة، أستخدم خيار التفاصيل الخاص ب EPC 

• اعلم أن هذا الناتج مقطوع في أماكن مختلفة للإيجاز

Leaf01#show mon cap 1 buffer detailed | beg Frame 11   <-- begin detail result from Frame 11 (ARP Request)
Frame 11: 110 bytes on wire (880 bits), 110 bytes captured (880 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0
Ethernet II, Src: 00:00:00:00:00:00 (00:00:00:00:00:00), Dst: 00:00:00:00:00:00 (00:00:00:00:00:00)     <-- Expected to see all zeros for outbound VxLAN encapped packet 
    Destination: 00:00:00:00:00:00 (00:00:00:00:00:00)
        Address: 00:00:00:00:00:00 (00:00:00:00:00:00)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Source: 00:00:00:00:00:00 (00:00:00:00:00:00)
        Address: 00:00:00:00:00:00 (00:00:00:00:00:00)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: 172.16.254.3, Dst: 172.16.254.6     <--- Outer tunnel IP header 
    Source: 172.16.254.3
    Destination: 172.16.254.6
User Datagram Protocol, Src Port: 65483, Dst Port: 4789  <-- VXLAN Dest port 

Virtual eXtensible Local Area Network
    VXLAN Network Identifier (VNI): 20101                <-- Verify the VNI for the segment you are investigating 
    Reserved: 0
Ethernet II, Src: 00:06:f6:01:cd:42 (00:06:f6:01:cd:42), Dst: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)  <-- Start of inner payload info 
    Type: ARP (0x0806)
    Trailer: 000000000000000000000000000000000000
Address Resolution Protocol (request)                  <-- is an ARP request 
    Hardware type: Ethernet (1)
    Protocol type: IPv4 (0x0800)
    Hardware size: 6
    Protocol size: 4
    Opcode: request (1)
    Sender MAC address: 00:06:f6:01:cd:42 (00:06:f6:01:cd:42)   <-- Sending host
    Sender IP address: 10.1.201.10
    Target MAC address: 00:00:00:00:00:00 (00:00:00:00:00:00)   <-- Trying to resolve MAC for host 
    Target IP address: 10.1.201.11

Frame 12: 110 bytes on wire (880 bits), 110 bytes captured (880 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0  <-- ARP reply 
Ethernet II, Src: dc:77:4c:8a:6d:7f (dc:77:4c:8a:6d:7f), Dst: 68:2c:7b:f8:87:48 (68:2c:7b:f8:87:48)                  <-- Underlay MACs 
Internet Protocol Version 4, Src: 172.16.254.6, Dst: 172.16.254.3                                                    <-- From CGW loopback to Leaf01 loopback
User Datagram Protocol, Src Port: 65410, Dst Port: 4789
Virtual eXtensible Local Area Network
    VXLAN Network Identifier (VNI): 20101
    Reserved: 0
Ethernet II, Src: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe), Dst: 00:06:f6:01:cd:42 (00:06:f6:01:cd:42)   <-- Start of payload 
    Type: ARP (0x0806)
    Trailer: 000000000000000000000000000000000000
Address Resolution Protocol (reply)                              <-- is an ARP reply 
    Hardware type: Ethernet (1)
    Protocol type: IPv4 (0x0800)
    Hardware size: 6
    Protocol size: 4
    Opcode: reply (2)
    Sender MAC address: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe)   <-- Reply is that of the CGW MAC due to local proxy on SVI 
    Sender IP address: 10.1.201.11
    Target MAC address: 00:06:f6:01:cd:42 (00:06:f6:01:cd:42)
    Target IP address: 10.1.201.10

بادئة عبارة CGW RT2

بادئة العبارة مفقودة

كما ذكر في الفرع السابق على الأجزاء المعزولة جزئيا، ال MAC مطلوب أن يتم تعلمه في البنية VLAN

• يمكن أن يبدي هذا إصدار إن هناك ما من حركة مرور معد ل للعبارة لمدة أطول من مؤقت تقادم MAC. 
• إذا كانت بادئة بوابة CGW مفقودة، فأنت بحاجة إلى تأكيد وجود MAC 

CGW#show bgp l2vpn evpn route-type 2 0 0000.beef.cafe 10.1.202.1
% Network not in table <-- RT2 not generated on CGW

CGW#show mac address-table address 0000.beef.cafe
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0000.beef.cafe    STATIC      Vl201
2021    0000.beef.cafe    STATIC      Vl2021
<-- MAC is not learned in Fabric Vlan 202
Total Mac Addresses for this criterion: 2

بادئة العبارة تفتقد إلى المعالجة

في معظم شبكات الإنتاج من المحتمل أن يكون هناك حركة مرور في جميع الأوقات. ومع ذلك، إذا كانت لديك هذه المشكلة، يمكنك إستخدام أحد الخيارات التالية لتصحيح المشكلة: 

• إضافة إدخال MAC ثابت مثل 'mac address table static 0000.beef.cafe vlan 202 قارن 25GigE1/0/1'
• قم بزيادة مؤقت تقادم MAC باستخدام 'mac address-table aging-time <seconds>'. (تذكر أن هذا يزيد من وقت التقادم لكل عناوين MAC، لذلك يفضل خيار MAC الثابت)

سمة DEF GW مفقودة

مع المقاطع المعزولة جزئيا هناك عدد من التكوينات الإضافية لإضافة هذه السمة. 

معالجة سمة GW DEF مفقودة

تأكيد هذه التفاصيل:

• أنت تشغل الإصدار 17.12.1 أو إصدار أحدث
• ال ISF (تعقب جهاز) CLI حاضر في التشكيل
• يتم تكوين أوامر تطابق خريطة المسار وضبطها ويتم تطبيق خريطة المسار على جيران BGP 
• لقد قمت بتحديث إعلانات BGP (يجب عليك مسح BGP لإعادة الإعلان عن البادئة باستخدام السمة الجديدة

التجوال اللاسلكي

Leaf01#sh run | sec l2vpn
l2vpn evpn
 replication-type static
 flooding-suppression address-resolution disable
 ip duplication limit 10 time 180           <--- You can adjust this default in the global l2vpn section
 mac duplication limit 10 time 180

Leaf01#sh l2vpn evpn summary
L2VPN EVPN
  EVPN Instances (excluding point-to-point): 4
    VLAN Based:   4
  Vlans: 4
  BGP: ASN 65001, address-family l2vpn evpn configured
  Router ID: 172.16.254.3
  Global Replication Type: Static
  ARP/ND Flooding Suppression: Disabled
  Connectivity to Core: UP
  MAC Duplication: seconds 180 limit 10
  MAC Addresses: 13
    Local:     6
    Remote:    7
    Duplicate: 0
  IP Duplication: seconds 180 limit 10
  IP Addresses: 7
    Local:     4
    Remote:    3
    Duplicate: 0
<...snip...>

أوامر التجميع ل TAC

في حال لم يحل هذا الدليل مشكلتك، يرجى تجميع قائمة الأوامر الموضحة وإلحاقها بطلب خدمة TAC الخاص بك.

الحد الأدنى للمعلومات المطلوب تجميعها

(وقت محدود لجمع البيانات قبل إجراء إعادة التحميل/الاسترداد)​

​

• إظهار Tech EVPN ​
• show tech​
• show tech sif​

​

معلومات تفصيلية يتم جمعها

(إذا كان هناك وقت لجمع بيانات أكثر اكتمالا، فهذا مفضل)​

​

• show tech ​

• show tech evpn

• show tech platform evpn_vxlan switch <number>​

• إظهار النظام الأساسي الفني​

• إظهار الموارد التقنية​

• show tech sif​

• شاشة ISIS​

• show tech bgp​

• إظهار حدث EVPN الخاص بتتبع حدث جهاز العرض الكل

• إظهار خطأ EVPN الخاص بتتبع حدث جهاز العرض الكل

• طلب أرشيف تتبع برامج النظام الأساسي

معلومات ذات صلة

• تنفيذ سياسة توجيه BGP EVPN على محولات Catalyst 9000 Series Switches
• ترحيل الطبقة 2 ل DHCP (سيتوفر قريبا)