Troubleshooting de IP SLA en Multipod PBR

Introducción

Este documento describe los pasos para identificar y resolver problemas de un dispositivo con seguimiento de IP SLA en POD remoto mediante el entorno de multipod ACI PBR.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Solución multipod
• Gráficos de servicio con PBR

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco ACI versión 4.2(7l)
• Switch Cisco Leaf N9K-C93180YC-EX
• Switch central de Cisco N9K-C9336PQ
• Nexus 7k versión 8.2(2)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Topología de red

Topología

Antecedentes

Mediante un gráfico de servicios, Cisco ACI puede redirigir el tráfico entre las zonas de seguridad a un firewall o a un equilibrador de carga, sin necesidad de que el firewall o el equilibrador de carga sean el gateway predeterminado para los servidores.

La función de SLA de IP en la configuración de PBR permite que el fabric de ACI supervise ese nodo de servicio (dispositivo L4-L7) en su entorno y permite que el fabric no redirija el tráfico entre el origen y el destino a un nodo de servicio que está inactivo si no se puede alcanzar.

Situación

En este ejemplo, la conectividad este-oeste no se puede completar entre el punto final de origen 192.168.150.1 en POD-1 y el servidor de destino 192.168.151.1 en POD-2. El tráfico se está redirigiendo al nodo PBR 172.16.1.1 desde la hoja de servicio 103 en POD-1. PBR utiliza la supervisión de SLA de IP y las políticas de grupo de estado de redirección.

Pasos para la resolución de problemas

Paso 1. Identificar el estado de IP SLA

1. En la interfaz de usuario de APIC, navegue hasta Arrendatarios > Su_arrendatario > Fallos.
2. Busque fallos F2911, F2833, F2992.

Fallos de SLA de IP

Paso 2. Identificar ID de nodo con el estado Grupo de estado inactivo

1. En APIC CLI, ejecute el comando moquery usando cualquiera de los dos errores F2911, F2833, F2992.
2. Puede ver que el grupo de estado lb1::lb-healthGrp no está disponible para la hoja 202 en POD-2.

MXS2-AP002# moquery -c faultInst -f 'fault.Inst.code == "F2911"'
# fault.Inst
code : F2911
ack : no
alert : no
annotation : 
cause : svcredir-healthgrp-down
changeSet : operSt (New: disabled), operStQual (New: healthgrp-service-down)
childAction : 
created : 2024-01-31T19:07:31.505-06:00
delegated : yes
descr : PBR service health grp lb1::lb-healthGrp on nodeid 202 fabric hostname MXS2-LF202 is in failed state, reason Health grp service is down.
dn : topology/pod-2/node-202/sys/svcredir/inst/healthgrp-lb1::lb-healthGrp/fault-F2911   <<<
domain : infra
extMngdBy : undefined
highestSeverity : major

Paso 3. Validar que el dispositivo PBR se aprende como un terminal y se puede alcanzar desde la hoja de servicio

MXS2-LF103# show system internal epm endpoint ip 172.16.1.1

MAC : 40ce.2490.5743 ::: Num IPs : 1
IP# 0 : 172.16.1.1 ::: IP# 0 flags : ::: l3-sw-hit: No
Vlan id : 22 ::: Vlan vnid : 13192 ::: VRF name : lb1:vrf1
BD vnid : 15958043 ::: VRF vnid : 2162693
Phy If : 0x1a00b000 ::: Tunnel If : 0
Interface : Ethernet1/12
Flags : 0x80004c04 ::: sclass : 16391 ::: Ref count : 5
EP Create Timestamp : 02/01/2024 00:36:23.229262
EP Update Timestamp : 02/02/2024 01:43:38.767306
EP Flags : local|IP|MAC|sclass|timer|

MXS2-LF103# iping 172.16.1.1 -V lb1:vrf1
PING 172.16.1.1 (172.16.1.1) from 172.16.1.254: 56 data bytes
64 bytes from 172.16.1.1: icmp_seq=0 ttl=255 time=1.046 ms
64 bytes from 172.16.1.1: icmp_seq=1 ttl=255 time=1.074 ms
64 bytes from 172.16.1.1: icmp_seq=2 ttl=255 time=1.024 ms
64 bytes from 172.16.1.1: icmp_seq=3 ttl=255 time=0.842 ms
64 bytes from 172.16.1.1: icmp_seq=4 ttl=255 time=1.189 ms

--- 172.16.1.1 ping statistics ---
5 packets transmitted, 5 packets received, 0.00% packet loss
round-trip min/avg/max = 0.842/1.034/1.189 ms

Paso 4. Comprobar el grupo de estado de PBR en POD local y POD remoto

La hoja 103 es la hoja de servicio del POD-1. Por lo tanto, consideramos POD-1 como POD local y POD-2 como POD remoto.

El grupo de estado solo se programa en switches de hoja en los que los EPG de origen y destino se contraen y exigen su implementación.

1. El EPG de origen se encuentra en el nodo de hoja 102 POD-1. Puede ver que el seguimiento del dispositivo PBR se realiza desde el POD-1 de la hoja de servicio 103.

MXS2-LF102# show service redir info health-group lb1::lb-healthGrp 
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
lb1::lb-healthGrp enabled dest-[172.16.1.1]-[vxlan-2162693]] up

2. El EPG de destino se encuentra en el nodo de hoja 202 POD-2. Puede ver que el seguimiento del dispositivo PBR se realiza como DESCENDENTE desde la hoja de servicio 103 POD-1.

MXS2-LF202# show service redir info health-group lb1::lb-healthGrp
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
lb1::lb-healthGrp disabled dest-[172.16.1.1]-[vxlan-2162693]] down            <<<<<  Health Group is down.  

Paso 5. Capture sondeos de SLA de IP con la herramienta ELAM

Para capturar los sondeos de SLA de IP, debe utilizar estos valores en la sintaxis de ELAM para comprender a dónde llega el paquete o dónde se está descartando.

encabezado L2 interno de ELAM

MAC de origen = 00-00-00-00-00-01

Destino MAC = 01-00-00-00-00-00

Encabezado externo L3 de ELAM

IP de origen = TEP de su hoja de servicio ( hoja 103 TEP en LAB = 172.30.200.64 )

IP de destino = 239.255.255.240 ( La GIPO del sistema de fabric debe ser siempre la misma )

trigger reset 
trigger init in-select 14 out-select 0
set inner l2 dst_mac 01-00-00-00-00-00 src_mac 00-00-00-00-00-01
set outer ipv4 src_ip 172.30.200.64 dst_ip 239.255.255.240
start
stat
ereport

...

------------------------------------------------------------------------------------------------------------------------------------------------------
Inner L2 Header
------------------------------------------------------------------------------------------------------------------------------------------------------
Inner Destination MAC : 0100.0000.0000 
Source MAC : 0000.0000.0001 
802.1Q tag is valid : no 
CoS : 0 
Access Encap VLAN : 0 

------------------------------------------------------------------------------------------------------------------------------------------------------
Outer L3 Header
------------------------------------------------------------------------------------------------------------------------------------------------------
L3 Type : IPv4 
DSCP : 0 
Don't Fragment Bit : 0x0 
TTL : 27 
IP Protocol Number : UDP 
Destination IP : 239.255.255.240 
Source IP : 172.30.200.64

Paso 6. Verificar sistema de tela GIPO ( 239.255.255.240 ) está programado en las espinas locales y remotas

1. El POD-1 de la columna vertebral 1001 es el switch autorizado para reenviar tramas multicast y enviar uniones IGMP hacia el IPN.

La interfaz Eth1/3 está orientada hacia el N7K IPN.

MXS2-SP1001# show isis internal mcast routes gipo | more 
IS-IS process: isis_infra
VRF : default 

GIPo Routes
====================================
System GIPo - Configured: 0.0.0.0
Operational: 239.255.255.240
====================================

<OUTPUT CUT> ...

GIPo: 239.255.255.240 [LOCAL]
OIF List:
Ethernet1/35.36
Ethernet1/3.3(External)     <<< Interface must point out to IPN on elected Spine
Ethernet1/16.40
Ethernet1/17.45
Ethernet1/2.37
Ethernet1/36.42
Ethernet1/1.43


MXS2-SP1001# show ip igmp gipo joins | grep 239.255.255.240
239.255.255.240 0.0.0.0 Join Eth1/3.3 43 Enabled

2. El POD-2 de Spine 2001 es el switch autorizado para reenviar tramas multicast y enviar uniones IGMP hacia el IPN.

La interfaz Eth1/36 está orientada hacia el N7K IPN.

MXS2-SP2001# show isis internal mcast routes gipo | more
IS-IS process: isis_infra
VRF : default 

GIPo Routes
====================================
System GIPo - Configured: 0.0.0.0
Operational: 239.255.255.240
====================================

<OUTPUT CUT> ...

GIPo: 239.255.255.240 [LOCAL]
OIF List:
Ethernet1/2.40
Ethernet1/1.44
Ethernet1/36.36(External)     <<< Interface must point out to IPN on elected Spine


MXS2-SP2001# show ip igmp gipo joins | grep 239.255.255.240
239.255.255.240 0.0.0.0 Join Eth1/36.36 76 Enabled

3. Asegúrese de que el gipo de lista de interfaz saliente no esté vacío de VSH para ambas columnas.

MXS2-SP1001# vsh
MXS2-SP1001# show forwarding distribution multicast outgoing-interface-list gipo | more
....
Outgoing Interface List Index: 1
Reference Count: 1 
Number of Outgoing Interfaces: 5 
Ethernet1/35.36 
Ethernet1/3.3 
Ethernet1/2.37 
Ethernet1/36.42 
Ethernet1/1.43 
External GIPO OIFList
Ext OIFL: 8001
Ref Count: 393 
No OIFs: 1 
Ethernet1/3.3

Paso 7. Validar GIPO ( 239.255.255.240 ) está configurado en el IPN

1. Falta GIPO 239.255.255.240 en la configuración IPN.

N7K-ACI_ADMIN-VDC-ACI-IPN-MPOD# show run pim
  ...
  ip pim rp-address 192.168.100.2 group-list 225.0.0.0/15 bidir
  ip pim ssm range 232.0.0.0/8

N7K-ACI_ADMIN-VDC-ACI-IPN-MPOD# show ip mroute 239.255.255.240
IP Multicast Routing Table for VRF "default"

(*, 239.255.255.240/32), uptime: 1d01h, igmp ip pim 
Incoming interface: Null, RPF nbr: 0.0.0.0     <<< Incoming interface and RPF are MISSING
Outgoing interface list: (count: 2)
Ethernet3/3.4, uptime: 1d01h, igmp
Ethernet3/1.4, uptime: 1d01h, igmp

2. GIPO 239.255.255.240 está ahora configurado en IPN.

N7K-ACI_ADMIN-VDC-ACI-IPN-MPOD# show run pim
  ...
  ip pim rp-address 192.168.100.2 group-list 225.0.0.0/15 bidir
  ip pim rp-address 192.168.100.2 group-list 239.255.255.240/28 bidir     <<< GIPO is configured
  ip pim ssm range 232.0.0.0/8

N7K-ACI_ADMIN-VDC-ACI-IPN-MPOD# show ip mroute 225.0.42.16
IP Multicast Routing Table for VRF "default"

(*, 225.0.42.16/32), bidir, uptime: 1w6d, ip pim igmp 
Incoming interface: loopback1, RPF nbr: 192.168.100.2
Outgoing interface list: (count: 2)
Ethernet3/1.4, uptime: 1d02h, igmp
loopback1, uptime: 1d03h, pim, (RPF)

Paso 8. Confirmar que el seguimiento de IP SLA está ACTIVO en POD remoto

MXS2-LF202# show service redir info health-group lb1::lb-healthGrp
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
lb1::lb-healthGrp enabled dest-[172.16.1.1]-[vxlan-2162693]] up 

Información Relacionada

ID de falla de funcionamiento de Cisco	Título del error	Versión de corrección
ID de bug de Cisco CSCwi75331	La recarga repetida de FM y LC en el chasis puede conducir a una programación errónea de la lista OIFde IP de la GIPO.	No hay versión corregida. Utilice una solución alternativa.