Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Ejemplos de Configuración

Ejemplo 1

Ejemplo 2

Verificación

Troubleshoot

Posibles problemas

Otros comandos de utilidad

Introducción

Este documento describe la regulación de microflujo en los switches Catalyst 6500 Series.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en un switch Catalyst de Cisco serie 6500 que se ejecuta en un Supervisor Engine 720.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

Este es un caso práctico que debe tener en cuenta. Existe el requisito universitario de limitar a cada alumno a un ancho de banda de 10 Mbps mientras utilizan Internet. Si se configura la regulación de tráfico agregada, existe una distribución desigual del ancho de banda entre los alumnos. El regulador de microflujo es más capaz de ayudarnos a realizar esta tarea.

La regulación de microflujo ayuda a los usuarios a supervisar el tráfico en función de los flujos. Un flujo suele definirse por IP de origen (SRC-IP), IP de destino (DST-IP), IP SRC-DST, puerto SRC-DST o interfaz SRC. Aquí tiene un ejemplo:

Source 10.0.0.1 sending a tcp stream to 15.0.0.1 with a source tcp port of 50

and destination 2000

Source 10.0.0.1 sending a tcp stream to 15.0.0.2 with a source tcp port of 60

and destination 2000.

Si la clasificación se realiza en función del SRC-IP, el número de flujos es igual a uno. Si la clasificación se realiza en función de DST-IP, el número de flujos es igual a dos. Si la clasificación se realiza en función del puerto DST, el número de flujos es igual a uno.

Nota: Los reguladores de microflujo sólo se pueden aplicar en la dirección de ingreso, a diferencia del regulador de agregado.

Cuando aplicamos una política de servicio en una interfaz, ya sea la interfaz física o la interfaz virtual del switch (SVI), la política de servicio se programa en el hardware. La memoria direccionable de contenido ternario (TCAM) de calidad de servicio (QoS) se utiliza para almacenar la entrada. Además, dado que el switch debe recordar los flujos, almacena información de flujo individual en el hardware. Se utiliza NetFlow TCAM para este fin. Por lo tanto, hay dos lugares donde puede verificar la programación en el hardware: la TCAM de lista de control de acceso (ACL) y la TCAM de NetFlow.

Dado que otras funciones utilizan el mismo TCAM de NetFlow, como la traducción de direcciones de red (NAT), la exportación de datos de NetFlow (NDE) y el protocolo de comunicación de caché web (WCCP), es posible que haya un conflicto en la programación del regulador de microflujo en el hardware. Al final de este documento se proporcionan algunos escenarios de conflicto TCAM.

Ejemplos de Configuración

Ejemplo 1

Hay un switch Catalyst de Cisco serie 6500 dedicado al ruteo entre VLAN. Los orígenes del tráfico se encuentran en la VLAN 20 y tienen estas direcciones IP: 20.20.20.2 and 20.20.20.3. Ambos orígenes intentan enviar tráfico hacia la dirección IP 30.30.30.2, que se encuentra en la VLAN 30. El objetivo es asignar 100 Kbps de ancho de banda a cada origen.

1. Cree y mapee una ACL en un mapa de clase para coincidir con el tráfico que viene de estos dos orígenes.

ip access-list ext vlan20_30

permit ip 20.20.20.0 0.0.0.255 30.30.30.0 0.0.0.255

class-map POLICE_DIFF_SRC

match access-group name vlan20_30

2. Aplique el class-map en un policy-map. Configure los valores de Velocidad de confirmación de información (CIR) y ráfaga según sea necesario.

policy-map POLICE_DIFF_SRC

class POLICE_DIFF_SRC

police flow mask src-only 100000 3000 conform transmit exceed drop
Estas son las opciones disponibles después de la máscara de flujo de la policía:

police flow mask ?

dest-only

full-flow

src-only

3. Aplique la política de servicio bajo la SVI de ingreso o bajo la interfaz física de ingreso. En caso de que lo aplique en la VLAN de interfaz, configure mls qos vlan-based en la interfaz física. Esto indica al Cisco IOS® que busque una política bajo la VLAN de interfaz tan pronto como un paquete alcanza una interfaz de capa 2 en una VLAN específica.

interface vlan 20

service-policy input POLICE_DIFF_SRC

Ejemplo 2

Hay un switch Catalyst serie 6500 dedicado al switching de capa 2 del tráfico en la misma VLAN. Este ejemplo muestra cómo restringir el tráfico que viene de 10.10.10.2 y va hacia 10.10.10.3 en VLAN a 100Kbps de ancho de banda. Para que el regulador afecte al tráfico conmutado de capa 2, debe ingresar el comando mls qos bridged bajo la interfaz VLAN 10.

ip access-list ext VLAN10

permit ip 10.10.10.0 0.0.0.255 10.10.10.0 0.0.0.255

class-map POLICE_SAME

match access-group name VLAN10

policy-map POLICE_SAME

class POLICE_SAME

police flow mask src-only 100000 3000 conform transmit exceed drop

int vlan 10

service-policy in POLICE_SAME

mls qos bridged

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

1. Ingrese el comando show mls qos ip y verifique el ID de FL junto al nombre del regulador. Si el ID de FL es 1, la política se utiliza para la regulación de microflujo.

6500#show mls qos ip

QoS Summary [IPv4]:      (* - shared aggregates, Mod - switch module)

Int Mod Dir  Class-map DSCP  Ag  Trust   FL   AgForward-By   AgPoliced-By

Id           Id

---------------------------------------------------------------------------

Fa3/3  1 In   POLICE_SAM   0   0*   dscp    1   11266001160            0
Estos son algunos de los puntos destacados basados en este resultado:

- La política se asigna en el hardware.

- La interfaz en la que se aplica es Fa3/3.

- Si hay una tarjeta de línea (LC) habilitada para la tarjeta de reenvío distribuido (DFC) en el chasis, las políticas de QoS se programan por separado para cada DFC y tarjeta de función de política (PFC). El número de módulo proporciona la entrada para la PFC/DFC en la ranura 1.

- Supervisor Engine 720 crea una ID de agregación (AgID) para cada regulador de tráfico agregado que se crea. Los AgIDs 1020 son los IDs máximos utilizables, que es una limitación de hardware. Esto no es relevante para el regulador de microflujo, pero es un comando útil para el regulador de tráfico agregado.

- El campo de confianza no tiene relevancia en este caso.

- FL ID=1, como se ha mencionado anteriormente.

- AgForward?By y AgPoliced-By no se utilizan para calcular los paquetes transmitidos o descartados por el regulador de microflujo (hay un comando separado para eso). Sin embargo, se utilizan los mismos contadores para calcular los paquetes transmitidos/descartados por un regulador agregado.

2. Ingrese el comando show tcam int < vlan/or physical interface> qos type1 ip para determinar si la ACL está programada en la TCAM de QoS.

6500#show tcam interface fa3/3 qos type1 ip

QOS Results:   A - Aggregate Policing       F - Microflow Policing

M - Mark          T - Trust

U - Untrust

------------------------------------------------------

FT     ip 10.10.10.0 0.0.0.255 10.10.10.0 0.0.0.255  ==> entry is

programmed correctly

MU     ip any any

3. Verifique el resultado del comando show mls NetFlow ip qos nowrap para descubrir si los flujos están instalados en el TCAM de NetFlow.

6500#show mls NetFlow ip qos nowrap

Displaying NetFlow entries in Active Supervisor EARL in module 1

DstIP           SrcIP           Prot         : SrcPort :   DstPort   Src i/f         :AdjPtr    Pkts

Bytes         LastSeen      QoS       PoliceCount  Threshold   Leak          Drop     Bucket

------------------------------------------------------------------------------------------------------

0.0.0.0          0.0.0.0            0                     :0                   :0           --

0x0       140394

67383880   15:16:29        0x0                   0                    0           0

NO             0

0.0.0.0         10.10.10.2      0                     :0                   :0           --

0x0           227

108506        15:16:22        0x0                  35996208    0           0                NO         3386
En este resultado, puede ver que el flujo (sólo fuente) está instalado en el TCAM de NetFlow y que hay 35,996,208 paquetes controlados.

Posibles problemas

Es posible que la política de servicio no esté programada en el hardware en estos escenarios. Estas son algunas de las posibles razones:

1. Hay una limitación de hardware en el número de reguladores de agregado/microflujo que se pueden configurar. Para reservar recursos de hardware, la política de servicio no se programa en el hardware.

Ingrese el comando show platform hardware capability qoscan para verificar la disponibilidad de los reguladores.

6500#show platform hardware capacity qos

QoS Policer Resources

Aggregate policers: Module                      Total         Used     %Used

1                            1024            102     10%

6                            1024            102     10%

Microflow policer configurations: Module        Total         Used     %Used

1                64            32        50%

6                64            32        50%

2. Debido a un conflicto de máscara de flujo con otras funciones configuradas bajo la misma interfaz, es posible que el regulador de microflujo no pueda almacenar en caché flujos en NetFlow TCAM.

Es importante comprender el concepto de máscara de flujo. Para admitir la aceleración de hardware de ciertas funciones, hay piezas de hardware dedicadas (TCAM) que se utilizan para instalar determinadas funciones. Hay varias funciones que utilizan el mismo TCAM, como NAT WCCP NetFlow. Utilizan un TCAM que se denomina comúnmente TCAM de NetFlow, mientras que para funciones como ACL de seguridad, el routing basado en políticas (PBR) utiliza el TCAM de ACL.

Para la TCAM de NetFlow, se necesita una máscara de flujo para instalar las entradas en el hardware. Las máscaras de flujo de NetFlow determinan la granularidad de los flujos que se medirán. Las máscaras de flujo muy específicas generan un gran número de entradas de tabla de NetFlow y un gran volumen de estadísticas para exportar. Las máscaras de flujo menos específicas agregan las estadísticas de tráfico en menos entradas de tabla de NetFlow y generan un menor volumen de estadísticas.

El artículo NetFlow Table Configuration describe las características del requisito de máscara de flujo (admitidas).

- Ingrese el comando show fm summary y determine si la interfaz está en un estado inactivo. Un estado Inactivo indica que hay alguna función configurada bajo la interfaz que no se puede programar en el hardware. Los paquetes recibidos en esa interfaz que requieren esa función se programan en el software.

6500#show fm summary

Interface: Vlan13 is up

TCAM screening for features: INACTIVE inbound

TCAM screening for features: INACTIVE outbound

Interface: Vlan72 is up

TCAM screening for features: ACTIVE inbound

TCAM screening for features: ACTIVE outbound

Interface: Vlan84 is up

TCAM screening for features: ACTIVE inbound

TCAM screening for features: INACTIVE outbound

- Ingrese el comando show fm fie interface <> y determine si el regulador de microflujo está configurado en el hardware.

6500#show fm fie int vlan 10

Interface Vl10:

Feature interaction state created: Yes

Flowmask conflict status for protocol IP :

FIE_FLOWMASK_STATUS_SUCCESS

Flowmask conflict status for protocol OTHER :

FIE_FLOWMASK_STATUS_SUCCESS Interface Vl10 [Ingress]:

Slot(s) using the protocol IP : 1

FIE Result for protocol IP : FIE_SUCCESS_NO_CONFLICT

Features Configured : [empty] - Protocol : IP

FM Label when FIE was invoked : 66  Current FM Label : 66

Last Merge is for slot: 0  num# of strategies tried : 1

num# of merged VMRs in bank 1 = 0

num# of free TCAM entries in Bank1 = Unknown

num# of merged VMRs in bank 2 = 1

num# of free TCAM entries in Bank2 = Unknown

Slot(s) using the protocol OTHER : 1

FIE Result for protocol OTHER : FIE_SUCCESS_NO_CONFLICT

Features Configured : OTH_DEF   - Protocol : OTHER

FM Label when FIE was invoked : 66

Current FM Label : 66

Last Merge is for slot: 0

Features in Bank1 = OTH_DEF

+-------------------------------------+

Action Merge Table

+-------------------------------------+

OTH_DEF      RSLT    R_RSLT  COL

+-------------------------------------+

SB           HB      P       0

X            P       P       0

+-------------------------------------+

num# of strategies tried : 1

Description of merging strategy used:

Serialized Banks: FALSE

Bank1 Only Features: [empty]

Bank2 Only Features: [empty]

Banks Swappable: TRUE

Merge Algorithm: ODM

num# of merged VMRs in bank 1 = 1

num# of free TCAM entries in Bank1 = 32745

num# of merged VMRs in bank 2 = 0

num# of free TCAM entries in Bank2 = 32744 Interface Vl10 [Egress]:

No Features Configured

No IP Guardian Feature Configured

No IPv6 Guardian Feature Configured

IP QoS Conflict resolution configured, QoS policy name: POLICE_SAME

Las máscaras de flujo compatibles se deben utilizar para las funciones configuradas bajo la misma interfaz que comparten el TCAM de NetFlow. Las máscaras de flujo compatibles están disponibles para casi todos los tipos de combinaciones.

Otros comandos de utilidad

- Aplicar la política

- Check FL-ID=1 - show mls qos ip

- Verifique QoS TCAM - show tcam int <> qos type 1 ip

- Verifique NetFlow TCAM - show mls NetFlow ip qos module nowrap

- Verifique la disponibilidad de los reguladores de políticas - show platform hardware capability fabric

- Comprobar conflicto de máscara de flujo (FM): show log, show fm summary

- Verifique las funciones configuradas bajo la interfaz - show fm fie interface