Configuração de VLAN privada e Cisco UCS anterior à 2.2(2C)

Introduction

Este documento descreve o suporte a VLAN privada (PVLAN) no Cisco Unified Computing System (UCS), um recurso introduzido na versão 1.4 do Cisco UCS Manager (UCSM). Ele também detalha os recursos, as advertências e a configuração quando as PVLANs são usadas em um ambiente UCS.

ESTE DOCUMENTO DEVE SER USADO COM AS VERSÕES 2.2(2C) E ANTERIORES DO UCSM. Em versões posteriores à versão 2.2(2C), alterações foram feitas no UCSM e o ESXi DVS é suportado. Há também alterações na forma como a marcação funciona para a placa de rede PVLAN.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• UCS
• Cisco Nexus 1000 V (N1K)
• VMware
• Comutação da camada 2 (L2)

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

Teoria

Uma VLAN privada é uma VLAN configurada para isolamento L2 de outras portas dentro da mesma VLAN privada. As portas que pertencem a uma PVLAN estão associadas a um conjunto comum de VLANs de suporte, que são usadas para criar a estrutura da PVLAN.

Há três tipos de portas PVLAN:

• Uma porta promíscua se comunica com todas as outras portas PVLAN e é a porta usada para se comunicar com dispositivos fora da PVLAN.
• Uma porta isolada tem separação L2 completa (incluindo broadcasts) de outras portas dentro do mesmo PVLAN, com exceção da porta promíscua.
• Uma porta de comunidade pode se comunicar com outras portas no mesmo PVLAN, bem como com a porta promíscua. As portas da comunidade são isoladas em L2 das portas de outras comunidades ou portas PVLAN isoladas. Os broadcasts só são propagados para outras portas na comunidade e na porta promíscua.

Consulte RFC 5517, VLANs privadas da Cisco Systems: Segurança escalável em um ambiente multicliente para entender a teoria, a operação e os conceitos de PVLANs.

Implementação de PVLAN no UCS

O UCS se assemelha muito à arquitetura do Nexus 5000/2000, onde o Nexus 5000 é análogo ao UCS 6100 e ao Nexus 2000 aos extensores de estrutura UCS 2104.

Muitas limitações da funcionalidade de PVLAN no UCS são causadas pelas limitações encontradas na implementação do Nexus 5000/2000.

Os pontos importantes a serem lembrados são:

• Somente portas isoladas são suportadas no UCS. Com o N1K incorporado, você pode usar VLANs de comunidade, mas a porta promíscua também deve estar no N1K.
• Não há suporte para portas/troncos promíscuos, portas/troncos de comunidade ou troncos isolados.
• As portas promissoras precisam estar fora do domínio UCS, como um switch/roteador upstream ou um N1K de downstream.

Meta

Este documento aborda várias configurações diferentes disponíveis para PVLAN com UCS:

1. PVLAN isolada com porta promíscua em um dispositivo upstream.
2. PVLAN isolada em N1K com porta promíscua em um dispositivo upstream.
3. PVLAN isolada em N1K com porta promíscua no perfil de porta de uplink N1K
4. PVLAN de comunidade em N1K com porta promíscua no perfil de porta de uplink N1K.
5. PVLAN isolada na porta promíscua do Switch Virtual Distribuído (DVS - Distributed Virtual Switch) VMware no DVS.
6. PVLAN de comunidade no switch VMware DVS porta promíscua no DVS.

Configurar

Diagramas de rede

A topologia para todos os exemplos com um switch distribuído é:

A topologia para todos os exemplos sem switch distribuído é:

PVLAN no vSwitch: PVLAN isolada com porta confiável em um dispositivo upstream

Nesta configuração, você está passando o tráfego de PVLAN através do UCS para uma porta promíscua que está upstream. Como não é possível enviar VLANs primárias e secundárias na mesma vNIC, você precisa de uma vNIC para cada blade para cada PVLAN, para transportar o tráfego de PVLAN.

Configuração no UCS

Este procedimento descreve como criar as VLANs principal e isolada.

Note: Este exemplo usa 266 como primário e 166 como isolado; as IDs de VLAN serão determinadas pelo site.

1. Para criar a VLAN principal, clique em Primary como o Sharing Type (Tipo de compartilhamento) e insira um VLAN ID de 266:
   
   
   
   
2. Para criar a VLAN isolada, clique em Isolado como o Tipo de Compartilhamento, insira um ID de VLAN de 166 e escolha a VLAN 266 (266) como a VLAN Primária:
   
   
   
   
3. Para adicionar a VLAN à vNIC, clique na caixa de seleção Select para a VLAN 166 e clique no botão de opção Native VLAN.
   
   
   
   Somente a VLAN isolada é adicionada, ela deve ser definida como primária e só pode haver uma para cada vNIC. Como a VLAN nativa está definida aqui, não configure a marcação de VLAN nos grupos de portas VMware.

Configuração de dispositivos upstream

Esses procedimentos descrevem como configurar um Nexus 5K para passar a PVLAN para um switch 4900 upstream onde a porta promíscua está. Embora isso possa não ser necessário em todos os ambientes, use essa configuração no caso de você precisar passar o PVLAN por outro switch.

No Nexus 5K, insira estes comandos e verifique a configuração do uplink:

1. Ative o recurso PVLAN:
   
   

   Nexus5000-5(config)# feature private-vlan

   [an error occurred while processing this directive]
2. Adicione as VLANs como primárias e isoladas:
   
   

   Nexus5000-5(config)# vlan 166
   Nexus5000-5(config-vlan)# private-vlan isolated
   Nexus5000-5(config-vlan)# vlan 266
   Nexus5000-5(config-vlan)# private-vlan primary

   [an error occurred while processing this directive]
3. Associe a VLAN 266 à VLAN 166 isolada:
   
   

   Nexus5000-5(config-vlan)# private-vlan association 166

   [an error occurred while processing this directive]
4. Certifique-se de que todos os uplinks estejam configurados para tronco das VLANs:
   
   
   1. interface Ethernet1/1
   2. description Connection to 4900
   3. tronco de modo de porta de comutação
   4. velocidade 1000
   5. interface Ethernet1/3
   6. description Connection to FIB Port 5
   7. tronco de modo de porta de comutação
   8. velocidade 1000
   9. interface Ethernet1/4
   10. description Connection to FIA port 5
   11. tronco de modo de porta de comutação
   12. velocidade 1000

No switch 4900, siga estes passos e configure a porta promíscua. A PVLAN termina na porta promíscua.

1. Ative o recurso PVLAN, se necessário.
2. Crie e associe as VLANs como feito no Nexus 5K.
3. Crie a porta promíscua na porta de saída do switch 4900. Nesse ponto em diante, os pacotes da VLAN 166 são vistos na VLAN 266 nesse caso.
   
   

   Switch(config-if)#switchport mode trunk
   switchport private-vlan mapping 266 166
   switchport mode private-vlan promiscuous

   [an error occurred while processing this directive]

No roteador upstream, crie uma subinterface somente para a VLAN 266. Neste nível, os requisitos dependem da configuração de rede que você está usando:

1. interface GigabitEthernet0/1.1
2. encapsulation dot1Q 266
3. Endereço IP 209.165.200.225 255.255.255.224

Troubleshooting

Este procedimento descreve como testar a configuração.

1. Configure a interface virtual do switch (SVI) em cada switch, permitindo que você faça ping no SVI a partir do PVLAN:
   
   

   (config)# interface vlan 266
   (config-if)# ip address 209.165.200.225 255.255.255.224
   (config-if)# private-vlan mapping 166
   (config-if)# no shut

   [an error occurred while processing this directive]
2. Verifique as tabelas de endereços MAC para ver onde seu MAC está sendo aprendido. Em todos os switches, o MAC deve estar na VLAN isolada, exceto no switch com a porta promíscua. No switch promíscuo, observe que o MAC está na VLAN principal.
   
   
   1. No Interconector de estrutura, o endereço MAC 0050.56bd.7bef é aprendido em Veth1491:
      
      
      
      
   2. No Nexus 5K, o endereço MAC 0050.56bd.7bef é aprendido em Eth1/4:
      
      

      

   3. No switch 4900, o endereço MAC 0050.56bd.7bef é aprendido em GigabitEthernet1/1:
      
      

Nesta configuração, os sistemas nessa VLAN isolada não podem se comunicar entre si, mas podem se comunicar com outros sistemas através da porta promíscua no switch 4900. Um problema é como configurar dispositivos de downstream. Nesse caso, você está usando VMware e dois hosts.

Lembre-se de que você deve usar uma vNIC para cada PVLAN. Essas vNICs são apresentadas ao VMware vSphere ESXi, e você pode criar grupos de portas e ter convidados para esses grupos de portas.

Se dois sistemas forem adicionados ao mesmo grupo de portas no mesmo switch, eles poderão se comunicar entre si porque suas comunicações são comutadas localmente no vSwitch. Neste sistema, há dois blades com dois hosts cada.

No primeiro sistema, dois grupos de portas diferentes foram criados - um chamado 166 e outro chamado 166A. Cada uma está conectada a uma única placa de rede, configurada na VLAN isolada no UCS. Atualmente, há apenas um convidado para cada grupo de portas. Nesse caso, como eles estão separados no ESXi, eles não podem se comunicar entre si.

No segundo sistema, há apenas um grupo de portas chamado 166. Há dois convidados neste grupo de portas. Nesta configuração, VM3 e VM4 podem se comunicar entre si mesmo que você não queira que isso aconteça. Para corrigir isso, você precisa configurar uma única NIC para cada máquina virtual (VM) que está na VLAN isolada e criar um grupo de portas conectado a essa vNIC. Depois que isso for configurado, coloque apenas um convidado no grupo de portas. Isso não é um problema com uma instalação bare metal do Windows porque você não tem esses vSwitches subjacentes.

PVLAN isolada em N1K com porta confiável em um dispositivo upstream

Nessa configuração, você está passando o tráfego de PVLAN por um N1K e, em seguida, o UCS para uma porta promíscua que está upstream. Como não é possível enviar VLANs primárias e secundárias na mesma vNIC, você precisa de uma vNIC para cada uplink PVLAN para transportar o tráfego PVLAN.

Configuração no UCS

Este procedimento descreve como criar as VLANs principal e isolada.

Note: Este exemplo usa 266 como primário e 166 como isolado; as IDs de VLAN serão determinadas pelo site.

1. Para criar a VLAN principal, clique em Primary como o Sharing Type:
   
   
   
   
2. Para criar a VLAN isolada, clique em Isolado como o Tipo de compartilhamento:
   
   
   
   
3. Para adicionar a VLAN à vNIC, clique na caixa de seleção Select para a VLAN 166. A VLAN 166 não tem a VLAN nativa selecionada.
   
   
   
   Somente a VLAN isolada é adicionada, ela não deve ser definida como nativa e só pode haver uma para cada vNIC. Como a VLAN nativa não está definida aqui, marque a VLAN nativa no N1K. A opção de marcar uma VLAN nativa não está disponível no VMware DVS, portanto, isso não é suportado no DVS.

Configuração de dispositivos upstream

Esses procedimentos descrevem como configurar um Nexus 5K para passar a PVLAN para um switch 4900 upstream onde a porta promíscua está. Embora isso possa não ser necessário em todos os ambientes, use essa configuração no caso de você precisar passar o PVLAN por outro switch.

No Nexus 5K, insira estes comandos e verifique a configuração do uplink:

1. Ative o recurso PVLAN:
   
   

   Nexus5000-5(config)# feature private-vlan

   [an error occurred while processing this directive]
2. Adicione as VLANs como primárias e isoladas:
   
   

   Nexus5000-5(config)# vlan 166
   Nexus5000-5(config-vlan)# private-vlan isolated
   Nexus5000-5(config-vlan)# vlan 266
   Nexus5000-5(config-vlan)# private-vlan primary
   

   [an error occurred while processing this directive]
3. Associe a VLAN 266 à VLAN 166 isolada:
   
   

   Nexus5000-5(config-vlan)# private-vlan association 166

   [an error occurred while processing this directive]
4. Certifique-se de que todos os uplinks estejam configurados para tronco das VLANs:
   
   
   1. interface Ethernet1/1
   2. description Connection to 4900
   3. tronco de modo de porta de comutação
   4. velocidade 1000
   5. interface Ethernet1/3
   6. description Connection to FIB Port 5
   7. tronco de modo de porta de comutação
   8. velocidade 1000
   9. interface Ethernet1/4
   10. description Connection to FIA port 5
   11. tronco de modo de porta de comutação
   12. velocidade 1000

No switch 4900, siga estes passos e configure a porta promíscua. A PVLAN termina na porta promíscua.

1. Ative o recurso PVLAN, se necessário.
2. Crie e associe as VLANs como feito no Nexus 5K.
3. Crie a porta promíscua na porta de saída do switch 4900. Nesse ponto em diante, os pacotes da VLAN 166 são vistos na VLAN 266 nesse caso.
   
   

   Switch(config-if)#switchport mode trunk
   switchport private-vlan mapping 266 166
   switchport mode private-vlan promiscuous

   [an error occurred while processing this directive]

No roteador upstream, crie uma subinterface somente para a VLAN 266. Neste nível, os requisitos dependem da configuração de rede que você usa:

1. interface GigabitEthernet0/1.1
2. encapsulation dot1Q 266
3. Endereço IP 209.165.200.225 255.255.255.224

Configuração do N1K

Este procedimento descreve como configurar o N1K como um tronco padrão, não um tronco PVLAN.

1. Crie e associe as VLANs como feito no Nexus 5K. Consulte a seção Configuração de Dispositivos Upstream para obter mais informações.
2. Crie um perfil de porta de uplink para o tráfego PVLAN:
   
   

   Switch(config)#port-profile type ethernet pvlan_uplink
   Switch(config-port-prof)# vmware port-group
   Switch(config-port-prof)# switchport mode trunk
   Switch(config-port-prof)# switchport trunk allowed vlan 166,266
   Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle 
      traffic coming back from the promiscuous port.
   Switch(config-port-prof)# channel-group auto mode on mac-pinning
   Switch(config-port-prof)# no shut
   Switch(config-port-prof)# state enabled

   [an error occurred while processing this directive]
3. Criar o grupo de portas para a VLAN isolada; criar uma porta de host PVLAN com a associação de host para as VLANs principal e isolada:
   
   

   Switch(config)# port-profile type vethernet pvlan_guest
   Switch(config-port-prof)# vmware port-group
   Switch(config-port-prof)# switchport mode private-vlan host  
   Switch(config-port-prof)# switchport private-vlan host-association 266 166
   Switch(config-port-prof)# no shut
   Switch(config-port-prof)# state enabled

   [an error occurred while processing this directive]
4. No vCenter, adicione a vNIC adequada ao uplink PVLAN. Esta é a vNIC à qual você adicionou a VLAN isolada sob a Configuração nas configurações do UCS.
   
   
   
   
5. Adicione a VM ao grupo de portas correto:
   
   
   1. Na guia Hardware, clique em Adaptador de rede 1.
   2. Escolha pvlan_guest (pvlan) para o rótulo Rede em Conexão de rede:
      
      

Troubleshooting

Este procedimento descreve como testar a configuração.

1. Execute pings em outros sistemas configurados no grupo de portas, bem como no roteador ou em outro dispositivo na porta promíscua. Os pings para o dispositivo após a porta promíscua devem funcionar, enquanto os pings para outros dispositivos na VLAN isolada devem falhar.
   
   
   
   
2. No N1K, as VMs estão listadas na VLAN principal; isso ocorre porque você está nas portas de host PVLAN associadas à PVLAN. Por causa de como as VMs são aprendidas, certifique-se de não definir a PVLAN como nativa no sistema UCS. Observe também que você aprende o dispositivo upstream do canal de porta e que o dispositivo upstream também é aprendido na VLAN principal. Isso deve ser aprendido neste método, que é por isso que você tem a VLAN principal como a VLAN nativa no uplink PVLAN.
   
   Nesta captura de tela, os dois dispositivos em Veth3 e Veth 4 são as VMs. O dispositivo em Po1 é o roteador upstream que passa pela porta promíscua.
   
   
   
   
3. No sistema UCS, você deve estar aprendendo todos os MACs, para essa comunicação, na VLAN isolada. Você não deve ver o upstream aqui:
   
   
   
   
4. No Nexus 5K, as duas VMs estão na VLAN isolada, enquanto o dispositivo upstream está na VLAN principal:
   
   
   
   
5. No switch 4900, onde está a porta promíscua, tudo está na VLAN principal:
   
   

PVLAN isolada em N1K com porta confiável no perfil de porta de uplink N1K

Nesta configuração, você contém tráfego PVLAN para N1K com apenas a VLAN principal usada upstream.

Configuração no UCS

Este procedimento descreve como adicionar a VLAN principal ao vNIC. Não há necessidade de configuração de PVLAN porque você só precisa da VLAN principal. 

Note: Este exemplo usa 266 como primário e 166 como isolado; as IDs de VLAN serão determinadas pelo site.

1. Observe que o Tipo de compartilhamento é Nenhum.
   
   
   
   
2. Clique na caixa de seleção Select da VLAN 266 para adicionar a VLAN primária à vNIC. Não defina como Nativo.
   
   

Configuração de dispositivos upstream

Esses procedimentos descrevem como configurar os dispositivos upstream. Nesse caso, os switches upstream só precisam de portas de tronco e precisam apenas de VLAN 266 de tronco, pois é a única VLAN vista pelos switches upstream.

No Nexus 5K, insira estes comandos e verifique a configuração do uplink:

1. Adicione a VLAN como principal:
   
   

   Nexus5000-5(config-vlan)# vlan 266

   [an error occurred while processing this directive]
2. Certifique-se de que todos os uplinks estejam configurados para tronco das VLANs:
   
   
   1. interface Ethernet1/1
   2. description Connection to 4900
   3. tronco de modo de porta de comutação
   4. velocidade 1000
   5. interface Ethernet1/3
   6. description Connection to FIB Port 5
   7. tronco de modo de porta de comutação
   8. velocidade 1000
   9. interface Ethernet1/4
   10. description Connection to FIA port 5
   11. tronco de modo de porta de comutação
   12. velocidade 1000

No switch 4900, faça o seguinte:

1. Crie as VLANs usadas como primárias no N1K.
2. Tronque todas as interfaces de e para o switch 4900 para que a VLAN seja passada.

No roteador upstream, crie uma subinterface somente para a VLAN 266. Nesse nível, os requisitos dependem da configuração de rede que você usa.

1. interface GigabitEthernet0/1.1
2. encapsulation dot1Q 266
3. Endereço IP 209.165.200.225 255.255.255.224

Configuração do N1K

Este procedimento descreve como configurar o N1K.

1. Crie e associe as VLANs:
   
   

   Switch(config)# vlan 166
   Switch(config-vlan)# private-vlan isolated
   Switch(config-vlan)# vlan 266
   Switch(config-vlan)# private-vlan primary
   Switch(config-vlan)# private-vlan association 166

   [an error occurred while processing this directive]
2. Crie um perfil de porta de uplink para o tráfego PVLAN com a porta promíscua anotada:
   
   

   Switch(config)#port-profile type ethernet pvlan_uplink
   Switch(config-port-prof)# vmware port-group
   Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
   Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to 
      allow the primary VLAN
   Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must 
      be mapped at this point
   Switch(config-port-prof)# channel-group auto mode on mac-pinning
   Switch(config-port-prof)# no shut
   Switch(config-port-prof)# state enabled

   [an error occurred while processing this directive]
3. Criar o grupo de portas para a VLAN isolada; criar uma porta de host PVLAN com a associação de host para as VLANs principal e isolada:
   
   

   Switch(config)# port-profile type vethernet pvlan_guest
   Switch(config-port-prof)# vmware port-group
   Switch(config-port-prof)# switchport mode private-vlan host
   Switch(config-port-prof)# switchport private-vlan host-association 266 166
   Switch(config-port-prof)# no shut
   Switch(config-port-prof)# state enabled

   [an error occurred while processing this directive]
4. No vCenter, adicione a vNIC adequada ao uplink PVLAN. Esta é a vNIC à qual você adicionou a VLAN isolada sob a Configuração nas configurações do UCS.
   
   
   
5. Adicione a VM ao grupo de portas correto.
   
   
   1. Na guia Hardware, clique em Adaptador de rede 1.
   2. Escolha pvlan_guest (pvlan) para a etiqueta Rede em Conexão de rede.
      
      

Troubleshooting

Este procedimento descreve como testar a configuração.

1. Execute pings em outros sistemas configurados no grupo de portas, bem como no roteador ou em outro dispositivo na porta promíscua. Os pings para o dispositivo após a porta promíscua devem funcionar, enquanto os pings para outros dispositivos na VLAN isolada devem falhar.
   
   
   
   
2. No N1K, as VMs estão listadas na VLAN principal; isso ocorre porque você está nas portas de host PVLAN associadas à PVLAN. Observe também que você aprende o dispositivo upstream do canal de porta e que o dispositivo upstream também é aprendido na VLAN principal.
   
   Nesta captura de tela, os dois dispositivos em Veth3 e Veth 4 são as VMs. O dispositivo em Po1 é o dispositivo upstream que passa pela porta promíscua.
   
   
   
   
3. No sistema UCS, você deve estar aprendendo todos os MACs, para essa comunicação, na VLAN principal usada no N1K. Você não deve estar aprendendo o upstream aqui:
   
   
   
   
4. No Nexus 5K, todos os MACs estão na VLAN principal selecionada:
   
   
   
   
5. No switch 4900, tudo está na VLAN principal selecionada:
   
   

Comunidade PVLAN em N1K com porta confiável no perfil de porta de uplink N1K

Essa é a única configuração suportada para VLAN de comunidade com UCS.

Essa configuração é a mesma que foi configurada na PVLAN isolada em N1K com porta promíscua na seção Perfil de porta de uplink N1K. A única diferença entre a comunidade e a isolada é a configuração da PVLAN.

Para configurar o N1K, crie e associe as VLANs como você fez no Nexus 5K:

Switch(config)# vlan 166
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16

[an error occurred while processing this directive]

Todas as outras configurações são iguais às PVLAN isoladas em N1K com porta promíscua no perfil de porta de uplink N1K.

Depois de configurada, você pode se comunicar com todas as VMs conectadas ao perfil de porta vEthernet usado para sua PVLAN.

Troubleshooting

Este procedimento descreve como testar a configuração.

1. Execute pings em outros sistemas configurados no grupo de portas, bem como no roteador ou em outro dispositivo na porta promíscua. Os pings que passam pela porta promíscua e para outros sistemas na comunidade devem funcionar.
   
   
   
   
2. Todas as outras soluções de problemas são iguais às PVLAN isoladas.

PVLAN isolada e PVLAN de comunidade na porta promissora VMware DVS no DVS

Devido aos problemas de configuração no sistema DVS e UCS, as PVLANs com DVS e UCS não são suportadas antes da versão 2.2(2c).

Verificar

Atualmente, não há procedimentos de verificação disponíveis para essas configurações.

Troubleshoot

As seções anteriores forneciam informações que você pode usar para solucionar problemas de suas configurações.

A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..