Überprüfen Sie die Shared Services der ACI - Shared Service Consumer PcTag 14
Inhalt
Einleitung
In diesem Dokument werden die Schritte zum Konfigurieren und Überprüfen der Shared Services-Konfiguration mit Shared BD in der ACI beschrieben.
Hintergrundinformationen
Eine Shared Services-Konfiguration ermöglicht die Kommunikation zwischen EPGs über verschiedene VRFs innerhalb einer ACI-Fabric.
Shared Services nutzt alle Vorteile der 3 PcTag-Kategorien:
| Kategoriename | PCtag-Bereich |
| System | 1 bis 15 |
| Global | 16-16385 |
| Lokal | 16386 - 65535 |
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.
Konfigurieren
Netzwerkdiagramm
Highlights der Konfiguration
- Der Subnetzbereich "Shared between VRFs" ist für das Subnetz erforderlich, damit es undicht wird.,192.168.10.1/24
- Der Vertrag muss mindestens den "Tenant"-Bereich aufweisen, da sich die EPGs im gleichen Tenant befinden.
- Wenn sich die EPGs in unterschiedlichen Tenants befinden, muss der Vertrag einen "globalen" Umfang haben.
- Wenn das gemeinsam genutzte Subnetz unter der Anbieter-EPG definiert ist, muss der Vertrag nur auf der EPG bereitgestellt werden, damit er gemeinsam genutzt werden kann, und auf der EPG verwendet werden, um ihn zu nutzen.
ODER
- Wenn das gemeinsam genutzte Subnetz unter dem Anbieter-BD definiert ist, muss der Vertrag von beiden EPGs bereitgestellt und nur von den EPGs und Subnetzen auf dem BD verwendet werden. Dadurch wird mehr TCAM-Speicherplatz belegt, da mehr Zoning-Regeln programmiert werden.
Überprüfung
Szenario 1 - EPG-zu-EPG: Gemeinsames Subnetz in Provider-EPG definiert
In diesem Beispielszenario wird das freigegebene Subnetz unter EPG-2 konfiguriert.
Diese Option optimiert die TCAM-Nutzung und führt die Shared Services-Konfiguration durch. Der TCAM ist optimiert, da die Zoning-Regeln nur im Verbraucher-VRF programmiert werden müssen. In diesem Szenario befindet sich die VRF-Instanz des Verbrauchers nur auf Leaf 101.
Ablaufverfolgung von EPG-1 zu EPG-2
Leaf für Privatnutzer 101
Die Routeninformationen auf Leaf 101 Consumer VRF PJ:VRF-1 zeigen die Route für 192.168.10.10 über VNID 2260992, die Provider VRF PJ:VRF-2 ist:
leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1 IP Route Table for VRF "PJ:VRF-1" '*' denotes best ucast next-hop '**' denotes best mcast next-hop '[x/y]' denotes [preference/metric] '%' in via output denotes VRF
192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive *via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992 recursive next hop: 10.0.240.33/32%overlay-1
Der Datenverkehrsfluss kann mit einem ELAM auf Consumer Leaf 101 anhand der ICMP-Anforderung von der Quelle 10.10.10.10 zum Ziel 192.168.10.1 validiert werden.
leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
-----------------------------------------------------------------------------------------------------------------------------------
Outer L3 Header
-----------------------------------------------------------------------------------------------------------------------------------
...
IP Protocol Number : ICMP
IP CheckSum : 37262( 0x918E )
Destination IP : 192.168.10.10
Source IP : 10.10.10.10
-----------------------------------------------------------------------------------------------------------------------------------
Contract Lookup Key
-----------------------------------------------------------------------------------------------------------------------------------
IP Protocol : ICMP( 0x1 )
L4 Src Port : 2048( 0x800 )
L4 Dst Port : 16568( 0x40B8 )
sclass (src pcTag) : 16388( 0x4004 )
dclass (dst pcTag) : 10930( 0x2AB2 )
src pcTag is from local table : yes
derived from a local table on this node by the lookup of src IP or MAC
Unknown Unicast / Flood Packet : no
If yes, Contract is not applied here because it is flooded
-----------------------------------------------------------------------------------------------------------------------------------
Contract Result
-----------------------------------------------------------------------------------------------------------------------------------
Contract Drop : no
Contract Logging : no
Contract Applied : yes
Contract Hit : yes
Contract Aclqos Stats Index : 81874
( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Aus dem Bericht geht hervor, dass der Vertrag auf das Verbraucherblatt 101 angewendet wird und dass Src pcTag 16388 (EPG-1) und Dst PcTAG 10930 (EPG-2) zugewiesen wurden.
Diese Werte können mit den programmierten Zoning-Regeln in Consumer VRF PJ:VRF-1 (VNID 3080192) verglichen werden, um zu ermitteln, welche Regel-IDs betroffen sind:
leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4108 | 10930 | 16388 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4118 | 16388 | 10930 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+
Ablaufverfolgung von EPG-2 zu EPG-1
Provider-Leaf 102
Die Routeninformationen auf Leaf 102 für Provider VRF-PJ:VRF-2 zeigen die Route für 10.10.10.10 über VNID 3080192, d. h. Consumer-VRF-PJ:VRF-1:
leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2
IP Route Table for VRF "PJ:VRF-2"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%' in via output denotes VRF
10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive
*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192
recursive next hop: 10.0.240.33/32%overlay-1
Der Datenverkehrsfluss kann mit einem ELAM auf Provider Leaf 101 anhand der ICMP-Anforderung von Quelle 192.168.10.10 bis Ziel 10.10.10 validiert werden:
leaf102# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 37262( 0x918E ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 18616( 0x48B8 ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Beachten Sie in diesem Bericht, dass es sich bei der Klasse und der Klasse um nicht lokale Werte handelt.
EPG-2, der Anbieter von gemeinsam genutzten Services, steuert jetzt den globalen PcTag 10930 an.
Die diesem Paket zugewiesene Klasse ist Shared Service Consumer PcTag 14. Der PcTag 14 ist das System-PcTag, das für den Inter-VRF-Datenverkehr reserviert ist.
Beachten Sie, dass auf Provider Leaf 102 eine spezielle Zoning-Regel zwischen Provider EPG2 PcTag 10930 und Shared Service Consumer System PcTag 14 programmiert ist, wobei "Action" auf "permit_override" gesetzt ist. Mit dieser Regel können abgeglichene Datenflüsse zur abschließenden Richtliniensuche an den Consumer-Leaf weitergeleitet werden:
leaf102# show zoning-rule +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+
Szenario 2 - BD-zu-BD: Gemeinsames Subnetz in Anbieter-BD definiert.
In diesem Beispielszenario wird das freigegebene Subnetz nur in BD-2 konfiguriert.
Zum Abschluss der Shared Services-Konfiguration müssen die Verträge für beide EPGs (EPG-1 und EPG-2) genutzt und bereitgestellt werden.
Ablaufverfolgung von EPG-1 zu EPG-2
Da ein Shared Service-Vertrag auf beiden EPGs bereitgestellt und genutzt wird, werden die folgenden Eigenschaften bei einem Paketfluss zwischen EPG-1 (Leaf 101) und EPG-2 (Leaf 102) beobachtet:
- Die EPG-1 wird als Provider betrachtet.
- EPG-2 gilt als Verbraucher.
- Leaf 102 ist das Endbenutzer-Leaf, und hier wird die endgültige Richtlinie angewendet.
Die Routeninformationen sind mit Szenario 1 identisch.
"Provider" Leaf 101:
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# status
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23304( 0x5B08 ) Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 59074( 0xE6C2 ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Beachten Sie, dass Klasse 14 zugewiesen ist. Das bedeutet, dass der Datenverkehr über die "permit_override"-Regel fortgesetzt werden kann, sodass der Consumer-Leaf die abschließende Richtliniensuche steuern kann.
Leaf "Verbraucher" 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 14 out-select 1
module-1# set inner ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 26203( 0x665B ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 10930( 0x2AB2 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Beachten Sie, dass sowohl EPG-1 als auch EPG-2 jetzt globale PC-Tags haben; EPG-1 ist der PcTag 18 und EPG-2 ist der PcTag 10938.
Ablaufverfolgung von EPG-2 zu EPG-1
Da ein Shared Service-Vertrag auf beiden EPGs bereitgestellt und genutzt wird, werden die folgenden Eigenschaften bei einem Paketfluss zwischen EPG-2 (Leaf 102) und EPG-1 (Leaf 101) beobachtet:
- Die EPG-2 wird als Provider betrachtet.
- Die EPG-1 gilt als Verbraucher.
- Leaf 101 ist das Leaf des Verbrauchers. Die endgültige Richtlinie wird hier angewendet.
Die Routeninformationen sind mit Szenario 1 identisch.
Provider-Leaf 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23308( 0x5B0C ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 56682( 0xDD6A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Beachten Sie, dass Klasse 14 zugewiesen ist. Das bedeutet, dass der Datenverkehr über die "permit_override"-Regel fortgesetzt werden kann, sodass der Consumer-Leaf die abschließende Richtliniensuche steuern kann.
Leaf "Verbraucher" 101
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- L3 Type : IPv4 DSCP : 0 Don't Fragment Bit : 0x0 TTL : 254 IP Protocol Number : ICMP Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 22874( 0x595A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 18( 0x12 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
TCAM-Nutzungshinweis
Beachten Sie im BD-to-BD-Szenario, dass sich die Zoning-Regeln verdoppelt haben, da sowohl EPG-1 als auch EPG-2 Shared Services-Vertragskunden sind:
Leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4129 | 18 | 14 | implicit | uni-dir | enabled | 3080192 | | permit_override | src_dst_any(9) | | 4128 | 10930 | 18 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4127 | 18 | 10930 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Leaf102# show zoning-rule scope 2260992 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | | 4123 | 18 | 10930 | 8 | bi-dir | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4124 | 18 | 0 | implicit | uni-dir | enabled | 2260992 | | deny,log | shsrc_any_any_deny(12) | | 4122 | 10930 | 18 | 8 | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Schlussfolgerung
Beide Konfigurationsszenarien erfüllen die Shared-Services-Funktion, die BD-to-BD-Methode verursacht jedoch zusätzliche Kosten für den TCAM-Verbrauch.
Referenzen & Nützliche Links
Analyse und Fehlerbehebung bei gemeinsam genutzten ACI-Services - DGTL-TSCDCN-305
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
2.0 |
19-Oct-2022 |
Fester Cisco Live-Link |
1.0 |
13-Sep-2022 |
Erstveröffentlichung |
FeedbackCisco kontaktieren
- Eine Supportanfrage öffnen
- (Erfordert einen Cisco Servicevertrag)