Inhalt

Einleitung

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Highlights der Konfiguration

Überprüfung

Szenario 1 - EPG-zu-EPG: Gemeinsames Subnetz in Provider-EPG definiert

Ablaufverfolgung von EPG-1 zu EPG-2

Ablaufverfolgung von EPG-2 zu EPG-1

Szenario 2 - BD-zu-BD: Gemeinsam genutztes Subnetz in Provider BD definiert

Ablaufverfolgung von EPG-1 zu EPG-2

Ablaufverfolgung von EPG-2 zu EPG-1

TCAM-Nutzungshinweis

Schlussfolgerung

Referenzen & Nützliche Links

Einleitung

In diesem Dokument werden die Schritte zum Konfigurieren und Überprüfen der Shared Services-Konfiguration mit Shared BD in der ACI beschrieben.

Hintergrundinformationen

Eine Shared Services-Konfiguration ermöglicht die Kommunikation zwischen EPGs über verschiedene VRFs innerhalb einer ACI-Fabric.

Shared Services nutzt alle Vorteile der 3 PcTag-Kategorien:

Kategoriename

PCtag-Bereich

System

1 bis 15

Global

16-16385

Lokal

16386 - 65535

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Konfigurieren

Netzwerkdiagramm

Highlights der Konfiguration

- Der Subnetzbereich "Shared between VRFs" ist für das Subnetz erforderlich, damit es undicht wird.,192.168.10.1/24

- Der Vertrag muss mindestens den "Tenant"-Bereich aufweisen, da sich die EPGs im gleichen Tenant befinden.

- Wenn sich die EPGs in unterschiedlichen Tenants befinden, muss der Vertrag einen "globalen" Umfang haben.

- Wenn das gemeinsam genutzte Subnetz unter der Anbieter-EPG definiert ist, muss der Vertrag nur auf der EPG bereitgestellt werden, damit er gemeinsam genutzt werden kann, und auf der EPG verwendet werden, um ihn zu nutzen.

ODER

- Wenn das gemeinsam genutzte Subnetz unter dem Anbieter-BD definiert ist, muss der Vertrag von beiden EPGs bereitgestellt und nur von den EPGs und Subnetzen auf dem BD verwendet werden. Dadurch wird mehr TCAM-Speicherplatz belegt, da mehr Zoning-Regeln programmiert werden.

Hinweis: VZany wird als Anbieter von gemeinsam genutzten Services nicht unterstützt

Überprüfung

Szenario 1 - EPG-zu-EPG: Gemeinsames Subnetz in Provider-EPG definiert

In diesem Beispielszenario wird das freigegebene Subnetz unter EPG-2 konfiguriert.

Hinweis: Wenn dasselbe Subnetz sowohl unter einer EPG als auch unter der zugehörigen BD definiert ist, müssen für beide Definitionen dieselben Bereichswerte festgelegt sein.

Diese Option optimiert die TCAM-Nutzung und führt die Shared Services-Konfiguration durch. Der TCAM ist optimiert, da die Zoning-Regeln nur im Verbraucher-VRF programmiert werden müssen. In diesem Szenario befindet sich die VRF-Instanz des Verbrauchers nur auf Leaf 101.

Ablaufverfolgung von EPG-1 zu EPG-2

Leaf für Privatnutzer 101

Die Routeninformationen auf Leaf 101 Consumer VRF PJ:VRF-1 zeigen die Route für 192.168.10.10 über VNID 2260992, die Provider VRF PJ:VRF-2 ist:

leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1

IP Route Table for VRF "PJ:VRF-1"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992

recursive next hop: 10.0.240.33/32%overlay-1

Der Datenverkehrsfluss kann mit einem ELAM auf Consumer Leaf 101 anhand der ICMP-Anforderung von der Quelle 10.10.10.10 zum Ziel 192.168.10.1 validiert werden.

leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 16568( 0x40B8 )

sclass (src pcTag)                      : 16388( 0x4004 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Aus dem Bericht geht hervor, dass der Vertrag auf das Verbraucherblatt 101 angewendet wird und dass Src pcTag 16388 (EPG-1) und Dst PcTAG 10930 (EPG-2) zugewiesen wurden.

Diese Werte können mit den programmierten Zoning-Regeln in Consumer VRF PJ:VRF-1 (VNID 3080192) verglichen werden, um zu ermitteln, welche Regel-IDs betroffen sind:

leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |  Action  |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              | deny,log | shsrc_any_any_deny(12) |

|   4108  | 10930  | 16388  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

|   4118  | 16388  | 10930  |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

Hinweis: Eine implizite Verweigerungsregel wird automatisch von Provider EPG-2 (PcTag 10930) zu einer beliebigen (PcTag 0) erstellt. Auf diese Weise wird die Kommunikation vom Provider-VRF zum Verbraucher-VRF ohne zusätzliche Verträge über EPGs hinweg verhindert.

Ablaufverfolgung von EPG-2 zu EPG-1

Provider-Leaf 102

Die Routeninformationen auf Leaf 102 für Provider VRF-PJ:VRF-2 zeigen die Route für 10.10.10.10 über VNID 3080192, d. h. Consumer-VRF-PJ:VRF-1:

leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2

IP Route Table for VRF "PJ:VRF-2"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192

recursive next hop: 10.0.240.33/32%overlay-1

Der Datenverkehrsfluss kann mit einem ELAM auf Provider Leaf 101 anhand der ICMP-Anforderung von Quelle 192.168.10.10 bis Ziel 10.10.10 validiert werden:

leaf102# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 18616( 0x48B8 )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Beachten Sie in diesem Bericht, dass es sich bei der Klasse und der Klasse um nicht lokale Werte handelt.

EPG-2, der Anbieter von gemeinsam genutzten Services, steuert jetzt den globalen PcTag 10930 an.

Die diesem Paket zugewiesene Klasse ist Shared Service Consumer PcTag 14. Der PcTag 14 ist das System-PcTag, das für den Inter-VRF-Datenverkehr reserviert ist.

Beachten Sie, dass auf Provider Leaf 102 eine spezielle Zoning-Regel zwischen Provider EPG2 PcTag 10930 und Shared Service Consumer System PcTag 14 programmiert ist, wobei "Action" auf "permit_override" gesetzt ist.  Mit dieser Regel können abgeglichene Datenflüsse zur abschließenden Richtliniensuche an den Consumer-Leaf weitergeleitet werden:

leaf102# show zoning-rule

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |   Dir   |  operSt |  Scope   | Name |      Action     |       Priority       |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

|   4113  | 10930  |   14   | implicit | uni-dir | enabled | 2260992  |      | permit_override |    src_dst_any(9)    |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

Szenario 2 - BD-zu-BD: Gemeinsames Subnetz in Anbieter-BD definiert.

In diesem Beispielszenario wird das freigegebene Subnetz nur in BD-2 konfiguriert.

Zum Abschluss der Shared Services-Konfiguration müssen die Verträge für beide EPGs (EPG-1 und EPG-2) genutzt und bereitgestellt werden.

Ablaufverfolgung von EPG-1 zu EPG-2

Da ein Shared Service-Vertrag auf beiden EPGs bereitgestellt und genutzt wird, werden die folgenden Eigenschaften bei einem Paketfluss zwischen EPG-1 (Leaf 101) und EPG-2 (Leaf 102) beobachtet:

- Die EPG-1 wird als Provider betrachtet.

- EPG-2 gilt als Verbraucher.

- Leaf 102 ist das Endbenutzer-Leaf, und hier wird die endgültige Richtlinie angewendet.

Die Routeninformationen sind mit Szenario 1 identisch.

"Provider" Leaf 101:

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# status

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23304( 0x5B08 )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 59074( 0xE6C2 )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Beachten Sie, dass Klasse 14 zugewiesen ist. Das bedeutet, dass der Datenverkehr über die "permit_override"-Regel fortgesetzt werden kann, sodass der Consumer-Leaf die abschließende Richtliniensuche steuern kann.

Leaf "Verbraucher" 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 14 out-select 1

module-1# set inner ipv4 src_ip 10.10.10.10  dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 26203( 0x665B )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Beachten Sie, dass sowohl EPG-1 als auch EPG-2 jetzt globale PC-Tags haben; EPG-1 ist der PcTag 18 und EPG-2 ist der PcTag 10938.

Ablaufverfolgung von EPG-2 zu EPG-1

Da ein Shared Service-Vertrag auf beiden EPGs bereitgestellt und genutzt wird, werden die folgenden Eigenschaften bei einem Paketfluss zwischen EPG-2 (Leaf 102) und EPG-1 (Leaf 101) beobachtet:

- Die EPG-2 wird als Provider betrachtet.

- Die EPG-1 gilt als Verbraucher.

- Leaf 101 ist das Leaf des Verbrauchers. Die endgültige Richtlinie wird hier angewendet.

Die Routeninformationen sind mit Szenario 1 identisch.

Provider-Leaf 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23308( 0x5B0C )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 56682( 0xDD6A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Beachten Sie, dass Klasse 14 zugewiesen ist. Das bedeutet, dass der Datenverkehr über die "permit_override"-Regel fortgesetzt werden kann, sodass der Consumer-Leaf die abschließende Richtliniensuche steuern kann.

Leaf "Verbraucher" 101

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

L3 Type                       : IPv4

DSCP                          : 0

Don't Fragment Bit            : 0x0

TTL                           : 254

IP Protocol Number            : ICMP

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 22874( 0x595A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 18( 0x12 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

TCAM-Nutzungshinweis

Beachten Sie im BD-to-BD-Szenario, dass sich die Zoning-Regeln verdoppelt haben, da sowohl EPG-1 als auch EPG-2 Shared Services-Vertragskunden sind:

Leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4129  |   18   |   14   | implicit |    uni-dir     | enabled | 3080192 |              | permit_override |     src_dst_any(9)     |

|   4128  | 10930  |   18   |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4127  |   18   | 10930  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Leaf102# show zoning-rule scope 2260992

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4113  | 10930  |   14   | implicit |    uni-dir     | enabled | 2260992 |              | permit_override |     src_dst_any(9)     |

|   4123  |   18   | 10930  |    8     |     bi-dir     | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4124  |   18   |   0    | implicit |    uni-dir     | enabled | 2260992 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4122  | 10930  |   18   |    8     | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Hinweis: Beachten Sie, dass sich die Anzahl der impliziten "shsrc_any_any_deny" und "permit_override"-Zoning-Regeln aufgrund dieser Konfiguration ebenfalls verdoppelt hat.

Schlussfolgerung

Beide Konfigurationsszenarien erfüllen die Shared-Services-Funktion, die BD-to-BD-Methode verursacht jedoch zusätzliche Kosten für den TCAM-Verbrauch.

Referenzen & Nützliche Links

Cisco ACI-Vertragsleitfaden

Analyse und Fehlerbehebung bei gemeinsam genutzten ACI-Services - DGTL-TSCDCN-305