Es muss sichergestellt werden, dass alle gesendeten Pakete korrekt empfangen wurden.
In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.
Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.
In diesem Dokument wird die Fehlerbehebung bei Paketverlusten mithilfe von Zugriffskontrolllisten (Access Control Lists, ACLs) auf der Nexus-Plattform beschrieben.
Cisco empfiehlt, dass Sie über Kenntnisse in den folgenden Bereichen verfügen:
N9K1 | N9K-C93108TC-EX | 9.3(10) |
N9K2 | N9K-C93108TC-EX | 9.3(10) |
N9K3 | N9K-C93108TC-EX | 9.3(10) |
Die Informationen in diesem Dokument stammen von Nexus-Geräten in einer Laborumgebung. Alle in diesem Dokument verwendeten Geräte wurden ohne vorherige Konfiguration gestartet. Wenn Sie ein Live-Netzwerk verwenden, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Eine ACL wird im Wesentlichen verwendet, um Datenverkehr auf der Grundlage einer Reihe geordneter Regeln und Kriterien zu filtern (z. B. Filterung nach Quell-/Ziel-IP-Adressen). Anhand dieser Regeln wird bestimmt, ob Pakete bestimmten Bedingungen entsprechen, um zu entscheiden, ob sie zugelassen oder abgelehnt werden. Einfacher ausgedrückt, legt die ACL fest, ob Netzwerkpakete basierend auf den darin festgelegten Regeln passieren dürfen oder abgelehnt werden. Wenn die Pakete die Bedingungen der Genehmigungsregeln erfüllen, werden sie vom Nexus-Switch verarbeitet. Entsprechen die Pakete hingegen den Deny-Bedingungen, werden sie verworfen.
Ein wichtiges Merkmal von ACLs ist die Fähigkeit, statistische Zähler für den Paketfluss bereitzustellen. Diese Zähler verfolgen die Anzahl der Pakete, die mit den ACL-Regeln übereinstimmen. Dies kann bei der Fehlerbehebung von Szenarien mit Paketverlusten sehr nützlich sein.
Wenn beispielsweise ein Gerät eine bestimmte Anzahl von Paketen sendet, aber weniger als erwartet empfängt, können die statistischen Zähler der ACL dabei helfen, den Punkt zu isolieren, an dem Pakete innerhalb des Netzwerks verworfen werden.
Die Implementierung von ACLs kann variieren, je nachdem, ob sie auf Layer-2-Schnittstellen (PACL), Layer-3-Schnittstellen (RACL) oder VLANs (VACL) angewendet werden. Im Folgenden finden Sie einen kurzen Vergleich dieser Methoden:
ACL-Typ |
Schnittstelle |
Aktion |
Angewendete Richtung |
PACL |
L2 |
Switchport-Schnittstellen |
Eingehend - nur Datenverkehr, der an die Schnittstelle gelangt. |
RACL |
Anschluss 3 |
SVI-, physische L3- und L3-Subschnittstellen |
Eingehend und ausgehend: Eingehender Datenverkehr filtert den an die Schnittstelle eingehenden Datenverkehr, während der ausgehende Datenverkehr die Schnittstelle verlässt. |
Es muss sichergestellt werden, dass alle gesendeten Pakete korrekt empfangen wurden.
Hier finden Sie die detaillierten Prozessschritte für die Konfiguration und Verifizierung von RACL und PACL auf den N9K-Geräten. Während dieses Prozesses werden die Portzugriffskontrolllisten und die Router-Zugriffskontrolllisten überprüft, um den Paketfluss zu analysieren und festzustellen, ob alle Pakete korrekt übertragen und empfangen werden.
Anmerkung: Zur Überwachung des ausgehenden Paketflusses ist eine zusätzliche ACL-Konfiguration auf N9K-2 erforderlich. Da N9K-2 keine physischen L3-Routing-Schnittstellen aufweist (stattdessen verfügt es über SVI- und L2-Switch-Port-Schnittstellen), unterstützt PACL nur eingehenden Datenverkehr.
Zum Erfassen von Übereinstimmungen mit ausgehenden Paketen kann eine neue ACL erstellt und auf die L3-Schnittstellen angewendet werden.
Die ACL wird auf N9K-1, N9K-2 und N9K-3 angewendet.
ip access-list TAC-IN
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32
20 permit ip 192.168.0.10/32 192.168.20.2/32
30 permit ip any any
ip access-list TAC-OUT
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32
20 permit ip 192.168.0.10/32 192.168.20.2/32
30 permit ip any any
***N9K-1***
interface Ethernet1/1
description ***Link-to-N9K-2***
ip access-group TAC-IN in
ip access-group TAC-OUT out
ip address 192.168.10.2/30
no shutdown
***N9K-2***
interface Vlan10
no shutdown
ip access-group TAC-IN-SVI in
ip access-group TAC-OUT-SVI out
ip address 192.168.10.1/30
interface Vlan20
no shutdown
ip access-group TAC-IN-SVI in
ip access-group TAC-OUT-SVI out
ip address 192.168.20.1/30
***N9K-3***
interface Ethernet1/4
description ***Link-to-N9K-2***
ip access-group TAC-IN in
ip access-group TAC-OUT out
ip address 192.168.20.2/30
no shutdown
Je nach ACL-Typ ist möglicherweise eine TCAM-Partitionierung erforderlich. Weitere Informationen finden Sie unter:
Nexus 9000 TCAM-Platz schaffen
Um die PACL auf physische L2-Schnittstellen anzuwenden, muss eine IP-Port-Zugriffsgruppe konfiguriert werden..
Es ist jedoch auch eine Konfiguration des TCAM-Bereichs erforderlich.
Anmerkung: Einige Zeilen wurden entfernt, um die Ausgabe sauber zu halten.
N9K-C93180YC-2# conf
Enter configuration commands, one per line. End with CNTL/Z.
N9K-C93180YC-2(config)# int e1/2
N9K-C93180YC-2(config-if)# ip port access-group TAC-IN in
ERROR: TCAM region is not configured. Please configure TCAM region Ingress PACL [ing-ifacl] and retry the command.
N9K-C93180YC-2(config-if)#
Bitte bewerten Sie, welche Region freien Speicherplatz bieten kann, da sich dieser je nach Umgebung unterscheiden kann.
N9K-C93180YC-2# show system internal access-list globals
slot 1
=======
LOU Threshold Value : 5
--------------------------------------------------------------------------------------
INSTANCE 0 TCAM Region Information:
--------------------------------------------------------------------------------------
Ingress:
--------
Region TID Base Size Width
--------------------------------------------------------------------------------------
NAT 13 0 0 1
Ingress PACL 1 0 0 1 >>>>>>> Size of 0
Ingress VACL 2 0 0 1
Ingress RACL 3 0 1792 1
Ingress RBACL 4 0 0 1
Ingress L2 QOS 5 1792 256 1
Ingress L3/VLAN QOS 6 2048 512 1 >>>>>> Size of 512
Ingress SUP 7 2560 512 1
Ingress L2 SPAN ACL 8 3072 256 1
Ingress L3/VLAN SPAN ACL 9 3328 256 1
Ingress FSTAT 10 0 0 1
SPAN 12 3584 512 1
Ingress REDIRECT 14 0 0 1
Ingress NBM 30 0 0 1
Ingress Flow-redirect 39 0 0 1
Ingress RACL Lite 42 0 0 1
Ingress PACL IPv4 Lite 41 0 0 1
Ingress PACL IPv6 Lite 43 0 0 1
Ingress CNTACL 44 0 0 1
Mcast NAT 46 0 0 1
Ingress DACL 47 0 0 1
Ingress PACL Super Bridge 49 0 0 1
Ingress Storm Control 50 0 0 1
Ingress VACL Redirect 51 0 0 1
Egress Netflow L3 56 0 0 1
55 0 0 1
-------------------------------------------------------------------------------------
Total configured size: 4096
Remaining free size: 0
Note: Ingress SUP region includes Redirect region
Eine alternative Überprüfungsmethode.
N9K-C93180YC-2# sh hardware access-list tcam region
NAT ACL[nat] size = 0
Ingress PACL [ing-ifacl] size = 0 >>>>>>> Size of 0
VACL [vacl] size = 0
Ingress RACL [ing-racl] size = 1792
Ingress L2 QOS [ing-l2-qos] size = 256
Ingress L3/VLAN QOS [ing-l3-vlan-qos] size = 512 >>>>>> Size of 512
Ingress SUP [ing-sup] size = 512
Ingress L2 SPAN filter [ing-l2-span-filter] size = 256
Ingress L3 SPAN filter [ing-l3-span-filter] size = 256
Ingress FSTAT [ing-fstat] size = 0
span [span] size = 512
Egress RACL [egr-racl] size = 1792
Egress SUP [egr-sup] size = 256
Ingress Redirect [ing-redirect] size = 0
Egress L2 QOS [egr-l2-qos] size = 0
Egress L3/VLAN QOS [egr-l3-vlan-qos] size = 0
Ingress Netflow/Analytics [ing-netflow] size = 0
Ingress NBM [ing-nbm] size = 0
TCP NAT ACL[tcp-nat] size = 0
Egress sup control plane[egr-copp] size = 0
Ingress Flow Redirect [ing-flow-redirect] size = 0
Ingress CNTACL [ing-cntacl] size = 0
Egress CNTACL [egr-cntacl] size = 0
MCAST NAT ACL[mcast-nat] size = 0
Ingress DACL [ing-dacl] size = 0
Ingress PACL Super Bridge [ing-pacl-sb] size = 0
Ingress Storm Control [ing-storm-control] size = 0
Ingress VACL redirect [ing-vacl-nh] size = 0
Egress PACL [egr-ifacl] size = 0
Egress Netflow [egr-netflow] size = 0
N9K-C93180YC-2#
Reduzieren Sie die Größe der Region, die für ing-l3-vlan-qos zugewiesen ist. (Dies ist je nach Umgebung unterschiedlich.)
N9K-C93180YC-2(config)# hardware access-list tcam region ing-l3-vlan-qos 256 >>> Reduzieren Sie die Zuweisung von 512 auf 256.
Speichern Sie die Konfiguration, und laden Sie das System neu, damit die Konfiguration wirksam wird.
N9K-C93180YC-2(config)# Hardware-Zugriffsliste tcam region ing-ifacl 256
Speichern Sie die Konfiguration, und laden Sie das System neu, damit die Konfiguration wirksam wird.
N9K-C93180YC-2(config)#
N9K-C93180YC-2(config)# copy running-config startup-config
[########################################] 100%
Copy complete, now saving to disk (please wait)...
Copy complete.
N9K-C93180YC-2(config)#
N9K-C93180YC-2(config)# reload
This command will reboot the system. (y/n)? [n] y
Überprüfen Sie nach dem Neuladen, ob die Änderungen übernommen wurden.
N9K-C93180YC-2# sh system internal access-list globals
slot 1
=======
--------------------------------------------------------------------------------------
INSTANCE 0 TCAM Region Information:
--------------------------------------------------------------------------------------
Ingress:
--------
Region TID Base Size Width
--------------------------------------------------------------------------------------
NAT 13 0 0 1
Ingress PACL 1 0 256 1 >>> The size value is now 256.
Ingress VACL 2 0 0 1
Ingress RACL 3 256 1792 1
Ingress RBACL 4 0 0 1
Ingress L2 QOS 5 2048 256 1
Ingress L3/VLAN QOS 6 2304 256 1 >>> The size value is now 256.
Ingress SUP 7 2560 512 1
Ingress L2 SPAN ACL 8 3072 256 1
Ingress L3/VLAN SPAN ACL 9 3328 256 1
Ingress FSTAT 10 0 0 1
SPAN 12 3584 512 1
Ingress REDIRECT 14 0 0 1
Ingress NBM 30 0 0 1
Ingress Flow-redirect 39 0 0 1
Ingress RACL Lite 42 0 0 1
Ingress PACL IPv4 Lite 41 0 0 1
Ingress PACL IPv6 Lite 43 0 0 1
Ingress CNTACL 44 0 0 1
Mcast NAT 46 0 0 1
Ingress DACL 47 0 0 1
Ingress PACL Super Bridge 49 0 0 1
Ingress Storm Control 50 0 0 1
Ingress VACL Redirect 51 0 0 1
Egress Netflow L3 56 0 0 1
55 0 0 1
-------------------------------------------------------------------------------------
Total configured size: 4096
Remaining free size: 0
Note: Ingress SUP region includes Redirect region
Eine alternative Überprüfungsmethode.
N9K-C93180YC-2# sh hardware access-list tcam region
NAT ACL[nat] size = 0
Ingress PACL [ing-ifacl] size = 256 >>> The size value is now 256.
VACL [vacl] size = 0
Ingress RACL [ing-racl] size = 1792
Ingress L2 QOS [ing-l2-qos] size = 256
Ingress L3/VLAN QOS [ing-l3-vlan-qos] size = 256 >>> The size value is now 256.
Ingress SUP [ing-sup] size = 512
Ingress L2 SPAN filter [ing-l2-span-filter] size = 256
Ingress L3 SPAN filter [ing-l3-span-filter] size = 256
Ingress FSTAT [ing-fstat] size = 0
span [span] size = 512
Egress RACL [egr-racl] size = 1792
Egress SUP [egr-sup] size = 256
Ingress Redirect [ing-redirect] size = 0
Egress L2 QOS [egr-l2-qos] size = 0
Egress L3/VLAN QOS [egr-l3-vlan-qos] size = 0
Ingress Netflow/Analytics [ing-netflow] size = 0
Ingress NBM [ing-nbm] size = 0
TCP NAT ACL[tcp-nat] size = 0
Egress sup control plane[egr-copp] size = 0
Ingress Flow Redirect [ing-flow-redirect] size = 0
Ingress CNTACL [ing-cntacl] size = 0
Egress CNTACL [egr-cntacl] size = 0
MCAST NAT ACL[mcast-nat] size = 0
Ingress DACL [ing-dacl] size = 0
Ingress PACL Super Bridge [ing-pacl-sb] size = 0
Ingress Storm Control [ing-storm-control] size = 0
Ingress VACL redirect [ing-vacl-nh] size = 0
Egress PACL [egr-ifacl] size = 0
Egress Netflow [egr-netflow] size = 0
N9K-C93180YC-2#
Konfigurieren Sie die Zugriffsgruppe "ip port" an den physischen L2-Schnittstellen.
N9K-C93180YC-2# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
N9K-C93180YC-2(config)# int e1/2,e1/51
N9K-C93180YC-2(config-if-range)# ip port access-group TAC-IN in
N9K-C93180YC-2(config-if-range)# ip port access-group TAC-OUT out
Port ACL is only supported on ingress direction >>>>>>>>
N9K-C93180YC-2(config-if-range)#
interface Ethernet1/1
description ***Link-to-N9K-1***
switchport
switchport access vlan 10
ip port access-group TAC-IN in >>> Inboud only
no shutdown
interface Ethernet1/3
description ***Link-to-N9K-3***
switchport
switchport access vlan 20
ip port access-group TAC-IN in >>> Inboud only
no shutdown
N9K-1 verwendet Loopback0 (Lo0) als Quelle, während N9K-3 Loopback0 (Lo0) als Ziel verwenden kann.
Die Konfiguration der Loopback-Schnittstellen, die Sie zu Testzwecken verwenden, wird im Folgenden ausführlich beschrieben.
Anmerkung: Layer-3-Verbindungen mit einem Routing-Protokoll wurden zuvor konfiguriert.
***N9K-1***
interface loopback0
ip address 192.168.0.10/32
***N9K-3***
interface loopback0
ip address 10.10.10.10/30
N9K-3# ping 192.168.0.10 source 192.168.20.2
PING 192.168.0.10 (192.168.0.10) from 192.168.20.2: 56 data bytes
64 bytes from 192.168.0.10: icmp_seq=0 ttl=253 time=1.163 ms
64 bytes from 192.168.0.10: icmp_seq=1 ttl=253 time=0.738 ms
64 bytes from 192.168.0.10: icmp_seq=2 ttl=253 time=0.706 ms
64 bytes from 192.168.0.10: icmp_seq=3 ttl=253 time=0.668 ms
64 bytes from 192.168.0.10: icmp_seq=4 ttl=253 time=0.692 ms
--- 192.168.0.10 ping statistics ---
5 packets transmitted, 5 packets received, 0.00% packet loss
round-trip min/avg/max = 0.668/0.793/1.163 ms
N9K-3#
N9K-2# show ip access-lists TAC-IN
IP access list TAC-IN
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=5] >>>
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=0]
30 permit ip any any [match=0]
Zugehörige Konfiguration auf Eth1/3 von N9K-2.
interface Ethernet1/3
description ***Link-to-N9K-3***
switchport
switchport access vlan 20
ip port access-group TAC-IN in >>> PACL
no shutdown
N9K-2# show ip access-lists TAC-OUT-SVI
IP access list TAC-OUT-SVI
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=5] >>>
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=0]
30 permit ip any any [match=0]
configuration associated:
interface Vlan10
no shutdown
ip access-group TAC-IN-SVI in
ip access-group TAC-OUT-SVI out >>>>
ip address 192.168.10.1/30
Anhand der vorherigen Ergebnisse wird bestätigt, dass bei den von N9K-3 gesendeten ICMP-Anforderungspaketen kein Paketverlust auftritt.
N9K-1# show ip access-lists TAC-IN
IP access list TAC-IN
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=5] >>>>
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=0]
30 permit ip any any [match=0]
Zugehörige Konfiguration auf Eth1/1 von N9K-1.
interface Ethernet1/1
description ***Link-to-N9K-2***
ip access-group TAC-IN in >>> RACL
ip access-group TAC-OUT out
ip address 192.168.10.2/30
no shutdown
N9K-2# show ip access-lists TAC-IN
IP access list TAC-IN
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=0]
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=5] >>> 5 icmp reply comming from 192.168.0.10 to 192.168.20.2
30 permit ip any any [match=0]
interface Ethernet1/1
description ***Link-to-N9K-1***
switchport
switchport access vlan 10
ip port access-group TAC-IN in >>> PACL (Inboud direction only)
no shutdown
N9K-2# show ip access-lists TAC-OUT-SVI
IP access list TAC-OUT-SVI
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=0]
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=5] >>> 5 ICMP reply packets are being sent out to N9K-3.
Zugehörige Konfiguration:
interface Vlan10
no shutdown
ip access-group TAC-IN-SVI in
ip access-group TAC-OUT-SVI out >>> RACL outboud direccion
ip address 192.168.20.1/30
Basierend auf den ACL-Zählern der oben genannten Ausgaben wird bestätigt, dass N9K-1 die fünf ICMP-Antwortpakete ordnungsgemäß an N9K-2 sendet.
N9K-3# sh ip access-lists TAC-IN
IP access list TAC-IN
statistics per-entry
10 permit ip 192.168.20.2/32 192.168.0.10/32 [match=0]
20 permit ip 192.168.0.10/32 192.168.20.2/32 [match=5] >>> 5 icmp replies comming from Lo0 N9K-1
30 permit ip any any [match=0]
Zugehörige Konfiguration:
interface Ethernet1/4
description ***Link-to-N9K-2***
ip access-group TAC-IN in >>>
ip access-group TAC-OUT out
ip address 192.168.20.2/30
no shutdown
Mithilfe der oben beschriebenen Schritte zur Fehlerbehebung wurde der ein- und ausgehende Pfad des Pakets auf Hop-by-Hop-Basis zwischen Quelle und Ziel validiert.
Bei diesem Beispiel wurde bestätigt, dass kein Paketverlust auftritt, da alle 5 ICMP-Pakete auf jedem Gerät korrekt empfangen und weitergeleitet wurden.
Überarbeitung | Veröffentlichungsdatum | Kommentare |
---|---|---|
1.0 |
19-May-2025
|
Erstveröffentlichung |