Catalyst Switches der Serie 6500 Netflow TCAM-Nutzungsmanagement

Einführung

Dieses Dokument beschreibt ein Problem, das bei Cisco Catalyst Switches der Serie 6500 auftritt, wenn der TCAM-Grenzwert (NetFlow Ternary Content Addressable Memory) überschritten wird, und bietet eine Lösung für das Problem.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco Catalyst Switches der Serie 6500, auf denen die Supervisor Engine 720 ausgeführt wird.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

NetFlow ist eine Funktion, mit der Statistiken zum Datenverkehr gesammelt werden, der einen Switch passiert. Die Statistiken werden dann in der NetFlow-Tabelle gespeichert, bis sie von Netflow Data Expert (NDE) exportiert werden. Auf der Policy Feature Card (PFC) und jeder Distributed Forwarding Card (DFC) ist eine NetFlow-Tabelle verfügbar. Für einige Funktionen, wie Network Address Translation (NAT), muss der Datenfluss zunächst in der Software verarbeitet und dann die Hardware beschleunigt werden. Die NetFlow-Tabelle auf PFC und DFC erfasst Statistiken für Datenverkehr, der hardwarebeschleunigt oder Flow-Switched ist.

Einige Funktionen verwenden NetFlow, z. B. NAT und Quality of Service (QoS). NAT verwendet NetFlow, um Weiterleitungsentscheidungen zu treffen, während QoS Netflow verwendet, um Datenflüsse für die Mikroüberwachung zu überwachen. Mithilfe von NetFlow Data Export (NDE) können Sie diese Statistiken in einen externen Netflow Collector exportieren, um das Netzwerkverhalten weiter zu analysieren.

Die Supervisor Engine 720 überprüft, wie voll die NetFlow-Tabelle in jedem Pollenintervall ist, und aktiviert aggressives Altern, wenn die Tabellengröße einen festgelegten Grenzwert erreicht.

Wenn die Tabelle nahezu voll ist, gibt es neue aktive Datenflüsse, die nicht erstellt werden können, da im TCAM kein freier Speicherplatz verfügbar ist. An diesem Punkt ist es sinnvoll, die weniger aktiven oder nicht aktiven Ströme in der Tabelle aggressiver zu altern, um Platz für neue Ströme zu schaffen. Der Fluss kann wieder in die Tabelle eingefügt werden, solange er die konfigurierten Werte für Zeitüberschreitung und Paketschwelle erfüllt, die später in diesem Dokument erläutert werden.

Problem

Der Cisco Catalyst Switch der Serie 6500 kann dieses Protokoll melden:

EARL_NETFLOW-4-TCAM_THRLD: Netflow TCAM threshold exceeded, TCAM Utilization [[dec]%] 

Im Folgenden finden Sie die Konsolenausgabe, die angezeigt wird, wenn dieses Problem auftritt:

Aug 24 12:30:53: %EARL_NETFLOW-SP-4-TCAM_THRLD:
 Netflow TCAM threshold exceeded, TCAM Utilization [97%]

Aug 24 12:31:53: %EARL_NETFLOW-SP-4-TCAM_THRLD:
 Netflow TCAM threshold exceeded, TCAM Utilization [97%]

Lösung

Gehen Sie wie folgt vor, um die Netflow TCAM-Nutzung zu bewerten und zu optimieren:

1. Deaktivieren Sie den internen Dienst, wenn er auf dem Switch aktiviert ist:

   6500(config)#no service internal

2. Überprüfen Sie die Hardwarebeschränkungen für Netflow TCAM.
   • Verwenden Sie den Befehl show mls netflow ip count, um die Anzahl der im TCAM vorhandenen Flows zu überprüfen. 
   • Verwenden Sie den Befehl show platform hardware pfc mode, um den PFC-Betriebsmodus zu überprüfen.

   Hinweis: Die Kapazität für NetFlow TCAM (IPv4) für PFC3A, PFC3B und PFC3C beträgt 128.000 Einträge. Für PFC3BXL und PFC3CXL beträgt die Kapazität 256.000 Einträge.

3. Bereiten Sie die Änderung der Flussmaske vor. Netflow verwendet das Konzept der Masken. Mit der Netflow-Maske können Sie Volumen und Granularität der erfassten Statistiken steuern. Auf diese Weise können Sie die Auswirkungen auf die Supervisor Engine-Prozessoren kontrollieren. Je genauer die Maske verwendet wird, desto mehr NetFlow-Tabelleneinträge werden verwendet.
   
   Wenn Sie z. B. festlegen, dass die Statistik auf Flüsse pro IP-Adresse der Schnittstellenquelle festgelegt wird, verwenden Sie weniger Einträge, als wenn Sie Flüsse pro Schnittstelle-Ziel-Quelle beibehalten.
   
   Wenn für die Flussmaske der Modus "interface-full" festgelegt ist, kann der TCAM für NetFlow, abhängig von der Anzahl der Schnittstellen, für die er aktiviert ist, einen Überlauf durchführen. Geben Sie den Befehl show mls netflow ip count ein, um diese Informationen zu überprüfen. Obwohl Sie die Masken ändern können, bietet der Modus "Interface-full" die detailliertesten Statistiken, z. B. Informationen zu Layer 2, 3 und 4.
4. Prüfen Sie die aktuelle Flussmaske:

   6500#show mls netflow flowmask
    current ip   flowmask for unicast:   if-full
    current ipv6 flowmask for unicast:    null  

   Ändern Sie die Flussmaske nach Bedarf (interface-full flow Stichwort legt die maximal verwendeten TCAM-Einträge fest):

   6500(config)#mls flow ip ?
     interface-destination         interface-destination flow keyword
     interface-destination-source  interface-destination-source flow keyword
     interface-full                interface-full flow keyword
     interface-source              interface-source only flow keyword

5. Überprüfen Sie die Alterungs-Timer. Es gibt drei verschiedene Timer für Netflow TCAM-Alterung: Normal, schnell und lang.
   • Der normale Timer wird verwendet, um inaktive TCAM-Einträge zu löschen. Standardmäßig werden alle Einträge gelöscht, die in 300 Sekunden nicht zugeordnet werden.
   • Der Long-Timer wird verwendet, um Einträge in der Tabelle für mehr als 1.920 Sekunden (32 Minuten) zu löschen. Der Hauptzweck des Long-Timers besteht darin, falsche Statistiken zu verhindern, die durch Wrapper-Zähler verursacht werden.
   • Der Fast-Timer ist standardmäßig nicht aktiviert. Um den Fast-Timer zu aktivieren, verwenden Sie den globalen Befehl mls aging fast [{time seconds} [{threshold paket-count}]] global. Der Timer Fast löscht alle Einträge, die die konfigurierte Anzahl von Paketen innerhalb der konfigurierten Zeit nicht anzeigen.

   6500#show mls netflow aging
   
                enable timeout  packet threshold
                ------ -------  ----------------
   normal aging true      300         N/A
   fast aging   true       32         100
   long aging   true     1920         N/A

6. Ändern Sie die Alterungs-Timer:

   6500(config)#mls aging normal ?
     <32-4092> L3 aging timeout in second
   
   6500(config)#mls aging long ?
     <64-1920> long aging timeout
   
   6500(config)#mls aging fast ?
     threshold fast aging threshold
     time fast aging timeout value
   
   6500(config)#mls aging fast threshold ?
     <1-128> L3 fast aging theshold packet count
     time fast aging timeout value
   
   6500(config)#mls aging fast time ?
     <1-128> L3 fast aging time in seconds
     threshold fast aging threshold

   Wenn Sie den Timer Fast aktivieren, legen Sie den Wert zunächst auf 128 Sekunden fest. Wenn die Größe des MLS-Cache weiter über 32.000 Einträge ansteigt, wird die Einstellung reduziert, bis die Cache-Größe unter 32.000 bleibt. Wenn der Cache immer noch um mehr als 32.000 Einträge erweitert wird, wird der normale MLS-Alterungs-Timer verringert. Jeder Wert für den Alterungs-Timer, der nicht ein Vielfaches von acht Sekunden ist, wird auf das nächste Vielfaches von acht Sekunden eingestellt.

   6500(config)#mls aging fast threshold 64 time 30

Zugehörige Informationen

• Catalyst 6500 Version 12.2SX - Software-Konfigurationsleitfaden
• Einführung in Cisco IOS NetFlow - Technische Übersicht
• Technischer Support und Dokumentation - Cisco Systems