Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

FHRP-Isolierung

Dual-L2/L3-POD-Interconnect

Multilayer-vPC für Aggregation und DCI

Zusätzliche Isolationskonfiguration

MACSec-Verschlüsselung

Überprüfen

FHRP-Isolierung

Zusätzliche Isolierung

MACSec-Verschlüsselung

Fehlerbehebung

Einsprüche

Zugehörige Informationen

Einführung

In diesem Dokument wird beschrieben, wie eine Layer 2 (L2) Data Center Interconnect (DCI) mit einem Virtual Port Channel (vPC) konfiguriert wird.

Voraussetzungen

Es wird davon ausgegangen, dass vPC und Hot Standby Routing Protocol (HSRP) bereits auf den Geräten konfiguriert sind, die in den in diesem Dokument beschriebenen Beispielen verwendet werden.

Hinweis: Link Aggregation Control Protocol (LACP) sollte für die vPC-Verbindung verwendet werden, die als DCI fungiert.

Tipp: Für die MACSec-Verschlüsselung ist eine LAN Advanced Services-Lizenz in Versionen vor Version 6.1(1) erforderlich, und es gelten Line Card-spezifische Einschränkungen. Weitere Informationen finden Sie im Abschnitt Richtlinien und Einschränkungen für Cisco TrustSec im Nexus NX-OS Security Configuration Guide der Cisco Nexus 7000-Serie, Version 6.x.

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- vPC

- HSRP

- Spanning Tree Protocol (STP)

- MACSec-Verschlüsselung (optional)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf einem Cisco Nexus Switch der Serie 7000, auf dem die Software Version 6.2(8b) ausgeführt wird.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

Der Zweck eines DCI besteht in der Erweiterung spezieller VLANs zwischen verschiedenen Rechenzentren, die L2-Adjacency für Server und Network-Attached Storage (NAS)-Geräte bieten, die durch große Entfernungen voneinander getrennt sind.

Der vPC bietet den Vorteil der STP-Isolierung zwischen den beiden Standorten (keine Bridge Protocol Data Unit (BPDU) über den DCI vPC), sodass Ausfälle in einem Rechenzentrum nicht an das Remote-Rechenzentrum weitergeleitet werden, da zwischen den Rechenzentren noch redundante Verbindungen bereitgestellt werden.

Hinweis: Der vPC kann verwendet werden, um maximal zwei Rechenzentren miteinander zu verbinden. Wenn mehr als zwei Rechenzentren miteinander verbunden werden müssen, empfiehlt Cisco die Verwendung von Overlay Transport Virtualization (OTV).

Ein DCI-vPC-EtherChannel wird in der Regel mit folgenden Informationen konfiguriert:

- First Hop Redundancy Protocol (FHRP)-Isolierung: Vermeiden Sie suboptimales Routing durch die Verwendung eines dedizierten Gateways für jedes Rechenzentrum. Die Konfigurationen variieren je nach Standort des FHRP-Gateways.

- STP-Isolierung: Wie bereits erwähnt verhindert dies die Ausbreitung von Ausfällen von einem Rechenzentrum in ein anderes.

- Broadcast-Sturmkontrolle: Diese Funktion dient dazu, die Menge an Broadcast-Datenverkehr zwischen den Rechenzentren zu minimieren.

- MACSec-Verschlüsselung (optional): Dadurch wird der Datenverkehr verschlüsselt, um ein Eindringen zwischen den beiden Einrichtungen zu verhindern.

Konfigurieren

Verwenden Sie die in diesem Abschnitt beschriebenen Informationen, um ein L2-DCI mit der Verwendung eines vPC zu konfigurieren.

Hinweis: Verwenden Sie das Command Lookup Tool (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

FHRP-Isolierung

In diesem Abschnitt werden zwei Szenarien beschrieben, für die die FHRP-Isolierung implementiert werden kann.

Dual-L2/L3-POD-Interconnect

Dies ist die Topologie, die in diesem Szenario verwendet wird:

In diesem Szenario wird das Layer 3 (L3)-Gateway auf demselben vPC-Paar konfiguriert und fungiert als DCI. Um das HSRP zu isolieren, müssen Sie eine Port Access Control List (PACL) für den DCI-Port-Channel konfigurieren und HSRP Gratuitous Address Resolution Protocols (ARPs) (GARPs) auf den Switched Virtual Interfaces (SVIs) für die VLANs deaktivieren, die sich über das DCI bewegen.

Hier ein Beispiel für eine Konfiguration:

ip access-list DENY_HSRP_IP

10 deny udp any 224.0.0.2/32 eq 1985

20 deny udp any 224.0.0.102/32 eq 1985

30 permit ip any any

interface <DCI-Port-Channel>

ip port access-group DENY_HSRP_IP in

interface Vlan <x>

no ip arp gratuitous hsrp duplicate

Hinweis: Die vorherige Konfiguration kann auch mit Nexus 9000-Switches verwendet werden.

Multilayer-vPC für Aggregation und DCI

Dies ist die Topologie, die in diesem Szenario verwendet wird:

In diesem Szenario ist das DCI auf seinem eigenen L2 Virtual Device Context (VDC) isoliert, und das L3-Gateway befindet sich auf einem Aggregation Layer-Gerät. Um das HSRP zu isolieren, müssen Sie eine VLAN Access Control List (VACL) konfigurieren, die den HSRP-Steuerungsdatenverkehr blockiert, und einen ARP-Inspektionsfilter, der die HSRP GARPs im L2 DCI-VDC blockiert.

Hier ein Beispiel für eine Konfiguration:

ip access-list ALL_IPs

10 permit ip any any

mac access-list ALL_MACs

10 permit any any

ip access-list HSRP_IP

10 permit udp any 224.0.0.2/32 eq 1985

20 permit udp any 224.0.0.102/32 eq 1985

mac access-list HSRP_VMAC

10 permit 0000.0c07.ac00 0000.0000.00ff any

20 permit 0000.0c9f.f000 0000.0000.0fff any

vlan access-map HSRP_Localization 10

match ip address HSRP_IP

match mac address HSRP_VMAC

action drop

statistics per-entry

vlan access-map HSRP_Localization 20

match ip address ALL_IPs

match mac address ALL_MACs

action forward

statistics per-entry

vlan filter HSRP_Localization vlan-list <DCI_Extended_VLANs>

feature dhcp

arp access-list HSRP_VMAC_ARP

10 deny ip any mac 0000.0c07.ac00 ffff.ffff.ff00

20 deny ip any mac 0000.0c9f.f000 ffff.ffff.f000

30 permit ip any mac any

ip arp inspection filter HSRP_VMAC_ARP vlan <DCI_Extended_VLANs>

Zusätzliche Isolationskonfiguration

Dieser Abschnitt enthält eine Beispielkonfiguration mit folgenden Merkmalen:

- Ermöglicht nur die Erweiterung der VLANs, die im Remote-Rechenzentrum benötigt werden.

- Isoliert das STP in jedem Rechenzentrum.

- Löscht den Broadcast-Datenverkehr, der mehr als 1 % der gesamten Verbindungsgeschwindigkeit beträgt.

Die Beispielkonfiguration ist wie folgt:

interface <DCI-Port-Channel>

switchport trunk allowed vlan <DCI_Extended_VLANs>

spanning-tree port type edge trunk

spanning-tree bpdufilter enable

storm-control broadcast level 1.0

Hinweis: Die Sturmkontrolle für Multicast-Datenverkehr kann ebenfalls konfiguriert werden, muss jedoch denselben Prozentsatz wie der Broadcast-Datenverkehr aufweisen.

MACSec-Verschlüsselung

Hinweis: Die in diesem Abschnitt beschriebene Konfiguration ist optional.

Verwenden Sie diese Informationen, um die MACSec-Verschlüsselung zu konfigurieren:

feature dot1x

feature cts

! MACSec requires 24 additional bytes for encapsulation.

interface <DCI-Port-Channel>

mtu 1524

interface <DCI-Physical-Port>

cts manual

no propagate-sgt

sap pmk <Preshared-Key>

Hinweis: Die Schnittstelle muss markiert werden, damit die MACSec-Autorisierung erfolgt.

Überprüfen

Verwenden Sie die in diesem Abschnitt beschriebenen Informationen, um sicherzustellen, dass Ihre Konfiguration ordnungsgemäß funktioniert.

FHRP-Isolierung

Geben Sie den Befehl show hsrp br in die CLI ein, um zu überprüfen, ob das HSRP-Gateway in beiden Rechenzentren aktiv ist:

!DC-1

N7K-A# show hsrp br

*:IPv6 group   #:group belongs to a bundle

P indicates configured to preempt.

|

Interface   Grp  Prio P State    Active addr      Standby addr     Group addr

Vlan10      10   120    Active   local            10.1.1.3         10.1.1.5

(conf)

!DC-2

N7K-C# show hsrp br

*:IPv6 group   #:group belongs to a bundle

P indicates configured to preempt.

|

Interface   Grp  Prio P State    Active addr      Standby addr     Group addr

Vlan10      10   120    Active   local            10.1.1.3         10.1.1.5

(conf)

Geben Sie diesen Befehl in die CLI ein, um den ARP-Filter zu überprüfen:

N7K-D# show log log | i DUP_VADDR

2015 Apr 10 21:16:45 N7K-A %ARP-3-DUP_VADDR_SRC_IP:  arp [7915]  Source address of

packet received from 0000.0c9f.f00a on Vlan10(port-channel102) is duplicate of local

virtual ip, 10.1.1.5

Wenn eine ähnliche Ausgabe angezeigt wird, sind die GARPs zwischen den beiden aktiven Gateways nicht ausreichend isoliert.

Zusätzliche Isolierung

Geben Sie den Befehl show spanning-tree root in die CLI ein, um zu überprüfen, ob der STP-Root nicht auf den DCI-Port-Channel zeigt:

N7K-A# show spanning-tree root

Root  Hello Max Fwd

Vlan                   Root ID          Cost  Time  Age Dly  Root Port

---------------- -------------------- ------- ----- --- ---  ----------------

VLAN0010          4106 0023.04ee.be01       0    2   20  15  This bridge is root

Geben Sie diesen Befehl in die CLI ein, um zu überprüfen, ob die Sturmkontrolle ordnungsgemäß konfiguriert ist:

N7K-A# show interface

counters storm-control

--------------------------------------------------------------------------------

Port        UcastSupp %     McastSupp %     BcastSupp %     TotalSuppDiscards

--------------------------------------------------------------------------------

Po103            100.00          100.00            1.00                     0

MACSec-Verschlüsselung

Geben Sie diesen Befehl in die CLI ein, um zu überprüfen, ob die MACSec-Verschlüsselung ordnungsgemäß konfiguriert ist:

N7K-A# show cts interface

CTS Information for Interface Ethernet3/41:

...

SAP Status:             CTS_SAP_SUCCESS

Version: 1

Configured pairwise ciphers: GCM_ENCRYPT

Replay protection: Enabled

Replay protection mode: Strict

Selected cipher: GCM_ENCRYPT

Current receive SPI: sci:e4c7220b98dc0000 an:0

Current transmit SPI: sci:e4c7220b98d80000 an:0

...

Fehlerbehebung

Derzeit sind keine spezifischen Informationen zur Fehlerbehebung für das FHRP oder zusätzliche Isolationskonfigurationen verfügbar.

Wenn für die MACSec-Konfiguration auf beiden Seiten der Verbindung kein Pre-Shared Key vereinbart wurde, wird eine ähnliche Ausgabe angezeigt, wenn Sie den Befehl show interface <DCI-Physical-Port> in die CLI eingeben:

N7K-A# show interface

Ethernet3/41 is down (Authorization pending)

admin state is up, Dedicated Interface

Hinweis: Der Schlüssel muss auf beiden Seiten der Verbindung identisch sein.

Einsprüche

Hinweis: Hinweise zu den verwandten Produkten sind nicht enthalten.

Diese Vorbehalte beziehen sich auf die Verwendung eines DCI auf dem Cisco Nexus Switch der Serie 7000:

- Cisco Bug ID CSCur69114 - HSRP PACL Filter Broken - Pakete werden in Layer 2-Domäne geflutet. Dieser Fehler wurde nur in der Softwareversion 6.2(10) gefunden.

- Cisco Bug ID CSCut75457 - HSRP VACL Filter Broken. Dieser Fehler wird nur in Softwareversionen 6.2(10) und 6.2(12) gefunden.

- Cisco Bug-ID CSCut43413 - DCi: HSRP Virtual MAC Flapping durch FHRP Isolation PACL. Dieser Fehler ist auf eine Hardware-Einschränkung zurückzuführen.

Zugehörige Informationen

- Rechenzentrums-Designs: Data Center Interconnect

- Überlegungen zur Einführung und Bereitstellung der OTV-Technologie

- Designüberlegungen für Cisco Virtualized Workload Mobility

- Technischer Support und Dokumentation - Cisco Systems