Configuración e implementación de un gráfico de servicios de dos nodos con ASA Multi-Context y NetScaler 1000V

Introducción

Este documento describe cómo configurar e implementar un gráfico de servicios de dos nodos dentro de la plataforma Cisco Application Centric Infrastructure (ACI). Los dos dispositivos que se utilizan en el gráfico de servicios son un Cisco Adaptive Security Appliance (ASA) físico que se ejecuta en modo transparente y un dispositivo virtual Citrix NetScaler 1000V. 

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento de estos temas antes de intentar la configuración que se describe en este documento:

• Fabric de Cisco ACI que constan de dos switches de columna y dos switches de hoja
  
  
• Dominios gestionados por máquinas virtuales (VM) de Cisco
  
  
• Cisco ASA
  
  
• Dispositivos virtuales NetScaler 1000V

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software y hardware.

• Un fabric ACI que consta de dos switches de columna y dos switches de hoja que ejecutan código versión 1.1(4e) o posterior, y el paquete de dispositivos versión 1.2 o posterior
  
  
• Dominio de VM configurado dentro de la ACI para VMWare
  
  
• Un ASA físico con dos conexiones (una conexión a cada switch hoja)
  
  
• Dispositivo virtual NetScaler 1000V implementado en el vCenter VMWare
  
  
• Un Cisco Application Policy Infrastructure Controller (APIC)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

En esta sección se describe cómo configurar los diversos componentes que participan en esta implementación.

Configuración del ASA

Esta sección describe cómo completar la configuración en el ASA.

Habilitación del soporte multicontexto en ASA

Para crear varios contextos en el ASA, debe habilitar la función. Inicie sesión en el ASA e ingrese este comando en el modo Configuración:

ciscoasa(config)#

 mode multiple

A continuación, se le pedirá que vuelva a cargar. Una vez que el dispositivo se recarga, puede continuar creando el contexto Usuario.

Nota: Se debe crear un contexto Admin antes de los contextos de usuario. Este documento no describe cómo crear el contexto Admin, sino más bien el contexto User. Para obtener más información sobre cómo crear el contexto de administración, refiérase a la sección Configuración de Contextos Múltiples de la Guía de Configuración de CLI de Cisco ASA Series, 9.0.

Configure el contexto de usuario en ASA

Para crear el contexto de usuario en el ASA, ingrese este comando desde el contexto del sistema:

ciscoasa/admin# changeto context sys
ciscoasa(config)# context 

jristain    <--- This is the name of the desired context

Creating context 'jristain'... Done. (5)
ciscoasa(config-ctx)# allocate-interface Management0/1

ciscoasa(config-ctx)# config-url disk0:/

jristain

.cfg   

<--- "context-name.cfg"

WARNING: Could not fetch the URL disk0:/jristain.cfg
INFO: Creating context with default config

Esta configuración crea el contexto, asigna la interfaz de administración para su uso en este contexto y especifica una ubicación para el archivo de configuración. Ahora debe ingresar este contexto para configurar el bootstrap mínimo necesario para que el APIC pueda conectarse.

Configure la dirección IP de administración para el contexto de usuario

Una vez creado el contexto de usuario, puede cambiar a ese contexto y configurar la dirección IP de administración en la interfaz asignada. Ingrese estos comandos:

ciscoasa(config-ctx)# changeto context jristain   <---- 

Drops into the user context

ciscoasa/jristain(config)# interface Management0/1
ciscoasa/jristain(config-if)# ip address 192.168.20.10 255.255.255.128
ciscoasa/jristain(config-if)# nameif management
INFO: Security level for "management" set to 0 by default.
ciscoasa/jristain(config-if)# security-level 100
ciscoasa/jristain(config-if)# exit
ciscoasa/jristain(config)# route management 0.0.0.0 0.0.0.0 192.168.20.1
ciscoasa/jristain(config)# exit
ciscoasa/jristain# copy running-config startup-config

Nota: La entrada name debe ser management porque es la expectativa del paquete del dispositivo. Si la entrada nameif contiene caracteres adicionales, verá fallas en la implementación del dispositivo L4-L7 en el APIC.

Configure el Bootstrap requerido para el APIC

Para conectar el APIC al ASA, se requiere una configuración mínima. Esto incluye el servidor HTTP y una cuenta de usuario para el APIC. Utilice esta configuración en el contexto del usuario:

ciscoasa/jristain(config)#username 

<username>

 password 

<password>

ciscoasa/jristain(config)#http server enable
ciscoasa/jristain(config)#http 0.0.0.0 0.0.0.0 management

Nota: Introduzca el nombre de usuario y la contraseña que desee en las áreas <username> y <password>.

Configuración del APIC

Esta sección describe cómo completar la configuración en el APIC.

Configure los dominios de puente necesarios

Hay tres dominios de puente (BD) necesarios para implementar un gráfico de servicios de dos nodos.

Utilice esta información para configurar el BD para la interfaz ASA externa (consumidor):

• Unidifusión Desconocida L2 - Inundación
  
  
• Inundación ARP - Habilitado
  
  
• La subred se puede configurar para actuar como la gateway predeterminada para la interfaz externa de NetScaler con Unicast Routing Enabled

Utilice esta información para configurar el BD que se utiliza para conectar los dos dispositivos:

• Unidifusión Desconocida L2 - Inundación
  
  
• Inundación ARP - Habilitado
  
  
• Ruteo Unicast - Deshabilitado

Configurar los grupos de terminales necesarios

El gráfico de servicios requiere la configuración de dos grupos de terminales (EPG): un consumidor y un proveedor. El EPG del consumidor debe utilizar el BD que se conecta a la interfaz ASA externa. El EPG del proveedor debe utilizar un BD que se conecte a los servidores finales.

Agregar el contexto de administración como dispositivo L4-L7

Debe agregar los contextos administrador y usuario de ASA al APIC. Para completar esto, navegue hasta Arrendatario > Servicios L4-L7 > Dispositivos L4-L7, haga clic con el botón derecho del ratón y seleccione Crear un Dispositivo L4-L7, y luego complete estos pasos:

1. Haga clic en la casilla de verificación Administrada en el área General, si aún no está habilitada.
   
   
2. Ingrese el nombre del dispositivo.
   
   
3. Seleccione el Tipo de servicio en el menú desplegable.
   
   
4. Elija el tipo de dispositivo (FÍSICO o VIRTUAL).
   
   
5. Seleccione el Dominio físico en el menú desplegable.
   
   
6. Elija el Modo.
   
   
7. Seleccione CISCO-ASA-1.2 en el menú desplegable Device Package.
   
   
8. Seleccione el modelo ASA en el menú desplegable.
   
   
9. Elija el tipo de función (GoThrough es Transparent mode y GoTo es Routed mode).
   
   
10. Elija una opción APIC to Device Management Connectivity en el área Connectivity.
    
    
11. Introduzca su nombre de usuario y contraseña en el área Credenciales.
    
    
12. Ingrese la dirección IP del contexto Admin en el campo Management IP Address (Dirección IP de administración) (junto con el puerto) en el área Device 1.
    
    
13. Cree una interfaz física, denle un nombre, elija el grupo de políticas de interfaz que utiliza el ASA y, a continuación, seleccione Proveedor y consumidor.
    
    
14. Introduzca la misma información que utilizó para el área Dispositivo 1 en el área Clúster. Cree dos interfaces de clúster (un consumidor y un proveedor) que apunten al mismo canal de puerto.
    
    

    Nota: Puede finalizar el uso del asistente en este momento. No es necesario que configure ninguna de las informaciones de failover.

15. Verifique que el dispositivo sea estable y que no haya fallas:
    
    

Configuración de los Parámetros de Port-Channel

Después de registrar el dispositivo con el fabric, el APIC puede enviar la configuración a través de los parámetros del dispositivo. Después del registro, primero debe configurar el canal de puerto que conecta el ASA a los switches de hoja en un canal de puerto virtual (vPC).

Para configurar el canal de puerto, navegue hasta el dispositivo que creó y haga clic en la pestaña Parámetros en la esquina superior del panel de trabajo. Haga clic en el icono del lápiz para modificar los parámetros:

Aparece la ventana Editar parámetros de clúster. Haga clic en PortChannel para limitar el alcance de la opción. Expanda la carpeta Port Channel Member y complete las Opciones de Configuración. A continuación se explica cada opción:

• Channel Group ID: en el campo Value, introduzca la ID de PC que desea asignar a las interfaces en el ASA (se admiten del 1 al 48).
  
  
• Interface: En el campo Value, ingrese la interfaz en el ASA que desea asignar al grupo de canales.

Repita este proceso para cada interfaz que desee asignar:

Una vez completada, debería ver una creación de canal de puerto en el ASA en el contexto del sistema. Para verificar esto, acceda al contexto del sistema e ingrese el comando show port-channel summary:

ciscoasa# 

show port-channel summary

Flags:  D - down        P - bundled in port-channel
        I - stand-alone s - suspended
        H - Hot-standby (LACP only)
        U - in use      N - not in use, no aggregation/nameif
        M - not in use, no aggregation due to minimum links not met
        w - waiting to be aggregated
Number of channel-groups in use: 2
Group  Port-channel  Protocol  Span-cluster  Ports
------+-------------+---------+------------+-----------------------

27     Po27(N)           LACP          No     Gi0/4(P)   Gi0/5(P)

Agregar el contexto de usuario como dispositivo L4-L7

Debe registrar el contexto de usuario como dispositivo L4-L7 en el fabric. Navegue hasta Arrendatario > Servicios L4-L7 > Dispositivos L4-L7, haga clic con el botón derecho del ratón y seleccione Crear un dispositivo L4-L7 y, a continuación, complete estos pasos:

1. Haga clic en la casilla de verificación Administrada en el área General, si aún no está habilitada.
   
   
2. Ingrese el nombre del dispositivo.
   
   
3. Seleccione el Tipo de servicio en el menú desplegable.
   
   
4. Elija el tipo de dispositivo.
   
   
5. Seleccione el Dominio físico en el menú desplegable.
   
   
6. Elija el Modo.
   
   
7. Seleccione CISCO-ASA-1.2 en el menú desplegable Device Package.
   
   
8. Seleccione el modelo ASA en el menú desplegable.
   
   
9. Elija una opción APIC to Device Management Connectivity en el área Connectivity.
   
   
10. Elija el tipo de función (GoThrough es Transparent mode y GoTo es Routed mode).
    
    
11. Introduzca su nombre de usuario y contraseña en el área Credenciales.
    
    
12. Ingrese la dirección IP del contexto de usuario en el campo Management IP Address (Dirección IP de administración) (junto con el puerto) en el área Device 1.
    
    
13. Cree una interfaz física, denle un nombre, elija el grupo de políticas de interfaz que utiliza el ASA y, a continuación, seleccione Proveedor y consumidor.
    
    
14. Introduzca la dirección IP de administración del contexto Admin (junto con el puerto) en el área Cluster. Cree dos interfaces de clúster (un consumidor y un proveedor) que apunten al mismo canal de puerto.
    
    

    Nota: Puede finalizar el uso del asistente en este momento. No es necesario que configure ninguna de las informaciones de failover.

15. Verifique que el dispositivo sea estable y que no haya fallas:
    
    

Agregue NetScaler 1000V como dispositivo L4-L7

El segundo nodo de este ejemplo de configuración es un NetScaler 1000V. NetScaler proporciona funcionalidad de balanceo de carga a los servidores conectados. También debe registrar este dispositivo en el APIC. Navegue hasta Arrendatario > Servicios L4-L7 > Dispositivos L4-L7, haga clic con el botón derecho del ratón y seleccione Crear un dispositivo L4-L7 y, a continuación, complete estos pasos:

1. Haga clic en la casilla de verificación Administrada en el área General, si aún no está habilitada.
   
   
2. Ingrese el nombre del dispositivo.
   
   
3. Seleccione el tipo de servicio en el menú desplegable (NetScaler es un ADC o un controlador de suministro de aplicaciones).
   
   
4. Elija el tipo de dispositivo.
   
   
5. Seleccione el dominio VM (si es virtual) en el menú desplegable.
   
   
6. Elija el Modo.
   
   
7. Seleccione Cisco-NetScaler1KV-1.0 en el menú desplegable Device Package.
   
   
8. Seleccione el modelo en el menú desplegable (Virtual Appliance es el NetScaler-VPX)
   
   
9. Elija una opción APIC to Device Management Connectivity en el área Connectivity.
   
   
10. Introduzca su nombre de usuario y contraseña en el área Credenciales.
    
    
11. Ingrese la dirección IP del contexto Admin en el campo Management IP Address (Dirección IP de administración) (junto con el puerto) en el área Device 1. Elija la VM (si es virtual).
    
    
12. Cree una interfaz externa en el área Interfaces de dispositivo, y elija un adaptador de red sin utilizar.

    Nota: El adaptador de red 1 se utiliza para fines de administración, por lo que no lo utilice.

13. Cree una interfaz interna en el área Interfaces de dispositivo, y elija un adaptador de red no utilizado.
    
    
14. Introduzca la misma información que utilizó para el área Dispositivo 1 en el área Clúster. Cree dos interfaces de clúster (un consumidor y un proveedor).
    
    
    
    
15. Verifique que el dispositivo sea estable y que no haya fallas:
    
    

Creación de la plantilla de gráficos de servicios

Ahora que los dispositivos están registrados, puede crear una plantilla de gráficos de servicio. Navegue hasta Arrendatario > Servicios L4-L7 > Plantillas de Gráfico de Servicios L4-L7 > Crear Plantilla de Gráfico de Servicios L4-L7, y complete estos pasos:

1. Introduzca un nombre en el campo Nombre del gráfico.
   
   
2. Arrastre y suelte los dispositivos desde el área Device Clusters para que se implementen. Introduzca un nombre para cada uno.
   
   
3. Elija la función Perfil para cada dispositivo. Para NetScaler, este ejemplo utiliza Two-Arm (o modo en línea).
   
   

Implementar la plantilla de gráfico de servicios

Después de crear la plantilla, puede implementarla en los dispositivos. Vaya a Arrendatario > Servicios L4-L7 > Plantillas de gráficos de servicios L4-L7 > Plantilla de gráficos de servicios > Aplicar plantilla de gráfico de servicios.

En la pestaña Contrato, complete estos pasos:

1. Seleccione el EPG de consumidor en el menú desplegable EPG de consumidor / Red externa.
   
   
2. Seleccione el EPG del proveedor en el menú desplegable Proveedor EPG / Red externa.
   
   
3. Cree un nuevo contrato o elija uno que ya exista en el área Información del contrato.
   
   

En la pestaña Gráfico, complete estos pasos:

1. Seleccione el BD para la interfaz externa de ASA en el menú desplegable BD.
   
   
2. Seleccione el BD para la interfaz interna de ASA en el menú desplegable BD.
   
   
3. Seleccione el BD para la interfaz externa de NetScaler en el menú desplegable BD.
   
   
4. Seleccione el BD para la interfaz interna de NetScaler en el menú desplegable BD.
   
   

En la ficha Parámetros de ASA, introduzca los parámetros deseados. No se requiere ninguno de los parámetros de esta ficha.

En la ficha NetScaler Parameters, ingrese la configuración de NetScaler a través del asistente:

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Esta sección proporciona información que puede utilizar para resolver problemas de su configuración.

Errores conocidos

A continuación se indican dos fallos conocidos relacionados con las configuraciones que se describen en este documento:

• Advertencia sobre script: El cable es incorrecto o no está conectado al conector de interfaz:
  
  
  
  Para resolver este problema, asegúrese de que los parámetros del canal de puerto estén configurados y que el canal de puerto esté activo en el ASA. Refiérase a la sección Configurar los Parámetros de Port-Channel de este documento para obtener información sobre cómo verificarlo.
  
  Si la interfaz está activa, pero todavía ve estos errores, es probable que se deba al Id. de error de Cisco CSCuw56882. Este bug se corrige en el soporte 1.2.3 Device Package para la versión 1.2(x) del software ACI. Los paquetes del dispositivo pueden ser descargados aquí.
  
  
• Error de script principal: Error de conexión: Error de cliente 401: No autorizado:
  
  
  
  Para resolver este problema, asegúrese de que las credenciales adecuadas se aprovisionan en los dispositivos y se configuran correctamente en el APIC.