Limitación de la plataforma ASR1002 con el IPSec, Netflow, NBAR

Introducción

Este documento describe el problema con la producción en la plataforma ASR1002 con la visibilidad y el control (AVC) de la aplicación configurados junto con la característica del IPSec en el router.

Antecedentes

Según la documentación CCO, ASR10002 proporciona la producción del 10 gbps para el tráfico de datos normales, 4 Gbps con la característica del IPSec habilitada. Pero hay una advertencia asociada a la producción en la plataforma ASR1002. El Netflow y el NBAR son dos características que consume muchos recursos del procesador del flujo de Quantum (QFP) y reduce así el cabability del indicador luminoso LED amarillo de la placa muestra gravedad menor del Encapsulating Security Payload (ESP) para procesar más tráfico y así la reducción de la producción de general del sistema. Con la configuración AVC junto con el IPSec, la producción total de la plataforma se puede degradar seriamente y puede hacer frente a la pérdida de tráfico enorme.

Problema: Limitación de la plataforma ASR1002 con el IPSec, Netflow, NBAR

El problema era inicial notada cuando el ancho de banda fue actualizado con el proveedor y prueba era del ancho de banda se realiza. El paquete de bytes 1000 fue enviado inicialmente, que fue perfectamente multa, después la prueba fue realizada con 512 paquetes de bytes después de lo cual él notó casi la pérdida de tráfico del 80%. Refiera a esta topología de la prueba de laboratorio:

Funcione con estas características: 

•  DMVPN sobre el IPSec
•  Netflow
•  NBAR (como parte política de calidad de servicio (QoS) de la declaración de coincidencia)

Configuración

crypto isakmp policy 1
 encr 3des
 group 2
crypto isakmp policy 2
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key cisco123 address 0.0.0.0 
crypto ipsec security-association replay disable
crypto ipsec transform-set remoteoffice-vpn esp-3des esp-sha-hmac 
 mode tunnel
crypto ipsec transform-set IPTerm-TransSet esp-3des esp-sha-hmac 
 mode tunnel
crypto ipsec profile IPTerminals-VPN
 set transform-set IPTerm-TransSet 
crypto ipsec profile vpn-dmvpn
 set transform-set remoteoffice-vpn
!
<snip>
class-map match-any Test
 match ip precedence 2 
 match ip dscp af21 
 match ip dscp af22 
 match ip dscp af23 
 match access-group name test1
 match protocol ftp
 match protocol secure-ftp
!
policy-map test
<snip>
!
interface Tunnel0
 bandwidth 512000
 ip vrf forwarding CorpnetVPN
 ip address 10.1.1.1 255.255.255.0
 no ip redirects
 ip mtu 1350
 ip flow ingress
 ip nhrp authentication 1dcBb
 ip nhrp map multicast dynamic
 ip nhrp network-id 1000
 ip nhrp holdtime 600
 ip nhrp shortcut
 ip nhrp redirect
 ip virtual-reassembly max-reassemblies 256
 ip tcp adjust-mss 1310
 ip ospf network point-to-multipoint
 ip ospf hello-interval 3
 ip ospf prefix-suppression
 load-interval 30
 qos pre-classify
 tunnel source Loopback0
 tunnel mode gre multipoint
 tunnel key 1234
 tunnel protection ipsec profile vpn-dmvpn
!
int gi 0/1/0
bandwidth 400000
 ip address 12.12.12.1 255.255.255.252
 load-interval 30
 negotiation auto
 ip flow ingress
 service-policy output PM-1DC-AGGREGATE
!

El Dynamic Multipoint VPN (DMVPN) está entre el dos Routers ASR1k. El tráfico fue generado del IXIA al IXIA a través de la nube DMVPN con el tamaño de paquetes de 512 bytes @ 50000 pps. Otra secuencia se configura para el tráfico del expedited forwarding (EF) del IXIA al IXIA

Con la secuencia antedicha, notamos la pérdida de tráfico en ambas secuencias para hasta casi 30000 pps. 

‘Observaciones’

No había mucho las caídas de resultados que incrementaban y no mucho cae visto en la clase EF u otras clases excepto de la clase predeterminada de la servicio-directiva.

Los descensos encontrados en QFP usando los descensos de las estadísticas activas del qfp del hardware de plataforma de la demostración y notado esos descensos incrementaban rápidamente.

RTR-1#show platform hardware qfp active statistics drop
-------------------------------------------------------------------------
Global Drop Stats Packets Octets
-------------------------------------------------------------------------
IpsecInput 300010 175636790 
IpsecOutput 45739945 23690171340 
TailDrop 552830109 326169749399 

RTR-1#
RTR-1#show platform hardware qfp active statistics drop
-------------------------------------------------------------------------
Global Drop Stats Packets Octets 
-------------------------------------------------------------------------
IpsecInput 307182 179835230 
IpsecOutput 46883064 24282257670 
TailDrop 552830109 326169749399 

RTR-1#

Descensos más futuros del IPSec fueron marcados para saber si hay QFP usando los descensos activos de los datos del IPSec de la característica del qfp del hardware del comando show platform

RTR-1#show platform hardware qfp active feature ipsec data drops
------------------------------------------------------------------------
Drop Type Name Packets 
------------------------------------------------------------------------

 28 IN_PSTATE_CHUNK_ALLOC_FAIL 357317


 54 OUT_PSTATE_CHUNK_ALLOC_FAIL 51497757
 66 N2_GEN_NOTIFY_SOFT_EXPIRY 4023610

RTR-1#

Fue notado que el contador de caídas para IN_PSTATE_CHUNK_ALLOC_FAIL contrario correspondía con el contador de IpsecInput del valor en los descensos QFP y lo mismo con IpsecOutput que correspondía con con OUT_PSTATE_CHUNK_ALLOC_FAIL al revés.

Este problema es considerado debido al defect# CSCuf25027 del software.

Solución

 El Workaround a este problema es inhabilitar la característica del Netflow y del Reconocimiento de aplicaciones basadas en la red (NBAR) en el router. Si usted quiere funcionar con todas las características y tener mejor producción, después la opción es mejor actualizar a ASR1002-X o a ASR1006 con el ESP-100.