Exemple de configuration de la régulation de microflux des commutateurs de la gamme Catalyst 6500
Contenu
Introduction
Ce document décrit la réglementation de microflux sur les commutateurs de la gamme Catalyst 6500.
Conditions préalables
Conditions requises
Aucune spécification déterminée n'est requise pour ce document.
Components Used
Les informations de ce document sont basées sur un commutateur de la gamme Cisco Catalyst 6500 qui fonctionne sur un Supervisor Engine 720.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Informations générales
Voici un exemple d'utilisation à prendre en considération. Il est nécessaire que l'université limite chaque étudiant à une bande passante de 10 Mbits/s lorsqu'il utilise Internet. Si la réglementation agrégée est configurée, il y a une distribution inégale de la bande passante entre les étudiants. Microflow policer est mieux en mesure de nous aider à accomplir cette tâche.
Le contrôle de microflux aide les utilisateurs à contrôler le trafic en fonction des flux. Un flux est généralement défini par IP source (SRC-IP), IP de destination (DST-IP), IP SRC-DST, port SRC-DST ou interface SRC-DST. Voici un exemple :
Source 10.0.0.1 sending a tcp stream to 15.0.0.1 with a source tcp port of 50
and destination 2000
Source 10.0.0.1 sending a tcp stream to 15.0.0.2 with a source tcp port of 60
and destination 2000.
Si la classification est effectuée en fonction de la SRC-IP, le nombre de flux est égal à un. Si la classification est effectuée sur la base de l'IP DST, le nombre de flux est égal à deux. Si la classification est effectuée en fonction du port DST, le nombre de flux est égal à un.
Lorsque nous appliquons une stratégie de service sous une interface, soit l'interface physique, soit l'interface virtuelle de commutateur (SVI), la stratégie de service est programmée dans le matériel. La mémoire TCAM (Ternary Content Addressable Memory) de qualité de service (QoS) est utilisée pour stocker l'entrée. En outre, comme le commutateur doit se souvenir des flux, il stocke les informations de flux individuelles dans le matériel. Le TCAM NetFlow est utilisé à cette fin. Il existe donc deux endroits où vous pouvez vérifier la programmation dans le matériel : la TCAM de la liste de contrôle d'accès (ACL) et la TCAM NetFlow.
Puisque le même TCAM NetFlow est utilisé par d'autres fonctionnalités, telles que la traduction d'adresses de réseau (NAT), l'exportation de données NetFlow (NDE) et le protocole de communication Web Cache (WCCP), il est possible qu'il y ait un conflit dans la programmation du régulateur de microflux dans le matériel. Certains scénarios de conflit TCAM sont fournis à la fin de ce document.
Exemples de configuration
Exemple 1
Un commutateur de la gamme Cisco Catalyst 6500 est engagé dans le routage interVLAN. Les sources de trafic sont situées dans le VLAN 20, et ont les adresses IP suivantes : 20.20.20.2 et 20.20.20.3. Les deux sources essaient d'envoyer le trafic vers l'adresse IP 30.30.30.2, située dans le VLAN 30. L'objectif est d'allouer 100 Kbits/s de bande passante à chaque source.
- Créez et mappez une liste de contrôle d’accès dans une carte de classe afin de correspondre au trafic provenant de ces deux sources.
ip access-list ext vlan20_30
permit ip 20.20.20.0 0.0.0.255 30.30.30.0 0.0.0.255class-map POLICE_DIFF_SRC
match access-group name vlan20_30 - Appliquez le class-map dans un policy-map. Configurez le débit de données garanti (CIR) et les valeurs de rafale selon les besoins.
policy-map POLICE_DIFF_SRC
class POLICE_DIFF_SRC
police flow mask src-only 100000 3000 conform transmit exceed drop
Voici les options disponibles après le masque de flux de police :police flow mask ?
dest-only
full-flow
src-only - Appliquez la stratégie de service sous l'interface SVI d'entrée ou sous l'interface physique d'entrée. Si vous l'appliquez sous le VLAN d'interface, configurez mls qos vlan-based sous l'interface physique. Cela demande à Cisco IOS® de rechercher une stratégie sous le VLAN d'interface dès qu'un paquet atteint une interface de couche 2 dans un VLAN spécifique.
interface vlan 20
service-policy input POLICE_DIFF_SRC
Exemple 2
Il existe un commutateur de la gamme Catalyst 6500 engagé dans la commutation de couche 2 du trafic dans le même VLAN. Cet exemple montre comment restreindre le trafic qui provient de 10.10.10.2 et va vers 10.10.10.3 dans le VLAN à 100 Kbits/s de bande passante. Pour que le régulateur affecte le trafic commuté de couche 2, vous devez entrer la commande mls qos bridged sous l'interface VLAN 10.
ip access-list ext VLAN10
permit ip 10.10.10.0 0.0.0.255 10.10.10.0 0.0.0.255
class-map POLICE_SAME
match access-group name VLAN10
policy-map POLICE_SAME
class POLICE_SAME
police flow mask src-only 100000 3000 conform transmit exceed drop
int vlan 10
service-policy in POLICE_SAME
mls qos bridged
Vérification
Aucune procédure de vérification n'est disponible pour cette configuration.
Dépannage
- Entrez la commande show mls qos ip et vérifiez l'ID FL en regard du nom du régulateur. Si l'ID FL est 1, la stratégie est utilisée pour la réglementation de microflux.
6500#show mls qos ip
QoS Summary [IPv4]: (* - shared aggregates, Mod - switch module)
Int Mod Dir Class-map DSCP Ag Trust FL AgForward-By AgPoliced-By
Id Id
---------------------------------------------------------------------------
Fa3/3 1 In POLICE_SAM 0 0* dscp 1 11266001160 0
Voici quelques points intéressants basés sur ce résultat :
- La stratégie est mappée dans le matériel.
- L'interface sur laquelle elle est appliquée est Fa3/3.
- Si une carte de ligne (LC) compatible DFC (Distributed Forwarding Card) est présente dans le châssis, les stratégies QoS sont programmées séparément pour chaque carte DFC et PFC (Policy Feature Card). Le numéro du module indique l'entrée de la carte PFC/DFC dans le logement 1.
- Supervisor Engine 720 crée un ID d'agrégat (AgID) pour chaque régulateur d'agrégat créé. 1020 AgID sont les ID utilisables maximum, ce qui est une limitation matérielle. Ceci n'est pas pertinent pour le régulateur de microflux, mais est une commande utile pour le régulateur d'agrégation.
- Le champ d'approbation n'a aucune pertinence dans ce cas.
- ID FL=1, comme indiqué précédemment.
- Les commandes AgForward?By et AgPoliced-By ne sont pas utilisées pour calculer les paquets qui sont transmis ou abandonnés par le régulateur de microflux (il existe une commande distincte pour cela). Cependant, les mêmes compteurs sont utilisés pour calculer les paquets transmis/abandonnés par un régulateur d'agrégation.
- Entrez la commande show tcam int < vlan/or Physical interface> qos type1 ip afin de déterminer si la liste de contrôle d’accès est programmée dans le TCAM QoS.
6500#show tcam interface fa3/3 qos type1 ip
QOS Results: A - Aggregate Policing F - Microflow Policing
M - Mark T - Trust
U - Untrust
------------------------------------------------------
FT ip 10.10.10.0 0.0.0.255 10.10.10.0 0.0.0.255 ==> entry is
programmed correctly
MU ip any any - Vérifiez le résultat de la commande show mls NetFlow ip qos nowrap afin de découvrir si les flux sont installés dans le TCAM Netlflow.
6500#show mls NetFlow ip qos nowrap
Displaying NetFlow entries in Active Supervisor EARL in module 1
DstIP SrcIP Prot : SrcPort : DstPort Src i/f :AdjPtr Pkts
Bytes LastSeen QoS PoliceCount Threshold Leak Drop Bucket
------------------------------------------------------------------------------------------------------
0.0.0.0 0.0.0.0 0 :0 :0 --
0x0 140394
67383880 15:16:29 0x0 0 0 0
NO 0
0.0.0.0 10.10.10.2 0 :0 :0 --
0x0 227
108506 15:16:22 0x0 35996208 0 0 NO 3386
Dans cette sortie, vous pouvez voir que le flux (source uniquement) est installé dans le TCAM NetFlow et qu'il y a 35 996 208 paquets qui ont été contrôlés.
Problèmes possibles
Il est possible que la stratégie de service ne soit pas programmée dans le matériel dans ces scénarios. Voici quelques raisons possibles :
- Le nombre de régulateurs agrégés/microflux pouvant être configurés est limité par le matériel. Afin de réserver des ressources matérielles, la stratégie de service n'est pas programmée dans le matériel.
Entrez la commande show platform hardware Capacity qoscan afin de vérifier la disponibilité des contrôleurs.6500#show platform hardware capacity qos
QoS Policer Resources
Aggregate policers: Module Total Used %Used
1 1024 102 10%
6 1024 102 10%
Microflow policer configurations: Module Total Used %Used
1 64 32 50%
6 64 32 50% - En raison d'un conflit de masque de flux avec d'autres fonctionnalités configurées sous la même interface, le régulateur de microflux peut ne pas être en mesure de mettre en cache les flux dans le TCAM NetFlow.
Il est important de comprendre le concept de masque de flux. Afin de prendre en charge l'accélération matérielle de certaines fonctionnalités, il existe des TCAM dédiés qui sont utilisés pour installer certaines fonctionnalités. Il existe plusieurs fonctionnalités qui utilisent le même TCAM, telles que NAT WCCP NetFlow. Ils utilisent une TCAM, généralement appelée TCAM NetFlow, tandis que pour les fonctions telles que les listes de contrôle d'accès de sécurité, le routage basé sur des politiques (PBR) utilise la TCAM de l'ACL.
Pour le TCAM NetFlow, un masque de flux est nécessaire pour installer des entrées dans le matériel. Les masques de flux NetFlow déterminent la granularité des flux à mesurer. Des masques de flux très spécifiques génèrent un grand nombre d'entrées de table NetFlow et un volume important de statistiques à exporter. Les masques de flux moins spécifiques regroupent les statistiques de trafic en moins d'entrées de la table NetFlow et génèrent un volume de statistiques inférieur.
L'article Configuration de la table NetFlow décrit les fonctions de condition de masque de flux (prises en charge).
- Entrez la commande show fm summary et déterminez si l'interface est dans un état inactif. Un état Inactif indique que certaines fonctionnalités configurées sous l'interface ne peuvent pas être programmées dans le matériel. Les paquets reçus sur cette interface qui nécessitent cette fonctionnalité sont programmés dans le logiciel.
6500#show fm summary
Interface: Vlan13 is up
TCAM screening for features: INACTIVE inbound
TCAM screening for features: INACTIVE outbound
Interface: Vlan72 is up
TCAM screening for features: ACTIVE inbound
TCAM screening for features: ACTIVE outbound
Interface: Vlan84 is up
TCAM screening for features: ACTIVE inbound
TCAM screening for features: INACTIVE outbound - Entrez la commande show fm fie interface <> et déterminez si le microflow policer est configuré dans le matériel.
6500#show fm fie int vlan 10
Interface Vl10:
Feature interaction state created: Yes
Flowmask conflict status for protocol IP :
FIE_FLOWMASK_STATUS_SUCCESS
Flowmask conflict status for protocol OTHER :
FIE_FLOWMASK_STATUS_SUCCESS Interface Vl10 [Ingress]:
Slot(s) using the protocol IP : 1
FIE Result for protocol IP : FIE_SUCCESS_NO_CONFLICT
Features Configured : [empty] - Protocol : IP
FM Label when FIE was invoked : 66 Current FM Label : 66
Last Merge is for slot: 0 num# of strategies tried : 1
num# of merged VMRs in bank 1 = 0
num# of free TCAM entries in Bank1 = Unknown
num# of merged VMRs in bank 2 = 1
num# of free TCAM entries in Bank2 = Unknown
Slot(s) using the protocol OTHER : 1
FIE Result for protocol OTHER : FIE_SUCCESS_NO_CONFLICT
Features Configured : OTH_DEF - Protocol : OTHER
FM Label when FIE was invoked : 66
Current FM Label : 66
Last Merge is for slot: 0
Features in Bank1 = OTH_DEF
+-------------------------------------+
Action Merge Table
+-------------------------------------+
OTH_DEF RSLT R_RSLT COL
+-------------------------------------+
SB HB P 0
X P P 0
+-------------------------------------+
num# of strategies tried : 1
Description of merging strategy used:
Serialized Banks: FALSE
Bank1 Only Features: [empty]
Bank2 Only Features: [empty]
Banks Swappable: TRUE
Merge Algorithm: ODM
num# of merged VMRs in bank 1 = 1
num# of free TCAM entries in Bank1 = 32745
num# of merged VMRs in bank 2 = 0
num# of free TCAM entries in Bank2 = 32744 Interface Vl10 [Egress]:
No Features Configured
No IP Guardian Feature Configured
No IPv6 Guardian Feature Configured
IP QoS Conflict resolution configured, QoS policy name: POLICE_SAME
- Entrez la commande show fm summary et déterminez si l'interface est dans un état inactif. Un état Inactif indique que certaines fonctionnalités configurées sous l'interface ne peuvent pas être programmées dans le matériel. Les paquets reçus sur cette interface qui nécessitent cette fonctionnalité sont programmés dans le logiciel.
Autres commandes utiles
- Appliquer la stratégie
- Vérifier FL-ID=1 - show mls qos ip
- Vérifiez QoS TCAM - show tcam int <> qos type 1 ip
- Vérifier le TCAM NetFlow - show mls NetFlow ip qos module nowrap
- Vérifier la disponibilité des régulateurs - show platform hardware capacité fabric
- Rechercher le conflit de masque de flux (FM) - show log, show fm summary
- Vérifier les fonctionnalités configurées sous l'interface - show fm file interface
Historique de révision
| Révision | Date de publication | Commentaires |
|---|---|---|
1.0 |
26-Sep-2013 |
Première publication |
CommentairesContacter Cisco
- Ouvrir un dossier d’assistance
- (Un contrat de service de Cisco est requis)