VXLAN avancé avec vPC : Configuration et vérification de L2VNI et L3VNI

Introduction

Ce document décrit comment configurer un TP avec des commutateurs Nexus 9Kv à l'aide d'Advanced Virtual eXtensible Local Area Network (VXLAN) avec Virtual Port-Channel (vPC).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Compréhension du routage et de la commutation, ainsi que de la technologie MPLS (Multiprotocol Label Switching)
• Expérience des principes de routage multicast tels que Rendezvous Point (RP) et Platform Independent Multicast (PIM)
• Compréhension de l'indicateur de famille d'adresses (AFI)/de l'indicateur de famille d'adresses suivante (SAFI) du protocole BGP

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Ce document fournit également des conseils sur le déploiement des travaux pratiques, ainsi que sur la vérification des configurations et des opérations.

Pour ces travaux pratiques, l'EveNg avec les commutateurs Nexus 9000V est utilisé à la fois pour les commutateurs Leaf et Spine.

Configurer

Diagramme du réseau

Configurations

• Les voisins sous-jacents et PIM sont déjà établis.

Commutateur LEAF :

Activation du protocole OSPF (Open Shortest Path First) sur le commutateur Leaf

Activation du protocole PIM sur le commutateur Leaf

Voisin OSPF

Commutateur Spine :

Activation de PIM sur le commutateur Spine

• Les voisins sous-jacents et PIM sont déjà établis.
• Les deux commutateurs Spine seront le RP Anycast identique pour l'ensemble du groupe de multidiffusion 224.0.0.0/4.
• L'unité de transmission maximale (MTU) est définie sur 9000/9216 sur les interfaces entre les commutateurs Leaf et Spine.

Commençons par configurer un vPC entre Leaf1 et Leaf2.

Étape 1. Fonctionnalité vPC et activation du domaine

• Activez la fonctionnalité vPC et le protocole LACP (Link Aggregation Control Protocol).
• Configurer le domaine vPC.
• Les interfaces de gestion 0 sont utilisées comme liaison keepalive homologue et Eth1/3 et Eth1/4 feront partie de la liaison homologue vPC (Port-Channel 1).
• Assurez-vous que la commande peer-switch est configurée pour partager une adresse MAC commune avec les commutateurs descendants.

Activation de la fonctionnalité sur le commutateur Leaf

Activation de vPC sur le commutateur leaf 1

Activation de vPC sur le commutateur leaf 2

Étape 2. Affectation des membres de port

• Attribuez le membre du port au groupe de canaux et incluez-les dans le vPC. Dans ce cas, deux vPC sont utilisés. vPC 20 et vPC 10.

Attribution du canal de port sur le commutateur leaf 1

Attribution du canal de port sur le commutateur leaf 2

• Ici, un vPC est créé et les homologues commencent à échanger des messages de test d'activité afin de vérifier la disponibilité.

État vPC sur le commutateur leaf 1

État vPC sur le commutateur leaf 2

• Les VLAN 10, 20, 500 sont déjà configurés et transmis sur les ports membres vPC et la liaison entre homologues vPC.

Étape 3 : configuration de l’adresse IP secondaire

• Lorsque vPC est inclus dans le fabric VXLAN, les deux homologues VTEP vPC commencent à utiliser des adresses IP virtuelles (VIP) comme adresses source au lieu de leurs adresses IP physiques (PIP). Cela signifie également que lorsque le VPN Ethernet BGP (EVPN) annonce les types de route 2 (annonce MAC/IP) et 5 (route-préfixe IP) par défaut, VIP est utilisé comme tronçon suivant. Dans notre exemple, l’interface de bouclage 0 est configurée avec deux adresses IP : 10.1.1.100/32 (VIP) en tant qu'IP secondaire et 1.1.1.51/32 (PIP) en tant qu'IP principale.
• Ici, une adresse IP commune est configurée comme adresse secondaire sous l'interface de bouclage 0.

IP secondaire sur le commutateur leaf 1

IP secondaire sur le commutateur leaf 2

Étape 4 : activation de VXLAN et des fonctionnalités associées

• Superposition de la virtualisation du réseau (nV) : active le VXLAN
• Fonction nV overlay EVPN - active le plan de contrôle EVPN
• Transfert de fabric fonctionnel - active Host Mobility Manager
• Fonction Virtual Network (VN)-segment-VLAN-based - active le VXLAN basé sur VLAN

Fonctionnalités du commutateur Leaf

Fonctionnalités du commutateur Spine

• Étant donné que la colonne vertébrale n'exige pas de connaissance des informations VLAN du client, les fonctionnalités de segment VLAN et de fabric n'ont pas besoin d'être activées.

Étape 5 : activation du voisinage BGP

• Le protocole BGP entre les commutateurs Leaf et Spine doit être activé. Le dos servira de réflecteur de route dans les travaux pratiques.
• Bien qu'il soit facultatif de configurer le réflecteur de route (RR), dans un souci d'évolutivité, Cisco recommande le RR.

Activation du protocole BGP sur le commutateur Leaf

Activation du protocole BGP sur le commutateur Spine

État BGP sur le commutateur Leaf

État BGP sur le commutateur Spine

Étape 6 : activation du contexte VRF sur les commutateurs Leaf VRF sépare le trafic client et facilite la communication entre deux L2VNI distincts via L3VNI.

• Attribuez L3VNI 50000 sous VRF TENANT1.

Allocation L3VNI

Étape 7 : configuration de l’interface virtuelle de réseau (NVE), de l’identificateur VXLAN (VNI) et du VLAN

• Configurez l'interface NVE en utilisant le bouclage 0 comme source. Définissez le groupe de multidiffusion pour chaque VNI, où le trafic de diffusion de couche 2, de monodiffusion inconnue et de multidiffusion (BUM) sera acheminé, puis associez les ID VNI 100010 et 100020 à l'interface NVE. L'en-tête VXLAN contient les informations que le VNI utilise afin d'identifier les segments VXLAN auxquels il appartient.
• Le L3VNI 50000 est lié à l'instance VRF (lors de son envoi au commutateur spine, le VNI 50000 était attaché dans la table VRF).
• La commande host-reachability protocol BGP active la famille d'adresses EVPN dans le tunnel VXLAN, ce qui signifie que les adresses MAC et les adresses IP sont apprises via le protocole BGP dans le plan de contrôle et non dans le plan de données.
• Configurez suppress-arp sous l'interface NVE.
• Connectez les VLAN de couche 2 et de couche 3 au VNI approprié.

Protocole ARP (Suppress-Address Resolution Protocol) :

Le plan de contrôle EVPN Multi-Protocol (MP)-BGP offre une amélioration appelée suppression ARP afin de réduire l'inondation du réseau provoquée par le trafic de diffusion des requêtes ARP. Chaque VTEP de VNI conserve une table cache de suppression ARP pour les hôtes IP connus et les adresses MAC qui leur correspondent dans le segment VNI lorsque la suppression ARP est activée pour ce VNI. Son VTEP local intercepte la requête ARP et recherche l'adresse IP résolue par ARP dans sa table de cache de suppression ARP chaque fois qu'un hôte final du VNI soumet une requête ARP pour une autre adresse IP d'hôte final. Au nom de l’hôte d’extrémité distant, le VTEP local envoie une réponse ARP s’il détecte une correspondance. La réponse ARP fournit ensuite à l’hôte local l’adresse MAC des hôtes distants. La requête ARP est diffusée aux autres VTEP dans le VNI si le VTEP local n'a pas l'adresse IP résolue par ARP dans sa table de suppression ARP. Pour la première requête ARP à un hôte réseau silencieux, cette diffusion ARP peut avoir lieu.

Interface NVE

Mappage VLAN à VLAN-Segment

• En envoyant un message de jointure PIM au Spine, l'interface NVE rejoint les groupes de multidiffusion 239.0.0.10 et 239.0.0.20, respectivement, dès qu'elle démarre.
• Vous pouvez voir d'autres tables (S, G) également (1.1.1.54,239.0.0.20) et (10.1.1.100, 239.0.0.10/239.0.0.20) dans l'image et celles-ci sont déjà enregistrées avec Spine à partir de différents commutateurs Leaf.

Table Mroute

Étape 8 : activation de l’instance EVPN

• Activez l'instance EVPN avec la famille d'adresses pour EVPN et VRF sous BGP.

Instance EVPN

• Le seul but de route-map REDIST est de tout autoriser.
• À l'aide de la commande redistribute direct, les routes connectées compatibles VRF sont promues en MP-BGP (routes de type 5).
• La configuration EVPN affichée ci-dessus est identique à l'instruction network utilisée par BGP afin d'annoncer les routes MAC (routes de type 2).

Étape 9 : configuration de l’interface virtuelle de commutateur (SVI) pour chaque VLAN de l’hôte final sous VRF

• Sur chaque commutateur leaf, l'interface SVI est configurée pour le VLAN configuré localement et une interface SVI pour le VLAN L3VNI afin d'obtenir la base d'informations de routage symétrique (RIB).

RIB symétrique :

• Lorsque l’hôte d’extrémité envoie le paquet de données à un autre réseau et qu’il le reçoit au commutateur Leaf, il est d’abord traité dans L2VNI, puis placé dans L3VNI à l’aide de VRF et envoyé au commutateur Leaf distant.
• Remote Leaf reçoit d’abord les paquets dans la table VRF à l’aide du routage, puis établit un pont vers L2VNI et les envoie à l’hôte final.
• De cette manière, le routage symétrique (B-R-R-B) est réalisé.

Interfaces VLAN

• La commande IP forward sous le VLAN 500 est utilisée pour activer le transfert de couche 3 pour tous les VXLAN. Il n'est pas nécessaire de configurer l'adresse IP, car elle traite simplement le paquet de la table L2VNI vers la table L3VNI.

Apprentissage des routes VPNv4 BGP pour VRF TENANT1

• L'adresse IP de chaque VLAN sera commune à toutes les interfaces SVI de tous les commutateurs Leaf. Il s'agit de l'adresse IP anycast, utilisée dans la gestion de la mobilité, où l'extrémité peut communiquer avec un autre hôte de manière transparente sans aucune interruption.

Étape 10 : activation de l’adresse MAC de la passerelle anycast de transfert de fabric pour l’hôte final

• Elle assure une redondance transparente de la passerelle de couche 3 et un transfert optimisé pour les périphériques connectés au fabric.
• L'adresse MAC de la passerelle Anycast est une adresse MAC cohérente à l'échelle mondiale utilisée pour toutes les passerelles de couche 3 d'un fabric.
• Le concept est identique à celui utilisé dans le protocole FHRP (First Hop Redundancy Protocol), où chaque groupe reçoit un MAC virtuel.

Activation du transfert de fabric 

Étape 11 : activation du VLAN d’accès/trunk sur les ports membres

Commutateur vPC :

Activation des ports agrégés sur l'interface membre vPC

Commutateur non vPC :

Activation des ports trunk vers l'interface membre non vPC

Vérification

• Vérifiez la table d'adresses ARP et MAC.

Table ARP et MAC sur le commutateur LEAF 1

Table ARP et MAC sur le commutateur LEAF 2

• Les deux homologues gèrent les entrées ARP.
• Vérifiez l'état de l'interface virtuelle du réseau (NVI).

Commutateur vPC :

Homologues NVE sur commutateur vPC

Commutateur non vPC :

Homologues NVE sur commutateur non vPC

• Ici, vous remarquerez que l'adresse IP de l'homologue est 10.1.1.100 au lieu de l'adresse IP de bouclage principale, de sorte que le paquet de retour sera routé pour cette adresse IP vers n'importe quel commutateur vPC.
• Vérifiez les routes EVPN BGP.

BGP l2route EVPN MAC-IP

BGP l2route EVPN MAC

Résumé EVPN BGP

Routes EVPN BGP

• Il est courant de se demander comment les commutateurs Leaf acquièrent les entrées MAC pour les hôtes distants. Ce processus est facilité par Gratuitous ARP. Lorsqu’un port réseau est activé, il envoie immédiatement une requête ARP afin de vérifier l’unicité de l’adresse IP. Chaque commutateur Leaf enregistre ensuite l'adresse MAC et l'inclut dans un paquet de mise à jour BGP. Cela permet aux autres commutateurs Leaf de mettre à jour leurs tables d’adresses MAC respectives en conséquence. Mais il peut y avoir un cas où l'hôte final ne génère pas d'ARP Gratuite (hôte silencieux), et dans ce cas, la requête ARP sera diffusée au terminal et comme il s'agit d'une requête de diffusion, le commutateur Leaf générera la requête de multidiffusion au groupe respectif pour le VNI particulier. Dans ce cas, il s'agit de 239.0.0.10 et 239.0.0.20.

• Envoie une requête ping de l’hôte 1 à l’hôte 3 au sein du même VNI et examine la capture.

Envoi d’une requête ping de HOST-1 vers HOST-3

Paquet ICMP (Internet Control Message Protocol) sur le VXLAN :

Capture Wireshark montrant un paquet de requête ICMP transitant par L2VNI 10010

• Comme vous pouvez le voir, l’adresse IP source est 10.1.1.100, avec le port 4789 comme destination UDP.
• Comme il s’agit d’une communication intra-VNI, le VLAN 10 utilise le VNI 100010 et le VLAN 20 utilise le VNI 1000.
• Envoie une requête ping de l’hôte 1 vers l’hôte 4 avec des VNI différents et analyse la capture.

Envoi d’une requête ping de HOST-1 vers HOST-4

Paquet ICMP sur le VXLAN :

Capture Wireshark montrant un paquet de requête ICMP transitant par L3VNI 50000

• Comme il s’agit d’une communication inter-VNI, le L3VNI 50000 sera utilisé.
• Recherchez l'hôte final dans la table ARP.

Entrées ARP HOST-1

Entrées ARP HOST-2

Entrées ARP HOST-3

Entrées ARP HOST-4

Envoi d’une requête ping de HOST-4 vers tous les autres hôtes finaux