Sommario

Introduzione

Premesse

Configurazione

Esempio di rete

Caratteristiche principali della configurazione

Verifica

Scenario 1 - Da EPG a EPG: subnet condivisa definita nel provider EPG

Traccia di flusso da EPG-1 a EPG-2

Traccia di flusso da EPG-2 a EPG-1

Scenario 2 - Da BD a BD: subnet condivisa definita nel provider BD.

Traccia di flusso da EPG-1 a EPG-2

Traccia di flusso da EPG-2 a EPG-1

Evidenziazione utilizzo TCAM

Conclusioni

Riferimenti e link utili

Introduzione

In questo documento viene descritto come configurare e verificare la configurazione di Shared Services con Shared BD in ACI.

Premesse

Una configurazione di Shared Services consente la comunicazione tra EPG su VRF diverse all'interno di un'infrastruttura ACI.

Shared Services sfrutta al meglio le 3 categorie PcTag:

Nome categoria

Intervallo PcTag

Sistema

1-15

Globale

16 - 16385

Locale

16386 - 65535

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Esempio di rete

Caratteristiche principali della configurazione

- È necessario che l'ambito della subnet "Condiviso tra VRF" sia incluso nella subnet,192.168.10.1/24

- L'ambito del contratto deve essere almeno 'Tenant' poiché gli EPG si trovano nello stesso tenant.

- Se gli EPG si trovano in tenant diversi, il contratto deve avere ambito "globale"

- Se la subnet condivisa è definita dal provider EPG, il contratto deve essere fornito solo sull'EPG per essere condiviso e utilizzato sull'EPG per l'utilizzo.

O

- Se la subnet condivisa è definita dal provider BD, il contratto deve essere fornito sia da EPG che da EPG e subnet solo in BD. Questo utilizza più spazio TCAM mentre vengono programmate più regole di zoning.

Nota: VZany non è supportato come provider di servizi condivisi

Verifica

Scenario 1 - Da EPG a EPG: subnet condivisa definita nel provider EPG

In questo scenario di esempio, la subnet condivisa è configurata in EPG-2.

Nota: se la stessa subnet è definita sia in un EPG che nel BD associato, è necessario impostare gli stessi valori di Scope per entrambe le definizioni.

Questa opzione consente di ottimizzare l'utilizzo di TCAM e di eseguire la configurazione di Shared Services. Il TCAM è ottimizzato in quanto le regole di zoning devono essere programmate solo nel VRF consumer. In questo scenario, il VRF consumer è solo su Leaf 101.

Traccia di flusso da EPG-1 a EPG-2

Foglia consumer 101

Le informazioni di instradamento su Leaf 101 Consumer VRF PJ:VRF-1 mostrano l'instradamento per 192.168.10.10 tramite VNID 2260992, ovvero il provider VRF PJ:VRF-2:

leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1

IP Route Table for VRF "PJ:VRF-1"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992

recursive next hop: 10.0.240.33/32%overlay-1

Il flusso del traffico può essere convalidato con un ELAM su Consumer Leaf 101 sulla base della richiesta ICMP dall'origine 10.10.10.10 alla destinazione 192.168.10.1

leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 16568( 0x40B8 )

sclass (src pcTag)                      : 16388( 0x4004 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Il rapporto indica che il contratto viene applicato a Consumer Leaf 101 e che Src pcTag 16388 (EPG-1) e Dst PcTAG 10930 (EPG-2) sono stati assegnati.

Questi valori possono essere confrontati con le regole di zoning programmate in Consumer VRF PJ:VRF-1 (VNID 3080192) per identificare gli ID regola raggiunti:

leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |  Action  |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              | deny,log | shsrc_any_any_deny(12) |

|   4108  | 10930  | 16388  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

|   4118  | 16388  | 10930  |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

Nota: una regola di negazione implicita viene creata automaticamente dal provider EPG-2 (PcTag 10930) a qualsiasi (PcTag 0). In questo modo si evita la comunicazione tra il VRF del fornitore e il VRF del consumatore senza ulteriori contratti tra EPG.

Traccia di flusso da EPG-2 a EPG-1

Foglia provider 102

Le informazioni di route su Leaf 102 per il provider VRF PJ:VRF-2 mostrano il percorso per 10.10.10.10 tramite VNID 3080192, ovvero consumer VRF PJ:VRF-1:

leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2

IP Route Table for VRF "PJ:VRF-2"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192

recursive next hop: 10.0.240.33/32%overlay-1

Il flusso del traffico può essere convalidato con un ELAM sul provider Leaf 101 sulla base della richiesta ICMP dall'origine 192.168.10.10 alla destinazione 10.10.10.10:

leaf102# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 18616( 0x48B8 )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

In questo rapporto, tenere presente che la classe e la classe sono entrambi valori non locali.

EPG-2, il provider di servizi condivisi, ora gestisce un PcTag globale di 10930.

La dclass assegnata a questo pacchetto è Shared Service Consumer PcTag 14. PcTag 14 è il PcTag di sistema riservato al traffico tra VRF.

Si noti che una speciale regola di zoning è programmata su Provider Leaf 102 tra Provider EPG2 PcTag 10930 e Shared Service Consumer System PcTag 14 con "Action" impostato su "allow_override".  Questa regola consente l'inoltro dei flussi corrispondenti alla pagina Foglia consumer per la ricerca finale dei criteri:

leaf102# show zoning-rule

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |   Dir   |  operSt |  Scope   | Name |      Action     |       Priority       |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

|   4113  | 10930  |   14   | implicit | uni-dir | enabled | 2260992  |      | permit_override |    src_dst_any(9)    |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

Scenario 2 - Da BD a BD: subnet condivisa definita nel provider BD.

In questo scenario di esempio, la subnet condivisa è configurata solo in BD-2.

Per completare la configurazione di Shared Services, i contratti devono essere sia consumati che forniti su EPG-1 e EPG-2.

Traccia di flusso da EPG-1 a EPG-2

Poiché un contratto di servizio condiviso viene fornito e utilizzato su entrambi gli EPG, un flusso di pacchetto tra EPG-1 (foglia 101) ed EPG-2 (foglia 102) osserva queste proprietà:

- EPG-1 è considerato il provider

- L'EPG-2 è considerato il

- La foglia 102 è la foglia Consumatore, quindi qui viene applicata la politica finale.

Le informazioni sul percorso sono uguali a quelle dello Scenario 1.

"Provider" Foglia 101:

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# status

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23304( 0x5B08 )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 59074( 0xE6C2 )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Si noti che la classe 14 è assegnata. Questo significa che il traffico può continuare tramite la regola "allow_override" in modo che l'elemento Foglia consumer possa guidare la ricerca finale dei criteri.

Foglia "Consumatore" 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 14 out-select 1

module-1# set inner ipv4 src_ip 10.10.10.10  dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 26203( 0x665B )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Sia EPG-1 che EPG-2 hanno ora PcTags globali; EPG-1 è PcTag 18 ed EPG-2 è PcTag 10938.

Traccia di flusso da EPG-2 a EPG-1

Poiché un contratto di servizio condiviso viene fornito e utilizzato su entrambi gli EPG, un flusso di pacchetti tra EPG-2 (foglia 102) ed EPG-1 (foglia 101) osserva queste proprietà:

- EPG-2 è considerato il provider

- EPG-1 è considerato il consumer

- La foglia 101 è la foglia del consumatore, e quindi la politica finale viene applicata qui.

Le informazioni sul percorso sono uguali a quelle dello Scenario 1.

Foglia "Fornitore" 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23308( 0x5B0C )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 56682( 0xDD6A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Si noti che la classe 14 è assegnata. Questo significa che il traffico può continuare tramite la regola "allow_override" in modo che l'elemento Foglia consumer possa guidare la ricerca finale dei criteri.

Foglia "Consumatore" 101

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

L3 Type                       : IPv4

DSCP                          : 0

Don't Fragment Bit            : 0x0

TTL                           : 254

IP Protocol Number            : ICMP

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 22874( 0x595A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 18( 0x12 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Evidenziazione utilizzo TCAM

Nello scenario da BD a BD, osservare che le regole di zoning sono raddoppiate poiché sia EPG-1 che EPG-2 sono utenti con contratto di servizi condivisi:

Leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4129  |   18   |   14   | implicit |    uni-dir     | enabled | 3080192 |              | permit_override |     src_dst_any(9)     |

|   4128  | 10930  |   18   |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4127  |   18   | 10930  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Leaf102# show zoning-rule scope 2260992

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4113  | 10930  |   14   | implicit |    uni-dir     | enabled | 2260992 |              | permit_override |     src_dst_any(9)     |

|   4123  |   18   | 10930  |    8     |     bi-dir     | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4124  |   18   |   0    | implicit |    uni-dir     | enabled | 2260992 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4122  | 10930  |   18   |    8     | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Nota: il numero di zoning-Rules implicite "shsrc_any_any_deny" e "allow_override" è raddoppiato a causa di questa configurazione.

Conclusioni

Entrambi gli scenari di configurazione consentono di utilizzare le funzionalità di Shared Services, tuttavia il metodo BD-to-BD prevede un consumo aggiuntivo di TCAM.

Riferimenti e link utili

Cisco ACI Contract Guide

Comprensione e risoluzione dei problemi di ACI Shared Services - DGTL-TSCDCN-305