Limitazione della piattaforma ASR1002 con IPSec, Netflow, NBAR

Introduzione

In questo documento viene descritto il problema della velocità effettiva sulla piattaforma ASR1002 con Application Visibility and Control (AVC) configurato insieme alla funzionalità IPSec sul router.

Premesse

Come indicato nella documentazione CCO, ASR10002 fornisce un throughput di 10 Gb/s per il normale traffico dati e di 4 Gb/s con la funzionalità IPSec abilitata. Tuttavia, esiste una nota aggiuntiva relativa al throughput sulla piattaforma ASR1002. Netflow e NBAR sono due funzioni che consumano molte risorse da Quantum Flow Processor (QFP) e che quindi riducono la cablabilità della scheda Encapsulating Security Payload (ESP) per elaborare più traffico e quindi ridurre la velocità di trasmissione complessiva del sistema. Con la configurazione AVC e IPSec, il throughput complessivo della piattaforma può subire un grave peggioramento e può subire un'enorme perdita di traffico.

Problema: Limitazione della piattaforma ASR1002 con IPSec, Netflow, NBAR

Il problema è stato inizialmente rilevato durante l'aggiornamento della larghezza di banda con il provider e durante l'esecuzione dei test della larghezza di banda. Inizialmente è stato inviato un pacchetto da 1000 byte, che è andato perfettamente bene, poi il test è stato eseguito con pacchetti da 512 byte, dopo di che hanno quasi notato una perdita dell'80% del traffico. Fare riferimento a questa topologia di test di laboratorio:

Esegui le seguenti funzionalità: 

•  DMVPN over IPSec
•  NetFlow
•  NBAR (come parte dell'istruzione match dei criteri QoS)

Configurazione

crypto isakmp policy 1
 encr 3des
 group 2
crypto isakmp policy 2
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key cisco123 address 0.0.0.0 
crypto ipsec security-association replay disable
crypto ipsec transform-set remoteoffice-vpn esp-3des esp-sha-hmac 
 mode tunnel
crypto ipsec transform-set IPTerm-TransSet esp-3des esp-sha-hmac 
 mode tunnel
crypto ipsec profile IPTerminals-VPN
 set transform-set IPTerm-TransSet 
crypto ipsec profile vpn-dmvpn
 set transform-set remoteoffice-vpn
!
<snip>
class-map match-any Test
 match ip precedence 2 
 match ip dscp af21 
 match ip dscp af22 
 match ip dscp af23 
 match access-group name test1
 match protocol ftp
 match protocol secure-ftp
!
policy-map test
<snip>
!
interface Tunnel0
 bandwidth 512000
 ip vrf forwarding CorpnetVPN
 ip address 10.1.1.1 255.255.255.0
 no ip redirects
 ip mtu 1350
 ip flow ingress
 ip nhrp authentication 1dcBb
 ip nhrp map multicast dynamic
 ip nhrp network-id 1000
 ip nhrp holdtime 600
 ip nhrp shortcut
 ip nhrp redirect
 ip virtual-reassembly max-reassemblies 256
 ip tcp adjust-mss 1310
 ip ospf network point-to-multipoint
 ip ospf hello-interval 3
 ip ospf prefix-suppression
 load-interval 30
 qos pre-classify
 tunnel source Loopback0
 tunnel mode gre multipoint
 tunnel key 1234
 tunnel protection ipsec profile vpn-dmvpn
!
int gi 0/1/0
bandwidth 400000
 ip address 12.12.12.1 255.255.255.252
 load-interval 30
 negotiation auto
 ip flow ingress
 service-policy output PM-1DC-AGGREGATE
!

La DMVPN (Dynamic Multipoint VPN) è situata tra i due router ASR1k. Il traffico è stato generato da IXIA a IXIA attraverso il cloud DMVPN con dimensioni del pacchetto di 512 byte a 50000 bps. È configurato un altro flusso per il traffico di inoltro accelerato (EF) da IXIA a IXIA

Con il flusso sopra riportato, abbiamo notato una perdita di traffico in entrambi i flussi fino a quasi 30.000 pagine al secondo. 

Osservazioni

Non sono state rilevate molte riduzioni dell'output in aumento e poche riduzioni nella classe EF o in altre classi, ad eccezione della classe predefinita della policy di servizio.

Sono stati rilevati cali di QFP che utilizzano le statistiche attive qfp dell'hardware della piattaforma show e sono stati notati cali in rapida crescita.

RTR-1#show platform hardware qfp active statistics drop
-------------------------------------------------------------------------
Global Drop Stats Packets Octets
-------------------------------------------------------------------------
IpsecInput 300010 175636790 
IpsecOutput 45739945 23690171340 
TailDrop 552830109 326169749399 

RTR-1#
RTR-1#show platform hardware qfp active statistics drop
-------------------------------------------------------------------------
Global Drop Stats Packets Octets 
-------------------------------------------------------------------------
IpsecInput 307182 179835230 
IpsecOutput 46883064 24282257670 
TailDrop 552830109 326169749399 

RTR-1#

Sono stati controllati ulteriori rilasci IPSec per QFP utilizzando il comando show platform hardware qfp active feature ipsec data drops

RTR-1#show platform hardware qfp active feature ipsec data drops
------------------------------------------------------------------------
Drop Type Name Packets 
------------------------------------------------------------------------

 28 IN_PSTATE_CHUNK_ALLOC_FAIL 357317


 54 OUT_PSTATE_CHUNK_ALLOC_FAIL 51497757
 66 N2_GEN_NOTIFY_SOFT_EXPIRY 4023610

RTR-1#

È stato rilevato che il contatore di rilascio per il contatore IN_PSTATE_CHUNK_ALLOC_FAIL corrisponde al valore IpsecInput nel contatore QFP e corrisponde al valore IpsecOutput corrispondente al contatore OUT_PSTATE_CHUNK_ALLOC_FAIL.

Il problema è dovuto al problema software n. CSCuf25027 .

Soluzione

 Per risolvere il problema, disabilitare la funzionalità Netflow e Network Based Application Recognition (NBAR) sul router. Se si desidera eseguire tutte le funzioni e avere un throughput migliore, un'opzione migliore è l'aggiornamento ad ASR1002-X o ASR1006 con ESP-100.