Sommario

Introduzione

Premesse

Problema: Limitazione della piattaforma ASR1002 con IPSec, Netflow, NBAR

Configurazione

Osservazioni

Soluzione

Introduzione

In questo documento viene descritto il problema della velocità effettiva sulla piattaforma ASR1002 con Application Visibility and Control (AVC) configurato insieme alla funzionalità IPSec sul router.

Premesse

Come indicato nella documentazione CCO, ASR10002 fornisce un throughput di 10 Gb/s per il normale traffico dati e di 4 Gb/s con la funzionalità IPSec abilitata. Tuttavia, esiste una nota aggiuntiva relativa al throughput sulla piattaforma ASR1002. Netflow e NBAR sono due funzioni che consumano molte risorse da Quantum Flow Processor (QFP) e che quindi riducono la cablabilità della scheda Encapsulating Security Payload (ESP) per elaborare più traffico e quindi ridurre la velocità di trasmissione complessiva del sistema. Con la configurazione AVC e IPSec, il throughput complessivo della piattaforma può subire un grave peggioramento e può subire un'enorme perdita di traffico.

Problema: Limitazione della piattaforma ASR1002 con IPSec, Netflow, NBAR

Il problema è stato inizialmente rilevato durante l'aggiornamento della larghezza di banda con il provider e durante l'esecuzione dei test della larghezza di banda. Inizialmente è stato inviato un pacchetto da 1000 byte, che è andato perfettamente bene, poi il test è stato eseguito con pacchetti da 512 byte, dopo di che hanno quasi notato una perdita dell'80% del traffico. Fare riferimento a questa topologia di test di laboratorio:

Esegui le seguenti funzionalità:

- DMVPN over IPSec

- NetFlow

- NBAR (come parte dell'istruzione match dei criteri QoS)

Configurazione

crypto isakmp policy 1

encr 3des

group 2

crypto isakmp policy 2

encr 3des

authentication pre-share

group 2

crypto isakmp key cisco123 address 0.0.0.0

crypto ipsec security-association replay disable

crypto ipsec transform-set remoteoffice-vpn esp-3des esp-sha-hmac

mode tunnel

crypto ipsec transform-set IPTerm-TransSet esp-3des esp-sha-hmac

mode tunnel

crypto ipsec profile IPTerminals-VPN

set transform-set IPTerm-TransSet

crypto ipsec profile vpn-dmvpn

set transform-set remoteoffice-vpn

!

<snip>

class-map match-any Test

match ip precedence 2

match ip dscp af21

match ip dscp af22

match ip dscp af23

match access-group name test1

match protocol ftp

match protocol secure-ftp

!

policy-map test

<snip>

!

interface Tunnel0

bandwidth 512000

ip vrf forwarding CorpnetVPN

ip address 10.1.1.1 255.255.255.0

no ip redirects

ip mtu 1350

ip flow ingress

ip nhrp authentication 1dcBb

ip nhrp map multicast dynamic

ip nhrp network-id 1000

ip nhrp holdtime 600

ip nhrp shortcut

ip nhrp redirect

ip virtual-reassembly max-reassemblies 256

ip tcp adjust-mss 1310

ip ospf network point-to-multipoint

ip ospf hello-interval 3

ip ospf prefix-suppression

load-interval 30

qos pre-classify

tunnel source Loopback0

tunnel mode gre multipoint

tunnel key 1234

tunnel protection ipsec profile vpn-dmvpn

!

int gi 0/1/0

bandwidth 400000

ip address 12.12.12.1 255.255.255.252

load-interval 30

negotiation auto

ip flow ingress

service-policy output PM-1DC-AGGREGATE

!

La DMVPN (Dynamic Multipoint VPN) è situata tra i due router ASR1k. Il traffico è stato generato da IXIA a IXIA attraverso il cloud DMVPN con dimensioni del pacchetto di 512 byte a 50000 bps. È configurato un altro flusso per il traffico di inoltro accelerato (EF) da IXIA a IXIA

Con il flusso sopra riportato, abbiamo notato una perdita di traffico in entrambi i flussi fino a quasi 30.000 pagine al secondo.

Osservazioni

Non sono state rilevate molte riduzioni dell'output in aumento e poche riduzioni nella classe EF o in altre classi, ad eccezione della classe predefinita della policy di servizio.

Sono stati rilevati cali di QFP che utilizzano le statistiche attive qfp dell'hardware della piattaforma show e sono stati notati cali in rapida crescita.

RTR-1#show platform hardware qfp active statistics drop

-------------------------------------------------------------------------

Global Drop Stats Packets Octets

-------------------------------------------------------------------------

IpsecInput 300010 175636790

IpsecOutput 45739945 23690171340

TailDrop 552830109 326169749399

RTR-1#

RTR-1#show platform hardware qfp active statistics drop

-------------------------------------------------------------------------

Global Drop Stats Packets Octets

-------------------------------------------------------------------------

IpsecInput 307182 179835230

IpsecOutput 46883064 24282257670

TailDrop 552830109 326169749399

RTR-1#

Sono stati controllati ulteriori rilasci IPSec per QFP utilizzando il comando show platform hardware qfp active feature ipsec data drops

RTR-1#show platform hardware qfp active feature ipsec data drops

------------------------------------------------------------------------

Drop Type Name Packets

------------------------------------------------------------------------

28 IN_PSTATE_CHUNK_ALLOC_FAIL 357317

54 OUT_PSTATE_CHUNK_ALLOC_FAIL 51497757

66 N2_GEN_NOTIFY_SOFT_EXPIRY 4023610

RTR-1#

È stato rilevato che il contatore di rilascio per il contatore IN_PSTATE_CHUNK_ALLOC_FAIL corrisponde al valore IpsecInput nel contatore QFP e corrisponde al valore IpsecOutput corrispondente al contatore OUT_PSTATE_CHUNK_ALLOC_FAIL.

Il problema è dovuto al problema software n. CSCuf25027 .

Soluzione

Per risolvere il problema, disabilitare la funzionalità Netflow e Network Based Application Recognition (NBAR) sul router. Se si desidera eseguire tutte le funzioni e avere un throughput migliore, un'opzione migliore è l'aggiornamento ad ASR1002-X o ASR1006 con ESP-100.