VXLAN avanzata con vPC: Configurazione e verifica di L2VNI e L3VNI

Introduzione

In questo documento viene descritto come configurare un laboratorio con switch Nexus 9Kv utilizzando una VXLAN (Virtual eXtensible Local Area Network) avanzata con vPC (Virtual Port-Channel).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Informazioni su routing e switching, nonché sulla tecnologia Multiprotocol Label Switching (MPLS)
• Esperienza con i principi di routing multicast, ad esempio Rendezvous Point (RP) e Platform Independent Multicast (PIM)
• Descrizione di Border Gateway Protocol (BGP) Address Family Indicator (AFI)/Successive Address Family Indicator (SAFI)

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Il documento fornisce anche linee guida per la distribuzione del lab, nonché per la verifica delle configurazioni e delle operazioni.

In questo laboratorio, gli switch EveNg con Nexus 9000V vengono utilizzati sia per Leaf che per Spine.

Configurazione

Esempio di rete

Configurazioni

• I quartieri di Underlay e PIM sono già stati creati.

Interruttore FOGLIA:

Abilitazione di Open Shortest Path First (OSPF) sullo switch foglia

Abilitazione di PIM sullo switch foglia

Router adiacente OSPF

Interruttore dorso:

Abilitazione di PIM su Spine Switch

• I quartieri di Underlay e PIM sono già stati creati.
• Entrambi gli switch Spine saranno identici all'Anycast RP per l'intero gruppo multicast 24.0.0.0/4.
• L'MTU (Maximum Transmission Unit) è impostata su 9000/9216 sulle interfacce tra gli switch Leaf e Spine.

Innanzitutto, è necessario configurare un vPC tra Foglia1 e Foglia2.

Passaggio 1. Abilitazione delle funzionalità e dei domini vPC.

• Abilitare la funzionalità vPC e Link Aggregation Control Protocol (LACP).
• Configurare il dominio vPC.
• Le interfacce di gestione 0 vengono usate come collegamento peer keepalive e Eth1/3 ed Eth1/4 saranno la parte del collegamento peer vPC (Port-Channel 1).
• Verificare che il comando peer-switch sia configurato per condividere un indirizzo MAC comune con switch decrescenti.

Abilitazione della funzionalità sullo switch foglia

Abilitazione di vPC sullo switch foglia 1

Abilitazione di vPC sullo switch foglia 2

Passaggio 2. Assegnazione dei membri della porta.

• Assegnare il membro della porta al gruppo di canali e includerlo nel vPC. In questo caso, vengono utilizzati due vPC. vPC 20 e vPC 10.

Assegnazione del canale della porta sullo switch foglia 1

Assegnazione del canale della porta sullo switch foglia 2

• Qui viene creato un vPC e i peer iniziano a scambiarsi messaggi keepalive per verificare la disponibilità.

Stato vPC sullo switch foglia 1

Stato vPC sullo switch foglia 2

• Le VLAN 10, 20 e 500 sono già configurate e passate sulle porte membro vPC e sul collegamento peer vPC.

Passaggio 3. Configurare l'indirizzo IP secondario.

• Quando vPC è incluso nell'infrastruttura VXLAN, entrambi i peer VTEP vPC iniziano a utilizzare indirizzi IP virtuali (VIP) come indirizzi di origine anziché gli indirizzi IP fisici (PIP). Ciò significa anche che quando BGP Ethernet VPN (EVPN) annuncia i tipi di route 2 (annuncio MAC/IP) e 5 (prefisso IP-route) per impostazione predefinita, l'indirizzo VIP viene utilizzato come hop successivo. Nell'esempio riportato, l'interfaccia di loopback 0 è configurata con due indirizzi IP: 10.1.1.100/32 (VIP) come IP secondario e 1.1.1.51/32 (PIP) come IP primario.
• In questo caso, un indirizzo IP comune viene configurato come secondario nell'interfaccia 0 di loopback.

IP secondario sullo switch foglia 1

IP secondario sullo switch foglia 2

Passaggio 4. Abilitare la VXLAN e le funzionalità correlate.

• Sovrapposizione Network Virtualization (nV): abilita VXLAN
• Sovrapposizione nV feature EVPN- abilita il piano di controllo EVPN
• Inoltro fabric funzionalità - abilita Host Mobility Manager
• Funzionalità VLAN (Virtual Network)-segment-VLAN-based: abilita VXLAN basata su VLAN

Funzioni su Leaf Switch

Funzioni di Spine Switch

• Poiché il dorso non richiede la conoscenza delle informazioni sulla VLAN del client, non è necessario abilitare le funzionalità del segmento VN e della struttura.

Passaggio 5. Avviare il vicinato BGP.

• È necessario abilitare il protocollo BGP tra gli switch Leaf e Spine. La direttrice fungerà da riflettore di percorso in laboratorio.
• Sebbene sia facoltativo configurare Route Reflector (RR), per motivi di scalabilità Cisco consiglia di utilizzare RR.

Abilitazione di BGP su switch foglia

Abilitazione di BGP su Spine Switch

Stato BGP su switch foglia

Stato BGP su Spine Switch

Passaggio 6. Abilitare il contesto VRF sugli switch foglia. VRF separa il traffico del cliente e facilita la comunicazione tra due L2VNI distinti tramite L3VNI.

• Allocare L3VNI 50000 in VRF TENANT1.

Allocazione L3VNI

Passaggio 7. Configurazione di NVE (Network Virtual Interface), VNI (VXLAN Identifier) e VLAN.

• Impostare l'interfaccia NVE, utilizzando Loopback 0 come origine. Definire il gruppo multicast per ciascun VNI, in cui verrà consegnato il traffico broadcast di layer 2, unicast sconosciuto e multicast (BUM), quindi collegare gli ID VNI 100010 e 100020 all'interfaccia NVE. L'intestazione VXLAN contiene le informazioni usate dal VNI per identificare i segmenti VXLAN a cui appartiene.
• L3VNI 50000 è collegato all'istanza VRF (quando viene inviato allo switch spine, VNI 50000 è stato collegato alla tabella VRF).
• Il comando host-reachability protocol BGP attiva la famiglia di indirizzi EVPN nel tunnel VXLAN, ossia gli indirizzi MAC e gli indirizzi IP vengono appresi dal protocollo BGP nel control plane e non nel data plane.
• Configurare suppress-arp nell'interfaccia NVE.
• Collegare la VLAN di layer 2 e layer 3 alla VNI pertinente.

Protocollo ARP (Suppress-Address Resolution Protocol):

Il control plane EVPN Multi-Protocol (MP)-BGP offre un miglioramento denominato soppressione ARP per ridurre il sovraccarico della rete causato dal traffico broadcast proveniente dalle richieste ARP. Ogni VTEP di un VNI mantiene una tabella della cache di soppressione ARP per gli host IP noti e gli indirizzi MAC corrispondenti nel segmento VNI quando la soppressione ARP è abilitata per quel VNI. Il VTEP locale intercetta la richiesta ARP e cerca l'indirizzo IP con risoluzione ARP nella relativa tabella della cache di eliminazione ARP ogni volta che un host finale nel VNI invia una richiesta ARP per un altro indirizzo IP dell'host finale. Per conto dell'host remoto, il VTEP locale invia una risposta ARP se rileva una corrispondenza. La risposta ARP fornisce quindi all'host locale l'indirizzo MAC degli host remoti. La richiesta ARP viene inviata agli altri VTEP nel VNI se il VTEP locale non ha l'indirizzo IP risolto in ARP nella relativa tabella di soppressione ARP. Per la prima richiesta ARP a un host di rete silenzioso, questa inondazione ARP può avvenire.

Interfaccia NVE

Mapping da VLAN a segmento VN

• Inviando a Spine un messaggio di unione PIM, l'interfaccia NVE si unirà ai gruppi multicast 239.0.0.10 e 239.0.0.20, rispettivamente, non appena viene avviata.
• Si possono vedere anche altre tabelle (S, G) (1.1.1.54,239.0.0.20) e (10.1.1.100, 239.0.0.10/239.0.0.20) nell'immagine e quelle sono già registrate con Spine da diversi Leaf Switch.

Tabella Mroute

Passaggio 8. Abilitare l'istanza EVPN.

• Abilitare l'istanza EVPN insieme alla famiglia di indirizzi per EVPN e VRF in BGP.

Istanza EVPN

• L'unico scopo della mappa del percorso REDIST è permettere tutto.
• Utilizzando il comando redistribute direct, le route connesse compatibili con VRF vengono promosse a MP-BGP (route di tipo 5).
• La configurazione EVPN mostrata sopra è identica all'istruzione network utilizzata da BGP per annunciare le route MAC (route di tipo 2).

Passaggio 9. Configurare lo switch con interfaccia virtuale (SVI) per ciascuna VLAN per l'host terminale in VRF.

• Su ciascuno switch foglia, la SVI è configurata per la VLAN configurata localmente e una SVI per la VLAN L3VNI al fine di ottenere il database RIB (Symmetric Routing Information Base).

NERVATURA simmetrica:

• Quando l'host finale invia il pacchetto di dati a una rete diversa e lo riceve allo switch foglia, viene prima elaborato in L2VNI, quindi viene posizionato in L3VNI utilizzando VRF e inviato alla foglia remota.
• Remote Leaf riceve prima i pacchetti nella tabella VRF utilizzando Routing, quindi esegue il bridging a L2VNI e li invia all'host finale.
• In questo modo, viene ottenuto il routing simmetrico (B-R-R-B).

Interfacce VLAN

• il comando IP forward sulla VLAN 500 viene usato per abilitare l'inoltro di layer 3 per tutte le VXLAN. Non è necessario configurare l'indirizzo IP, in quanto elabora semplicemente il pacchetto dalla tabella L2VNI alla tabella L3VNI.

Apprendimento delle route BGP VPNv4 per VRF TENANT1

• L'indirizzo IP di ciascuna VLAN sarà comune a tutte le SVI su tutti gli switch foglia. Si chiama anycast IP e viene usato nella gestione della mobilità, dove l'estremità può comunicare con un altro host senza interruzioni.

Passaggio 10. Abilitare l'indirizzo MAC del gateway anycast di inoltro dell'infrastruttura per l'host finale.

• Assicura la ridondanza del gateway di layer 3 e l'inoltro ottimizzato per i dispositivi collegati al fabric.
• L'indirizzo MAC di Anycast Gateway è un indirizzo MAC uniforme a livello globale utilizzato per tutti i gateway di layer 3 di un'infrastruttura.
• Il concetto è identico a quello utilizzato nel protocollo FHRP (First Hop Redundancy Protocol), in cui a ogni gruppo viene assegnato un MAC virtuale.

Abilitazione dell'inoltro fabric 

Passaggio 11. Abilitare la VLAN di accesso/trunk sulle porte membro.

Switch vPC:

Abilitazione delle porte trunk all'interfaccia membro vPC

Switch non vPC:

Abilitazione delle porte trunk sull'interfaccia membro non vPC

Verifica

• Controllare la tabella degli indirizzi ARP e MAC.

Tabella ARP e MAC su LEAF Switch 1

Tabella ARP e MAC su LEAF Switch 2

• Entrambi i peer mantengono le voci ARP.
• Controllare lo stato dell'interfaccia virtuale di rete (NVI).

Switch vPC:

Peer NVE su switch vPC

Switch non vPC:

Peer NVE su switch non vPC

• In questo caso, l'IP del peer è 10.1.1.100 invece dell'indirizzo IP di loopback primario, quindi il pacchetto restituito verrà instradato per quell'IP a uno degli switch vPC.
• Controllare le route VPN BGP.

BGP l2route VPN MAC-IP

MAC EVPN BGP l2route

Riepilogo VPN BGP

Route VPN BGP

• È normale chiedersi in che modo gli switch foglia acquisiscano le voci MAC per gli host remoti. Questo processo è facilitato dall'ARP Gratuito. Quando una porta di rete è attivata, invia immediatamente una richiesta ARP per verificare l'univocità dell'indirizzo IP. Ogni switch foglia registra quindi l'indirizzo MAC e lo include in un pacchetto di aggiornamento BGP. Questo consente ad altri switch foglia di aggiornare le rispettive tabelle degli indirizzi MAC di conseguenza. Tuttavia, è possibile che l'host finale non generi un ARP Gratuito (host silenzioso) e, in questo caso, la richiesta ARP venga trasmessa alla foglia e, trattandosi di una richiesta broadcast, lo switch Leaf genera la richiesta multicast al rispettivo gruppo per il VNI in questione. In questo caso, sono 239.0.0.10 e 239.0.0.20.

• Consente di eseguire il ping tra l'host 1 e l'host 3 all'interno dello stesso VNI e di esaminare l'acquisizione.

Ping da HOST-1 a HOST-3

Pacchetto Internet Control Message Protocol (ICMP) sulla VXLAN:

Acquisizione di Wireshark con richiesta ICMP su un pacchetto in viaggio tramite L2VNI 1010

• Come si può vedere, l'IP di origine è 10.1.1.100 con la porta 4789 come destinazione UDP.
• Poiché si tratta di una comunicazione intra VNI, la VLAN 10 utilizzerà il VNI 100010 e la VLAN 20 il VNI 1000.
• Consente di eseguire il ping tra l'host 1 e l'host 4 con VNI diversi e di esaminare l'acquisizione.

Ping da HOST-1 a HOST-4

Pacchetto ICMP sulla VXLAN:

Acquisizione di Wireshark con richiesta ICMP su un pacchetto in viaggio tramite L3VNI 5000

• Poiché si tratta di una comunicazione inter-VNI, verrà utilizzato L3VNI 50000.
• Controllare la tabella ARP per l'host finale.

Voci ARP HOST-1

Voci ARP HOST-2

HOST-3 Voci ARP

HOST-4 Voci ARP

Ping da HOST-4 a tutti gli altri host terminali