内容

概要

背景説明

設定

ネットワーク図

構成の概要

確認

シナリオ1:EPGからEPG：プロバイダーEPGで定義された共有サブネット

EPG-1からEPG-2へのフロートレース

EPG-2からEPG-1へのフロートレース

シナリオ2:BD間：プロバイダーBDで定義された共有サブネット。

EPG-1からEPG-2へのフロートレース

EPG-2からEPG-1へのフロートレース

TCAMの使用の概要

結論

参考資料と役立つリンク

概要

このドキュメントでは、ACIでShared BDを使用してShared Services構成を構成および確認する手順について説明します。

背景説明

Shared Servicesの構成により、ACIファブリック内の異なるVRF間でEPG間の通信が可能になります。

Shared Servicesは、次の3つのPcTagカテゴリを最大限に活用します。

カテゴリ名

PcTag範囲

システム

1 ～ 15

グローバル

16 ～ 16385

Local

16386 ～ 65535

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

構成の概要

- 漏出されるサブネットには、「Shared between VRFs」サブネットスコープが必要です,192.168.10.1/24

- EPGは同じテナントにあるため、コントラクトには少なくとも「テナント」のスコープが必要です。

- EPGが異なるテナントにある場合は、契約に「グローバル」スコープが必要です。

- 共有サブネットがプロバイダーEPGで定義されている場合、コントラクトはEPGで提供される必要があり、EPGで共有および消費される必要があります。

または

- 共有サブネットがプロバイダーBDで定義されている場合、契約は両方のEPGによって提供され、BD上の両方のEPGとサブネットによって消費される必要があります。これにより、より多くのゾーン分割ルールがプログラムされるため、より多くのTCAMスペースが使用されます。

注：VZanyは共有サービスのプロバイダーとしてサポートされていません

確認

シナリオ1:EPGからEPG：プロバイダーEPGで定義された共有サブネット

このシナリオ例では、EPG-2の下に共有サブネットが設定されています。

注：EPGとその関連BDの両方で同じサブネットが定義されている場合、両方の定義で同じスコープ値を設定する必要があります。

このオプションは、TCAMの使用率を最適化し、Shared Servicesの構成を実現します。ゾーン分割ルールはコンシューマVRFでのみプログラムする必要があるため、TCAMは最適化されています。このシナリオでは、コンシューマVRFはリーフ101上にのみ存在します。

EPG-1からEPG-2へのフロートレース

コンシューマリーフ101

リーフ101コンシューマVRF PJ:VRF-1のルート情報は、VNID 2260992（プロバイダーVRF PJ:VRF-2）を介した192.168.10.10のルートを示します。

leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1

IP Route Table for VRF "PJ:VRF-1"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992

recursive next hop: 10.0.240.33/32%overlay-1

送信元10.10.10.10から宛先192.168.10.1へのICMP要求に対して、コンシューマリーフ101のELAMを使用してトラフィックフローを検証できます

leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 16568( 0x40B8 )

sclass (src pcTag)                      : 16388( 0x4004 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

このレポートには、契約がコンシューマリーフ101に適用され、Src pcTag 16388(EPG-1)とDst PcTAG 10930(EPG-2)が割り当てられていることが示されています。

次の値をコンシューマVRF PJ:VRF-1(VNID 3080192)のプログラムされたゾーン分割ルールと比較して、どのルールIDがヒットしたかを特定できます。

leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |  Action  |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              | deny,log | shsrc_any_any_deny(12) |

|   4108  | 10930  | 16388  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

|   4118  | 16388  | 10930  |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

注：暗黙の拒否ルールは、プロバイダーEPG-2(PcTag 10930)から任意(PcTag 0)に自動的に作成されます。これは、EPG間で追加の契約を結ばずに、プロバイダーVRFからコンシューマVRFへの通信を防止するためです。

EPG-2からEPG-1へのフロートレース

Provider Leaf 102

プロバイダーVRF PJ:VRF-2のリーフ102のルート情報は、VNID 3080192（コンシューマVRF PJ:VRF-1）を介した10.10.10.10のルートを示します。

leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2

IP Route Table for VRF "PJ:VRF-2"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192

recursive next hop: 10.0.240.33/32%overlay-1

トラフィックフローは、送信元192.168.10.10から宛先10.10.10.10へのICMP要求に対して、Provider Leaf 101のELAMで検証できます。

leaf102# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 18616( 0x48B8 )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

このレポートでは、sclassとdclassの両方が非ローカル値であることを確認します。

共有サービスプロバイダーであるEPG-2は、10930のグローバルPcTagを駆動するようになりました。

このパケットに割り当てられているdclassはShared Service Consumer PcTag 14です。PcTag 14は、VRF間トラフィック用に予約されたシステムPcTagです。

プロバイダーEPG2 PcTag 10930とShared Service Consumer System PcTag 14の間のProvider Leaf 102に、「Action」を「permit_override」に設定した特別なゾーン分割ルールがプログラムされていることに注意してください。  このルールでは、最終的なポリシールックアップのために、一致したフローをコンシューマリーフに転送できます。

leaf102# show zoning-rule

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |   Dir   |  operSt |  Scope   | Name |      Action     |       Priority       |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

|   4113  | 10930  |   14   | implicit | uni-dir | enabled | 2260992  |      | permit_override |    src_dst_any(9)    |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

シナリオ2:BD間：プロバイダーBDで定義された共有サブネット。

この例のシナリオでは、共有サブネットはBD-2でのみ設定されています。

Shared Servicesの構成を完了するには、契約が両方のEPG（EPG-1とEPG-2）で消費および提供されている必要があります。

EPG-1からEPG-2へのフロートレース

共有サービス契約が両方のEPGで提供および消費されるため、EPG-1(Leaf 101)とEPG-2(Leaf 102)の間のパケットフローは次のプロパティを順守します。

- EPG-1はプロバイダーと見なされる

- EPG-2はコンシューマと見なされる

- リーフ102はコンシューマリーフであるため、ここでは最終的なポリシーが適用されます。

ルート情報はシナリオ1と同じです。

「プロバイダー」リーフ101:

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# status

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23304( 0x5B08 )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 59074( 0xE6C2 )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

dclass 14が割り当てられていることを確認します。これは、トラフィックが「permit_override」ルールを介して継続することを許可され、コンシューマリーフが最終的なポリシールックアップを実行できることを意味します。

「コンシューマ」リーフ102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 14 out-select 1

module-1# set inner ipv4 src_ip 10.10.10.10  dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 26203( 0x665B )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

EPG-1とEPG-2の両方にグローバルPcTagが設定され、EPG-1はPcTag 18、EPG-2はPcTag 10938になっています。

EPG-2からEPG-1へのフロートレース

共有サービス契約が両方のEPGで提供および消費されるため、EPG-2(Leaf 102)とEPG-1(Leaf 101)の間のパケットフローは次のプロパティを順守します。

- EPG-2はプロバイダーと見なされる

- EPG-1はコンシューマと見なされる

- リーフ101はコンシューマリーフであるため、ここでは最終的なポリシーが適用されます。

ルート情報はシナリオ1と同じです。

「プロバイダー」リーフ102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23308( 0x5B0C )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 56682( 0xDD6A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

dclass 14が割り当てられていることを確認します。これは、トラフィックが「permit_override」ルールを介して継続することを許可され、コンシューマリーフが最終的なポリシールックアップを実行できることを意味します。

「コンシューマ」リーフ101

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

L3 Type                       : IPv4

DSCP                          : 0

Don't Fragment Bit            : 0x0

TTL                           : 254

IP Protocol Number            : ICMP

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 22874( 0x595A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 18( 0x12 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

TCAMの使用の概要

BDからBDへのシナリオでは、EPG-1とEPG-2の両方がShared Services Contract Consumerであるため、ゾーン分割ルールが2倍になっていることに注意してください。

Leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4129  |   18   |   14   | implicit |    uni-dir     | enabled | 3080192 |              | permit_override |     src_dst_any(9)     |

|   4128  | 10930  |   18   |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4127  |   18   | 10930  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Leaf102# show zoning-rule scope 2260992

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4113  | 10930  |   14   | implicit |    uni-dir     | enabled | 2260992 |              | permit_override |     src_dst_any(9)     |

|   4123  |   18   | 10930  |    8     |     bi-dir     | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4124  |   18   |   0    | implicit |    uni-dir     | enabled | 2260992 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4122  | 10930  |   18   |    8     | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

注：この設定により、暗黙的な「shsrc_any_any_deny」および「permit_override」ゾーニングルールの数も2倍になっていることに注意してください。

結論

どちらの構成シナリオもShared Services機能を実現しますが、BDからBDへの方式は追加のTCAM消費を犠牲にします。

参考資料と役立つリンク

Cisco ACI契約ガイド

ACI Shared Servicesの説明とトラブルシューティング：DGTL-TSCDCN-305