内容

概要

背景説明

問題：IPSec、Netflow、NBARによるASR1002プラットフォームの制限

コンフィギュレーション

観察

解決方法

概要

このドキュメントでは、ルータのIPSec機能とともにApplication Visibility and Control(AVC)が設定されたASR1002プラットフォームのスループットに関する問題について説明します。

背景説明

CCOのドキュメントによると、ASR10002は通常のデータトラフィックに対して10 gbpsのスループットを提供し、IPSec機能が有効な4 Gbpsを実現します。ただし、ASR1002プラットフォームのスループットには注意が必要です。NetflowとNBARは、Quantum Flow Processor(QFP)から大量のリソースを消費する2つの機能であり、Encapsulating Security Payload(ESP)カードがより多くのトラフィックを処理し、システム全体のスループットが低下します。IPSecとともにAVCを設定すると、プラットフォーム全体のスループットが著しく低下し、トラフィックの損失が大きくなる可能性があります。

問題：IPSec、Netflow、NBARによるASR1002プラットフォームの制限

この問題は、プロバイダーで帯域幅がアップグレードされ、帯域幅テストが実行されたときに最初に認識されました。最初に1000バイトのパケットが送信されましたが、これは完全に正常に終了しました。その後、512バイトのパケットを使用してテストが実行され、その後、トラフィックの損失が80 %に近づきました。次のラボテストトポロジを参照してください。

次の機能を実行します。

- IPSec上のDMVPN

- NetFlow

- NBAR（QoSポリシー照合文の一部として）

コンフィギュレーション

crypto isakmp policy 1

encr 3des

group 2

crypto isakmp policy 2

encr 3des

authentication pre-share

group 2

crypto isakmp key cisco123 address 0.0.0.0

crypto ipsec security-association replay disable

crypto ipsec transform-set remoteoffice-vpn esp-3des esp-sha-hmac

mode tunnel

crypto ipsec transform-set IPTerm-TransSet esp-3des esp-sha-hmac

mode tunnel

crypto ipsec profile IPTerminals-VPN

set transform-set IPTerm-TransSet

crypto ipsec profile vpn-dmvpn

set transform-set remoteoffice-vpn

!

<snip>

class-map match-any Test

match ip precedence 2

match ip dscp af21

match ip dscp af22

match ip dscp af23

match access-group name test1

match protocol ftp

match protocol secure-ftp

!

policy-map test

<snip>

!

interface Tunnel0

bandwidth 512000

ip vrf forwarding CorpnetVPN

ip address 10.1.1.1 255.255.255.0

no ip redirects

ip mtu 1350

ip flow ingress

ip nhrp authentication 1dcBb

ip nhrp map multicast dynamic

ip nhrp network-id 1000

ip nhrp holdtime 600

ip nhrp shortcut

ip nhrp redirect

ip virtual-reassembly max-reassemblies 256

ip tcp adjust-mss 1310

ip ospf network point-to-multipoint

ip ospf hello-interval 3

ip ospf prefix-suppression

load-interval 30

qos pre-classify

tunnel source Loopback0

tunnel mode gre multipoint

tunnel key 1234

tunnel protection ipsec profile vpn-dmvpn

!

int gi 0/1/0

bandwidth 400000

ip address 12.12.12.1 255.255.255.252

load-interval 30

negotiation auto

ip flow ingress

service-policy output PM-1DC-AGGREGATE

!

Dynamic Multipoint VPN(DMVPN)は、2つのASR1kルータ間にあります。トラフィックは、DMVPNクラウド全体でIXIAからIXIAに生成され、パケットサイズは512バイト@ 50000 ppsでした。IXIAからIXIAへのExpedited Forwarding(EF)トラフィック用に別のストリームが設定されています

上記のストリームでは、最大30000 ppsの両方のストリームのトラフィック損失に気付きました。

観察

サービスポリシーのデフォルトクラスを除き、EFクラスやその他のクラスで表示される出力ドロップの数は多くありませんでした。

show platform hardware qfp active statistics dropsを使用してQFPでドロップが見つかり、それらのドロップが急速に増えていることに気付きました。

RTR-1#show platform hardware qfp active statistics drop

-------------------------------------------------------------------------

Global Drop Stats Packets Octets

-------------------------------------------------------------------------

IpsecInput 300010 175636790

IpsecOutput 45739945 23690171340

TailDrop 552830109 326169749399

RTR-1#

RTR-1#show platform hardware qfp active statistics drop

-------------------------------------------------------------------------

Global Drop Stats Packets Octets

-------------------------------------------------------------------------

IpsecInput 307182 179835230

IpsecOutput 46883064 24282257670

TailDrop 552830109 326169749399

RTR-1#

さらに、show platform hardware qfp active feature ipsec data dropsコマンドを使用して、QFPに関するIPSecのドロップを確認しました

RTR-1#show platform hardware qfp active feature ipsec data drops

------------------------------------------------------------------------

Drop Type Name Packets

------------------------------------------------------------------------

28 IN_PSTATE_CHUNK_ALLOC_FAIL 357317

54 OUT_PSTATE_CHUNK_ALLOC_FAIL 51497757

66 N2_GEN_NOTIFY_SOFT_EXPIRY 4023610

RTR-1#

IN_PSTATE_CHUNK_ALLOC_FAILカウンタのドロップカウンタが、QFPドロップの値IpsecInputカウンタと一致し、OUT_PSTATE_CHUNK_ALLOC_FAILカウンタと同じであることがわかりました。

この問題は、ソフトウェア不具合番号CSCuf25027（登録ユーザ専用）が原因で発生します。

解決方法

この問題の回避策は、ルータでNetflowおよびNetwork Based Application Recognition(NBAR)機能を無効にすることです。すべての機能を実行し、スループットを向上させる場合は、ESP-100を使用してASR1002-XまたはASR1006にアップグレードする方法が適しています。