Catalyst 9000シリーズスイッチでのLISP VXLANファブリックのトラブルシューティング
内容
概要
このドキュメントでは、LISP VXLANベースのファブリックの基本コンポーネントとその動作を確認する方法について説明します。
前提条件
要件
このドキュメントに関する固有の要件はありません。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
-
Catalyst 9300
-
Catalyst 9400
-
Catalyst 9500
- Cisco IOS XE 17.9.3以降
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
LISP VXLANベースのファブリック
LISP VXLANネットワークを展開する目的は、アンダーレイネットワーク上に複数のオーバーレイネットワーク（仮想ネットワークとも呼ばれる）が定義されたアーキテクチャを作成できるようにすることです。
- このようなトポロジのアンダーレイネットワークは、主にトランスポート層として機能し、その上で実行されるオーバーレイトポロジを認識しません。
- オーバーレイネットワークは、アンダーレイネットワークに影響を与えずに追加および削除できます。
- オーバーレイネットワークを使用すると、ユーザはアンダーレイネットワークから効果的に分離されます。
LISP VXLANファブリックの構築に使用されるテクノロジー
Locator Identity Separation Protocol(LISP)
- LISPプロトコルは、ファブリック内で使用されるコントロールプレーンプロトコルです。すべてのファブリックデバイス上で動作してファブリックを構築し、トラフィックがファブリックを通じてどのように送信されるかを制御します。
- LISPは2つのアドレス空間を作成します。1つは、到達可能性のアドバタイズに使用されるルーティングロケータ(RLOC)用です。もう1つのアドレス空間は、エンドポイント識別子(EID)用です。EIDはエンドポイントが存在する場所で、オーバーレイに使用されます。
- LISP内では、EIDはアドバタイズされたRLOCを使用してアドバタイズされます。EIDが移動する場合、関連付けられているルーティングロケータを更新するだけです。
- EIDに向かうLISPトラフィックを使用してエンドポイントに到達するには、RLOCに向けてカプセル化およびトンネリングを行います。これにより、RLOCはカプセル化を解除して、エンドポイントに転送します。
グループベースのポリシー
- ファブリックグループベースのポリシー内でセグメント化を可能にするために使用されます。
- グループベースのポリシーが導入されると、トラフィックは送信元/宛先IPに基づくのではなく、セキュリティグループで分類されます。
- これにより、複雑なアクセスコントロールリストの複雑さが軽減されます。維持する必要があるIPアドレスのリストの代わりに、IPアドレス/サブネットがセキュアグループタグに割り当てられます。
- ファブリックへの入力時に、トラフィックがファブリックを出るときにSGTでタグ付けされると、フレームの宛先がそのSGT(SGT)を検索します。
- マトリクスを使用すると、送信元と宛先のSGTが照合され、セキュリティグループACLが適用されて、ファブリックから送信されるトラフィックが適用されます。
VXLANカプセル化
- ファブリック内では、すべてのトラフィックのカプセル化にVXLANが使用されます
- 従来のLISPカプセル化よりもVXLANを使用する利点は、レイヤ3フレームだけでなく、レイヤ2フレーム全体をカプセル化できることです。フレーム全体がカプセル化されると、オーバーレイをレイヤ2とレイヤ3の両方にすることができます。
- VXLANは宛先ポート4789でUDPを使用します。これにより、オーバーレイトポロジを認識しないデバイスを介してLISP VXLANフレームも転送できます。
- VXLANはフレーム全体をカプセル化するため、MTUを増やして、トラフィックがRLOC間で送信されるときにフラグメンテーションが不要になるようにすることが重要です。中間デバイスは、カプセル化されたフレームを転送するためにより大きなMTUをサポートする必要があります。
[Authentication]
- エンドポイントをそれぞれのリソースに割り当てるには、認証を使用できます。
- 802.1xのプロトコルを使用すると、MABおよびWebauthエンドポイントをRadiusサーバに対して認証および/またはプロファイリングし、認可プロファイルに基づいてネットワークへのアクセスを許可できます。
- それぞれのRadius属性を使用して、エンドポイントをそれぞれのVLAN、SGT、およびその他の属性に割り当て、エンドポイント/ユーザのネットワークアクセスを提供できます。
LISP VXLANファブリックの主要コンポーネント
コントロールプレーンノード
- lispマップサーバとマップリゾルバの機能を保持します。
- その他すべてのファブリックデバイスは、コントロールプレーンノードにEIDの場所を問い合わせ、EIDの登録をコントロールプレーンノードに送信します。
- これにより、コントロールプレーンノードは、さまざまなEIDの背後にあるRLOCに関するファブリックの完全なビューを確認できます。
境界ノード
- ファブリックの外部から他のファブリックまたは外部への接続を提供します。
- 内部ボーダーはファブリックにルートをインポートし、コントロールプレーンノードに登録します。
- 外部ボーダーは外部ネットワークに接続され、未知のIP宛先に対してファブリックの外部のデフォルトパスを提供します。
エッジノード
- これらのノードは、ファブリック内のエンドポイントへの接続を提供します。
- LISPの定義では、入力トンネルルータ(ITR)と出力トンネルルータ(ETR)の両方の機能を実行するため、これらはXTRになります。
ノードは、1つのタスクを実行するだけに限定されません。
- ファブリック内で組み合わせたり、すべての機能を実行したりできます。
- 境界ノードとコントロールプレーンノードが1つのデバイスに存在する場合、それらはコロケーションと呼ばれます。
- そのノードがエッジ機能も提供する場合、そのノードはFIAB(Fabric In A Box)と呼ばれます。
ネットワークの他の部分に対するハンドオフを提供する境界は、VRF Liteを使用します。
- 各オーバーレイまたは仮想ネットワークは、境界ノードのVRFインスタンスに関連付けられます。
- これらの各種VRFを接続するために、Fusionルータが使用されます。このFusionルータはファブリック自体の一部ではありませんが、オーバーレイネットワークをファブリックに接続できるようにするためには運用に不可欠です。
LISP VXLANファブリック内のもう1つの重要な概念は、IPエニーキャストを使用するという概念です。
- つまり、すべてのエッジデバイスで、スイッチ仮想インターフェイス(SVI)のIPアドレスとそのMACアドレスが複製されます。
- すべてのエッジは、IPv4、IPv6、およびMACアドレスに関してSVI上で同じ設定を持っています。
- これをトラブルシューティングするには、いくつかの課題があります。
- pingを使用して到達可能性をテストするには、ローカルに接続されたデバイスを使用します。
- LISP VXLANファブリックを介してリモートの宛先に到達するには、応答を送信するデバイスが応答を返さないだけでなく、どのファブリックノードが元のpingを送信したかが不明なローカルファブリックデバイスにパントされるエニーキャストIPアドレスにも応答を返します。
エンドポイント登録
LISP VXLANファブリックが機能するためには、コントロールプレーンノードが、ファブリックを介してすべてのエンドポイントに到達できる方法を認識していることが重要です。
- コントロールプレーンがネットワーク内のすべてのEIDを学習するには、認識しているすべてのEIDをコントロールプレーンに登録する他のすべてのファブリックデバイスに依存します。
- ファブリックノードは、コントロールプレーンノードにLISPマップ登録メッセージを送信します。マップ登録メッセージでアドバタイズされる情報の中から。
重要な情報
LISPインスタンス識別子：
- このIDはファブリックを介して伝送され、使用される仮想ネットワークを示します。
- レイヤ3オーバーレイごとのLISP VXLANファブリックでは、ファブリック内で使用されるVLANごとに1つのインスタンスが使用され、レイヤ2インスタンスも使用されます。
エンドポイント識別(EID):
- これがレイヤ2またはレイヤ3インスタンスの場合、これはMACアドレス、IPホストルート（/32または/128）、または登録されているIPサブネットです
ルーティングロケータ(RLOC):
- これは、他のファブリックデバイスがEIDに到達する必要があるカプセル化されたトラフィックを送信する際に、到達可能性をアドバタイズするファブリックノード自身のIPアドレスです。
プロキシフラグ：
- このフラグを設定すると、コントロールプレーンノードは、プロキシフラグを設定しなくても、他のファブリックノードからのマップ要求に直接応答できます（EIDを登録したファブリックノードにすべての要求を転送するように設定する必要はありません）。
登録手順
ステップ1：ファブリックデバイスは、エンドポイントIDについて学習します。これは、設定、ルーティングプロトコル、またはファブリックデバイスで学習された時点で行われます。
ステップ2：ファブリックデバイスは、学習したエンドポイントを、ファブリック内の既知で到達可能な各コントロールプレーンノードに登録します。
ステップ3：コントロールプレーンノードは、関連するインスタンスID、RLOC、および学習したEIDを含む登録済みEIDのテーブルを維持します
確認
1.1 MACアドレスラーニング
レイヤ2インスタンスで使用されるEIDは、関連付けられたVLAN内で学習されたMACアドレスです。ファブリックエッジは、スイッチ上の標準的な方法でレイヤ2アドレスを学習します。
特定のレイヤ2インスタンスIDに関連付けられたVLANを見つけます。設定を確認するか、コマンドを発行します。
「show lisp instance-id <instance> ethernet」を使用します。
FE2068#show lisp instance-id 8191 ethernet
Instance ID: 8191
Router-lisp ID: 0
Locator table: default
EID table: Vlan 150
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
Site Registration Limit: 0
Map-Request source: derived from EID destination
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
出力からわかるように、インスタンスID 8191はVLAN 150に関連付けられています。その結果、VLAN内のすべてのMACアドレスがLISPに登録され、LISP VXLANファブリックの一部になります。
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150
150 0019.3052.6d7f CP_LEARN L2LI0
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
インターフェイスVl150のスタティックエントリは、スイッチ仮想インターフェイス（インターフェイスvlan 150）のMACアドレスです。
- これらのMACアドレスは、すべてのエッジデバイスで同じであるため、コントロールプレーンノードには登録されません。
- 表示されるCP_LEARNエントリは、ファブリックを介して学習されたエントリです。他のすべてのエントリがダイナミックまたはスタティックの場合、そのエントリはコントロールプレーンノードに登録されます。
それぞれの手段で学習したエントリがlispデータベースの出力に表示されると、この出力には、このファブリックデバイス上のすべてのローカルエントリが含まれます。
FE2068#show lisp instance-id 8191 ethernet database
LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 150 (IID 8191), LSBs: 0x1
Entries total 3, no-route 0, inactive 0, do-not-register 2
0000.0c9f.f18e/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:40, Last-change: 14:56:40
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
0050.5693.8930/48, dynamic-eid Auto-L2-group-8191, inherited from default locator-set rloc_hosts
Uptime: 14:03:06, Last-change: 14:03:06
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
2416.9db4.33fd/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:50, Last-change: 14:56:50
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
データベースに表示されているすべての既知のローカルMACアドレスについて、ロケータが表示されます。
- これは、このエントリをコントロールプレーンノードに登録するために使用されるロケータです。
- また、ロケータの状態も示しています。スイッチSVIに属していた2つのMACアドレスも表示されていますが、これらは「登録しない」フラグ付きで表示され、登録できません。
- show mac address tableコマンドで表示されたリモートエントリはローカルMACアドレスではないため、lispデータベースの下には表示されません。
レイヤ2インスタンスでは、レイヤ2 MACアドレスがEIDとして学習されるだけでなく、ARPおよびNDフレームからアドレス解決情報を学習する必要もあります。
- LISP VXLANファブリックは、通常VLAN内でフラッディングされるこれらのフレームを転送できます。
- レイヤ2インスタンスIDには、エンドポイントが同じインスタンス内の他のエンドポイントのアドレス解決情報を解決できるようにする別のメカニズムを常にフラッディングする機能があるとは限りません。このために、ファブリックデバイスは、デバイストラッキング(DT)によってローカルに学習されたこの情報を学習して登録します。
- この情報は、コントロールプレーンノードにも登録されます。NDまたはARPスヌーピングにより、これらのパケットはCPUにパントされ、関連付けられた既知のMACアドレスがあるかどうかを確認するためのコントロールプレーンノードへの要求をトリガーします。
- 肯定応答が返されると、ARP/NDパケットが書き換えられ、宛先MACアドレスがブロードキャストまたはマルチキャストからユニキャストMACアドレスに変更されます。
- この書き換えられたパケットは、ユニキャストフレームとしてLISP VXLANファブリック経由で転送できます。
スイッチで認識されているアドレス解決情報を表示するには、show device-tracking databaseコマンドを使用できます。
- これにより、デバイストラッキングで認識されているすべてのマッピングが表示されます。
- スイッチ自体のIPアドレスにはL(Local)というラベルが付いており、デバイストラッキングデータベースに存在している必要があります。
リモートエントリもこの出力に表示されます。
- ND要求またはARP要求がスヌーピングされた後に解決されると、それらは0000.0000.00fdのリンク層アドレスを持つデバイストラッキングデータベースに配置されます。
- それらが解決されると、情報は解決されたMACアドレスに変更され、ポートはTu0に変更されます。
デバイス追跡データベースを表示する
FE2068#show device-tracking database vlanid 150
vlanDB has 6 entries for vlan 150, 3 dynamic
Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created
Preflevel flags (prlvl):
0001:MAC and LLA match 0002:Orig trunk 0004:Orig access
0008:Orig trusted trunk 0010:Orig trusted access 0020:DHCP assigned
0040:Cga authenticated 0080:Cert authenticated 0100:Statically assigned
Network Layer Address Link Layer Address Interface vlan prlvl age state Time left
ARP 172.24.1.3 0050.5693.8930 Gi1/0/1 150 0005 31s REACHABLE 213 s try 0
RMT 172.24.1.4 0050.5693.3120 Tu0 150 0005 51s REACHABLE
API 172.24.1.99 0000.0000.00fd Gi1/0/1 150 0000 5s UNKNOWN try 0 (25 s)
ND FE80::1AE4:8804:5B8F:50F6 0050.5693.8930 Gi1/0/1 150 0005 127s REACHABLE 115 s try 0
ND 2001:DB8::E70B:E8E1:E368:BDB7 0050.5693.8930 Gi1/0/1 150 0005 137s REACHABLE 110 s try 0
L 172.24.1.254 0000.0c9f.f18e Vl150 150 0100 1078mn REACHABLE
L 2001:DB8::1 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
L FE80::200:CFF:FE9F:F18E 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
コマンド「show lisp instance-id <instance> ethernet database address-resolution」を使用して、ローカルに登録されたマッピングを表示します。
FE2068#show lisp instance-id 8191 ethernet database address-resolution
LISP ETR Address Resolution for LISP 0 EID-table Vlan 150 (IID 8191)
(*) -> entry being deleted
Hardware Address L3 InstID Host Address
0000.0c9f.f18e 4099 FE80::200:CFF:FE9F:F18E/128
4099 2001:DB8::1/128
0050.5693.8930 4099 172.24.1.3/32
4099 2001:DB8::E70B:E8E1:E368:BDB7/128
4099 FE80::1AE4:8804:5B8F:50F6/128
1.2ダイナミックIPアドレスラーニング
IPレイヤ上のファブリックデバイスでは、LISPインスタンスIDをVRFに関連付けることによって仮想ネットワークが形成されます。
- このVRFは、さまざまなスイッチ仮想インターフェイス(SVI)の下で設定され、レイヤ3オーバーレイネットワークの一部になります
- ほとんどの場合、これらのSVIは、それぞれのレイヤ2インスタンスに登録されているVLANにも属しています。
コマンド'show lisp instance-id <instance> ipv4'を使用して、VRFとLISPインスタンスID間のマッピングを検索します。
FE2068#sh lisp instance-id 4099 ipv4
Instance ID: 4099
Router-lisp ID: 0
Locator table: default
EID table: vrf Fabric_VN_1
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
注：このコマンドは、このインスタンスに対して有効にできるさまざまな関数を確認するためにも使用できます。また、このコマンドはLISP VXLANファブリック内の使用されているコントロールプレーンノードを表示します
レイヤ3インスタンスが作成され、VRFにリンクされると、LISP 0 <instance-id>インターフェイスが作成され、実行コンフィギュレーションおよびshow vrfの下に表示されます。
- このインターフェイスは手動で作成する必要はなく、通常は設定する必要はありません（アンダーレイマルチキャストを使用する場合のマルチキャスト設定は別として）。
FE2068#show vrf Fabric_VN_1
Name Default RD Protocols Interfaces
Fabric_VN_1ipv4,ipv6 LI0.4099
Vl150
Vl151
VLANのすべてのMACアドレスがIPに使用されるイーサネットフレームとは異なり、ダイナミックEIDの範囲内にあるIPアドレスを学習する必要があります。
LISPインスタンスを表示する
FE2068#sh lisp instance-id 4099 dynamic-eid
LISP Dynamic EID Information for router 0, IID 4099, EID-table VRF "Fabric_VN_1"
Dynamic-EID name: Fabric_VN_Subnet_1_IPv4
Database-mapping EID-prefix: 172.24.1.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.1.3, 21:17:45 ago
Dynamic-EID name: Fabric_VN_Subnet_1_IPv6
Database-mapping EID-prefix: 2001:DB8::/64, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 2001:DB8::E70B:E8E1:E368:BDB7, 21:17:44 ago
Dynamic-EID name: Fabric_VN_Subnet_2_IPv4
Database-mapping EID-prefix: 172.24.2.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.2.2, 21:55:56 ago
これらの定義範囲外のIPアドレスは、ファブリックに対して不適格と見なされ、LISPデータベースに入れられず、コントロールプレーンノードに登録されません。
FE2068#show lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 4, no-route 0, inactive 0, do-not-register 2
172.24.1.3/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, inherited from default locator-set rloc_hosts
Uptime: 21:28:51, Last-change: 21:28:51
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.1.254/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.2/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, inherited from default locator-set rloc_hosts
Uptime: 22:07:03, Last-change: 22:07:03
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.254/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
出力には、ローカルで既知のIPアドレス情報がすべて表示されます。
- ホストの場合、これらは通常ホストルート（/32または/128）ですが、境界ノードに基づいてLISPデータベースにインポートされた場合は、サブネットにすることもできます。
- SVI自体からのIPアドレスには、「登録しない」というフラグが付けられます。これは、すべてのファブリックデバイスがコントロールプレーンノードにエニーキャストIPアドレスを登録することを回避するためです。
CP_BN_2071#sh lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 2, no-route 0, inactive 0, do-not-register 0
0.0.0.0/0, locator-set rloc_border, auto-discover-rlocs, default-ETR
Uptime: 2d17h, Last-change: 2d17h
Domain-ID: local
Metric: 0
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
10.48.13.0/24, route-import, inherited from default locator-set rloc_border, auto-discover-rlocs
Uptime: 2d17h, Last-change: 2d16h
Domain-ID: local, tag: 65101
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
1.3コントロールプレーンへのEIDの登録
LISP VXLANベースのファブリックでのエンドポイント登録は、LISPの信頼性の高い登録を通じて行われます。つまり、すべての登録は、確立されたTCPセッション（LISPセッション）を通じて行われます。すべてのファブリックデバイスから、ファブリック内の各コントロールプレーンノードを使用してLISPセッションが確立されます。このLISPセッションを通じて、すべての登録が行われます。ファブリック内に複数のコントロールプレーンノードが存在する場合、それらはすべてEIDの登録に使用されます。
ファブリックデバイスに何も登録されていない状態はDown状態です。これは通常、外部ボーダーでのみ発生します
コントロールプレーンノードまたはエンドポイントのないエッジデバイスにIP範囲を登録しない
EIDの登録は、LISP登録メッセージを通じて行われます
すべての設定済みコントロールプレーンノードに送信されます。
ファブリックデバイス上のLISPセッションを表示するには、show lisp sessionコマンドを使用します。
セッションの状態と、セッションがアップ状態であった時間が表示されます。
FE2068#show lisp session
Sessions for VRF default, total: 1, established: 1
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:06:07 9791/6531 10
Downと表示されるLISPセッションは、コントロールプレーンノードに登録するEIDを持たないデバイスで発生する可能性があります。
通常、これは、エンドポイントが接続されていないファブリックまたはエッジデバイスにルートをインポートしないボーダーノードです。
コマンド「show lisp session vrf default <ip address>」を使用して、LISPセッションの詳細情報を表示します。
FE2068#show lisp vrf default session 172.30.250.19
Peer address: 172.30.250.19:4342
Local address: 172.30.250.44:13255
Session Type: Active
Session State: Up (22:07:24)
Messages in/out: 9800/6537
Bytes in/out: 616771/757326
Fatal errors: 0
Rcvd unsupported: 0
Rcvd invalid VRF: 0
Rcvd override: 0
Rcvd malformed: 0
Sent deferred: 1
SSO redundancy: N/A
Auth Type: None
Accepting Users: 0
Users: 10
Type ID In/Out State
Policy subscription lisp 0 IID 4099 AFI IPv4 2/1 Established
Pubsub subscriber lisp 0 IID 4099 AFI IPv6 1/0 Idle
Pubsub subscriber lisp 0 IID 8191 AFI MAC 2/0 Idle
Pubsub subscriber lisp 0 IID 8192 AFI MAC 0/0 Idle
ETR Reliable Registration lisp 0 IID 4099 AFI IPv4 6/5 TCP
ETR Reliable Registration lisp 0 IID 4099 AFI IPv6 1/3 TCP
ETR Reliable Registration lisp 0 IID 8191 AFI MAC 9769/6517 TCP
ETR Reliable Registration lisp 0 IID 8192 AFI MAC 2/6 TCP
ETR Reliable Registration lisp 0 IID 16777214 AFI IPv4 4/4 TCP
Capability Exchange N/A 1/1 waiting
このセッションの詳細出力は、コントロールプレーンノードに登録されているEIDでアクティブなインスタンスを示しています。
CP_BN_2071#show lisp session
Sessions for VRF default, total: 7, established: 4
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:10:52 1198618/1198592 4
172.30.250.19:49270 Up 22:10:52 1198592/1198618 3
172.30.250.30:25780 Up 22:10:38 6534/9805 6
172.30.250.44:13255 Up 22:10:44 6550/9820 7
コントロールプレーンノードのセッション数を調べると、通常、アップ状態のセッション数が多いことが分かります。
- このノードが同じ場所に配置されたBorder/CPノードである場合、それ自体に対してLISPセッションも確立されます。
- この例では、172.30.250.19:4342から172.30.250.19:49270へのセッションがあります。
- このセッションを通じて、BorderコンポーネントはEIDをコントロールプレーンノードに登録します。
1.4コントロールプレーンの情報
登録によってファブリックデバイスから提供される情報を使用して、コントロールプレーンノードはファブリックの完全なビューを構築できます。インスタンスIDごとに、学習されたEIDとその関連するルーティングロケータを含むテーブルを維持します。
レイヤ3インスタンスの場合は、show lisp siteコマンドを使用して、これを表示します
CP_BN_2071#show lisp site
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 4097 0.0.0.0/0
never no -- 4097 172.23.255.0/24
never no -- 4097 172.24.255.0/24
never no -- 4099 0.0.0.0/0
00:00:00 yes# 172.30.250.19:49270 4099 10.48.13.0/24
never no -- 4099 172.23.1.0/24
never no -- 4099 172.24.1.0/24
21:35:06 yes# 172.30.250.44:13255 4099 172.24.1.3/32
22:11:46 yes# 172.30.250.30:25780 4099 172.24.1.4/32
never no -- 4099 172.24.2.0/24
22:11:52 yes# 172.30.250.44:13255 4099 172.24.2.2/32
このコマンドは、すべての登録済みEIDと、そのEIDを最後に登録したユーザを表示します。これは通常、使用中のRLOCでもあることに注意してください。ただし、これは異なる場合があります。また、EIDは複数のRLOC(RLOC2)に登録できます。
詳細を表示するには、コマンドにEIDとインスタンスを含めます
CP_BN_2071#show lisp site 172.24.1.3/32 instance-id 4099
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 172.24.1.3/32 instance-id 4099
First registered: 21:35:53
Last registered: 21:35:53
Routing table tag: 0
Origin: Dynamic, more specific of 172.24.1.0/24
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.44:13255, last registered 21:35:53, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x6ED7000E-0xD4C608C5
xTR-ID 0x88F15053-0x40C0253D-0xAE5EA874-0x2551DB71
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.44 yes up 10/10 IPv4 none
注：詳細な出力では、注意が必要な点がいくつかあります。
- プロキシでは、この設定により、コントロールプレーンノードはマップ要求に直接応答します。従来のLISPでは、マップ要求はEIDを登録したXTRに転送されますが、プロキシセットを使用すると、コントロールプレーンノードは直接応答します
- これはEID登録の存続可能時間(TTL)です。デフォルトでは24時間です
- ETR情報。これは、EID登録を送信したファブリックデバイスに関連します。
- RLOC情報です。これは、EIDに到達するために使用されるRLOCです。これには、アップ/ダウンの状態の情報も含まれます。RLOCがダウンしている場合は使用されません。また、EIDに対して複数のRLOCが存在する場合に使用できる重みと優先度が含まれ、EIDの中の1つに優先度を与えます。
コントロールプレーンノードの登録履歴を表示するには、show lisp server registration historyコマンドを使用します。
- 登録および登録解除されたEIDの概要が表示されます。
登録履歴の表示
CP_BN_2071#show lisp server registration-history last 10
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:49:51.490 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.491 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.621 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.622 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.752 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.754 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.884 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.886 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:52.017 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:52.019 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
登録されているイーサネットのEIDを表示します。コマンドはshow lisp instance-id <instance> ethernet server （これは、レイヤ3と同様の出力を示します）。
CP_BN_2071#show lisp instance-id 8191 ethernet server
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 8191 any-mac
00:00:04 yes# 172.30.250.44:13255 8191 0019.3052.6d7f/48
21:36:41 yes# 172.30.250.44:13255 8191 0050.5693.8930/48
22:13:20 yes# 172.30.250.30:25780 8191 0050.5693.f1b2/48
登録に関する詳細情報を取得するには、MACアドレスを追加します
CP_BN_2071#show lisp instance-id 8191 ethernet server 0019.3052.6d7f
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 0019.3052.6d7f/48 instance-id 8191
First registered: 22:14:38
Last registered: 00:00:03
Routing table tag: 0
Origin: Dynamic, more specific of any-mac
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.30:25780, last registered 00:00:03, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x0465A327-0xA3A2974C
xTR-ID 0x280403CF-0x598BAAF1-0x3E70CE52-0xE8F09E6E
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.30 yes up 10/10 IPv4 none
イーサネットEIDの登録履歴を確認するには、「登録履歴」を追加します。
注：このコマンドは、デバイスがファブリック内をローミングし、MACアドレスが登録されている場所と時間を確認する場合に非常に便利です
CP_BN_2071#show lisp instance-id 8191 ethernet server registration-history
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:47:10.291 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:10.296 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:18.644 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:18.647 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:20.700 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:20.702 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:31.914 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:31.918 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:40.206 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:40.210 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
コントロールプレーンノードに登録されているアドレス解決情報を表示するには、コマンドにアドレス解決が追加されます。
- これは、MACアドレスとそのレイヤ3情報間のマッピングを示しているだけで、レイヤ2の宛先MACアドレスをブロードキャスト/マルチキャストからユニキャストに書き換えるために、主にファブリックエッジで使用されます。
- そのレイヤ2 MACアドレスに対応するRLOCは、個別に解決されます（MACアドレスの割り当て方法は100.100.100です）。
「address-resolution」を追加して、コントロールプレーンノードで登録済みのアドレス解決情報を表示します。
CP_BN_2071#sh lisp instance-id 8191 ethernet server address-resolution
Address-resolution data for router lisp 0 instance-id 8191
L3 InstID Host Address Hardware Address
4099 172.24.1.3/32 0050.5693.8930
4099 172.24.1.4/32 0050.5693.f1b2
4099 2001:DB8::E70B:E8E1:E368:BDB7/128 0050.5693.8930
4099 2001:DB8::F304:BCCD:6BF3:BFAF/128 0050.5693.f1b2
4099 FE80::3EE:5111:BA77:E37D/128 0050.5693.f1b2
4099 FE80::1AE4:8804:5B8F:50F6/128 0050.5693.8930
注：リンクローカルIPv6アドレスがIPv6ダイナミックEIDに一致しなくても、アドレス解決のために学習され、コントロールプレーンノードに表示されます。これらはレイヤ3インスタンスIDに登録されませんが、アドレス解決に使用できます。
リモート接続先の解決
LISP VXLANファブリックを介してトラフィックを転送するには、宛先のRLOCを解決する必要があります。LISP VXLANファブリック内では、これは情報がファブリックデバイスの転送情報ベース(FIB)に入れられるマップキャッシュを使用して行われます。
LISP VXLANファブリックでは、データ信号によってマップキャッシュがトリガーされます。
- つまり、トラフィックがCPUに転送され、CPUはコントロールプレーンノードに向けてマップ要求を作成し、そのEIDに向けてフレームを送信する必要があるRLOC情報を照会します。
- マップ要求を受信した場合、コントロールプランはこのEIDに関連付けられたルーティングロケータ情報を提供するか、または否定応答のマップ応答を返信します。
- WLCが負のマップ応答を送信すると、コントロールプレーンノードは、要求されたEIDが不明であることを示すだけでなく、このEIDが属するEIDのブロック全体を、登録が存在しないものとして提供します。
コントロールプレーンノードからのマップ応答内の情報を使用して、マップキャッシュが更新されます。
- マップ応答のTTLは通常24時間です。（負のマップ応答の場合、通常はわずか15分です）。
- イーサネットEIDの場合、負のマップ応答はマップキャッシュに入れられません。（これはレイヤ3インスタンスに対してのみ行われます）。
2.1イーサネットマップキャッシュ
show lisp instance-id <instance> map-cacheコマンドを使用して、イーサネットのマップキャッシュを表示します。
FE2067#show lisp instance-id 8191 ethernet map-cache
LISP MAC Mapping Cache for LISP 0 EID-table Vlan 150 (IID 8191), 1 entries
0019.3052.6d7f/48, uptime: 00:00:07, expires: 23:59:52, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:07 up 10/10 -
このコマンドは、解決されたリモートMACアドレスエントリを表示します。
- イーサネットインスタンスのマップキャッシュエントリをトリガーするには、トラフィックを未知の宛先に送信する必要があります。
- その結果、ファブリックデバイスはLISPを介して問題を解決しようとします。
- マップ応答を介して学習されると、そのフレームはマップキャッシュに格納され、レイヤ2の宛先に向かう後続のフレームは、学習したルーティングロケータに直接送信されます。
レイヤ2インスタンスでは、オプションでBUMトラフィックのフラッディングが使用されます（BUMトラフィックのフラッディング）。
- LISP/VXLANはオーバーレイテクノロジーを使用するため、デフォルトではトラフィックをフラッディングしません。ただし、IPマルチキャストグループは、レイヤ2フレームがフラッディングされる可能性があるアンダーレイネットワーク(GRT)で設定できます。
ブロードキャストアンダーレイグループアドレスを表示する
FE2068#sh run | sec instance-id 8191
instance-id 8191
remote-rloc-probe on-route-change
service ethernet
eid-table vlan 150
broadcast-underlay 239.0.1.19
database-mapping mac locator-set rloc_hosts
exit-service-ethernet
!
exit-instance-id
2.2 IPマップキャッシュ
レイヤ3インスタンスの場合、マップキャッシュ情報は、CPUに送信されるトラフィックによって信号がマップ要求を送信するようにイーサネットを構築する場合と同様です。
- ただし、レイヤ3パケットの場合は、設定時に信号を送信するためにCPUにパントされるだけです。これは、設定されているmap-cacheコマンドによって実行されます。IPv4の場合は0.0.0.0/0、IPv6の場合は：:0/0です。
- 境界ノードでのこのマップキャッシュエントリの設定は、注意して行う必要があります。このマップキャッシュ0.0.0.0/0または：:0/0マップキャッシュエントリを使用して境界ノードが設定されている場合、境界ノードは、ファブリックの外部にルーティングするのではなく、ファブリックを介して不明な宛先を解決しようとします。
マップキャッシュ設定を表示する
FE2068#sh run | sec instance-id 4099
instance-id 4099
remote-rloc-probe on-route-change
dynamic-eid Fabric_VN_Subnet_1_IPv4
database-mapping 172.24.1.0/24 locator-set rloc_hosts
exit-dynamic-eid
!
dynamic-eid Fabric_VN_Subnet_1_IPv6
database-mapping 2001:DB8::/64 locator-set rloc_hosts
exit-dynamic-eid
!
service ipv4
eid-table vrf Fabric_VN_1
map-cache 0.0.0.0/0 map-request
exit-service-ipv4
!
service ipv6
eid-table vrf Fabric_VN_1
map-cache ::/0 map-request
exit-service-ipv6
!
exit-instance-id
map-cache 0.0.0.0/0および：:/0 map-requestにより、「send-map-request」アクションを使用してマップキャッシュ内にマップキャッシュエントリが設定されます。これにヒットするトラフィックはマップ要求をトリガーします。マップキャッシュエントリは最長マッチに基づいて動作するFIBに配置されるので、これは、より具体的なエントリにヒットしないすべてのルーティングされたIPトラフィックに適用されます。
- サポートされているプラットフォームでは、最初にドロップされるパケットを回避するために、表示されるアクションはsend-map-request + encapsulate to proxy ETRです。
これにより、未知の宛先への最初のパケットがマップ要求をトリガーし、パケットがプロキシetrに転送されます（存在する場合）。
FE2067#show lisp instance-id 4099 ipv4 map-cache
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 6 entries
0.0.0.0/0, uptime: 22:28:18, expires: 00:13:41, via map-reply, unknown-eid-forward
action: send-map-request + Encapsulating to proxy ETR
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:18 up 10/10 - 0
10.48.13.0/24, uptime: 02:31:26, expires: 21:28:34, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.19 02:31:26 up 10/10 -
172.24.1.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.2/32, uptime: 00:00:21, expires: 23:59:38, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:21 up 10/10 -
172.28.0.0/14, uptime: 22:28:22, expires: 00:13:39, via map-reply, unknown-eid-forward
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:19 up 10/10 - 0
この出力では、いくつかのエントリが示されています。
- この出力の10.48.13.0/24および172.24.2.2/32はマップ応答によって学習され、完了しています。これらの宛先へのトラフィックはカプセル化され、それぞれのロケータに転送されます。
- 172.28.0.0/14は、受信されたネガティブマップ応答と返されたIPアドレスのブロックの例です。このエントリがマップキャッシュ内にある限り、このサブネットへのトラフィックはマップ要求をトリガーしません。
ファブリックを介したトラフィック転送
3.1レイヤ2またはレイヤ3フォワーディング
LISP/VXLANファブリックのトラフィックは、レイヤ2またはレイヤインスタンスを介して転送できます。
- どのインスタンスが使用されるかは、フレームのv宛先MACアドレスによって決まります。
- フレームが転送されるスイッチに登録されているMACアドレス以外の任意のMACアドレスに送信されるフレームは、レイヤ2を使用します。パケットの宛先がスイッチの場合、パケットはレイヤ3を介して転送されます。
- これは、Catalyst 9000シリーズスイッチを介した通常の転送に適用されるロジックと同じです。
3.2レイヤ2フォワーディング
LISP VXLANファブリックを介したレイヤ2転送は、レイヤ2宛先MACアドレスに基づいて行われます。 リモートの宛先は、出力インターフェイスL2LI0でMACアドレステーブルに挿入されます。
ローカルおよびリモートのレイヤ2インターフェイスを表示する
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150 <- Local
150 0019.3052.6d7f CP_LEARN L2LI0 <- Remote
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
不明な宛先に対しては、設定されている場合、トラフィックはアンダーレイに設定されているIPマルチキャストグループを介して送信されます。
- ブロードキャスト、不明なユニキャスト、およびマルチキャスト（選択的マルチキャストフラッディングのみ）トラフィックのフラッディングを正しく行うには、アンダーレイで正しく動作するマルチキャスト環境が必要です。
- このマルチキャストアンダーレイグループを介して送信されるトラフィックは、VXLANでカプセル化されます。
- 他のすべてのエッジは、マルチキャストグループに参加してトラフィックを受信し、既知のレイヤ2インスタンスのトラフィックのカプセル化を解除する必要があります。
アンダーレイIPマルチキャストグループを表示する
FE2068#sh ip mroute 239.0.19.1
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
L - Local, P - Pruned, R - RP-bit set, F - Register flag,
T - SPT-bit set, J - Join SPT, M - MSDP created entry, E - Extranet,
X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
U - URD, I - Received Source Specific Host Report,
Z - Multicast Tunnel, z - MDT-data group sender,
Y - Joined MDT-data group, y - Sending to MDT-data group,
G - Received BGP C-Mroute, g - Sent BGP C-Mroute,
N - Received BGP Shared-Tree Prune, n - BGP C-Mroute suppressed,
Q - Received BGP S-A Route, q - Sent BGP S-A Route,
V - RD & Vector, v - Vector, p - PIM Joins on route,
x - VxLAN group, c - PFP-SA cache created entry,
* - determined by Assert, # - iif-starg configured on rpf intf,
e - encap-helper tunnel flag, l - LISP decap ref count contributor
Outgoing interface flags: H - Hardware switched, A - Assert winner, p - PIM Join
t - LISP transit group
Timers: Uptime/Expires
Interface state: Interface, Next-Hop or VCD, State/Mode
(*, 239.0.1.19), 00:02:36/stopped, RP 172.31.255.1, flags: SJCF
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:35/00:00:24, flags:
(172.30.250.44, 239.0.1.19), 00:02:03/00:00:56, flags: FT
Incoming interface: Null0, RPF nbr 0.0.0.0
Outgoing interface list:
GigabitEthernet1/0/23, Forward/Sparse, 00:02:03/00:03:23, flags:
(172.30.250.30, 239.0.1.19), 00:02:29/00:00:30, flags: JT
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:29/00:00:30, flags:
この出力は、フラッディングされたトラフィックを送信するようにクライアントが設定されているファブリック内の他のすべてのエッジに対するS,Gエントリを示します。また、このエッジデバイスのLoopback0を送信元とする1つのS,Gエントリも示しています。
アンダーレイマルチキャストグループを通過するトラフィックの受信側では、show ip mrouteコマンドによってL2LISP0.<instance>も表示されます。
これは、このエッジデバイスがどのレイヤ2インスタンスに対してフラッディングされたトラフィックのカプセル化を解除し、そのトラフィックを
関連するインターフェイス。
3.3レイヤ3転送情報
LISP VXLANファブリックが展開されているときのトラフィックの転送方法を判断するには、CEFを確認することが重要です。
- 従来のルーティングプロトコルとは異なり、LISPはルーティングテーブルにはルーティング方向を挿入しませんが、CEFと直接対話してFIBを更新します。
特定のリモート接続先に関して、マップキャッシュ情報には使用されるロケータ情報が含まれます。
ロケーター情報を表示する
FE2067#sh lisp instance-id 4099 ipv4 map-cache 172.24.2.2
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 1 entries
172.24.2.2/32, uptime: 11:19:02, expires: 12:40:57, via map-reply, complete
Sources: map-reply
State: complete, last modified: 11:19:02, map-source: 172.30.250.44
Idle, Packets out: 2(1152 bytes), counters are not accurate (~ 11:18:35 ago)
Encapsulating dynamic-EID traffic
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 11:19:02 up 10/10 -
Last up-down state change: 11:19:02, state change count: 1
Last route reachability change: 11:19:02, state change count: 1
Last priority / weight change: never/never
RLOC-probing loc-status algorithm:
Last RLOC-probe sent: 11:19:02 (rtt 2ms)
マップキャッシュから、このEIDに使用されるロケータは172.30.250.44です。したがって、この宛先へのトラフィックはカプセル化され、外部IPヘッダーのIP宛先アドレスは172.30.250.44になります。
このインスタンスに使用されるVRFのルーティングテーブルでは、このエントリは表示されません。
FE2067#show ip route vrf Fabric_VN_1
Routing Table: Fabric_VN_1
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type
E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP
n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
H - NHRP, G - NHRP registered, g - NHRP registration summary
o - ODR, P - periodic downloaded static route, l - LISP
a - application route
+ - replicated route, % - next hop override, p - overrides from PfR
& - replicated local route overrides by connected
Gateway of last resort is not set
172.24.0.0/16 is variably subnetted, 5 subnets, 2 masks
C 172.24.1.0/24 is directly connected, Vlan150
l 172.24.1.4/32 [10/1] via 172.24.1.4, 06:11:02, Vlan150
L 172.24.1.254/32 is directly connected, Vlan150
C 172.24.2.0/24 is directly connected, Vlan151
L 172.24.2.254/32 is directly connected, Vlan151
CEF出力には、LISP VXLANファブリックを介した転送に関する詳細情報が表示されます。
- show ip cefコマンドにdetailキーワードを追加しても、カプセル化されたフレームの送信先が表示されるだけではありません。
- この出力を含む出力インターフェイスはLISP 0です。<instance>は、トラフィックがカプセル化されて送信されることを示します。
FE2067#sh ip cef vrf Fabric_VN_1 172.24.2.2 detail
172.24.2.2/32, epoch 1, flags [subtree context, check lisp eligibility]
SC owned,sourced: LISP remote EID - locator status bits 0x00000001
LISP remote EID: 2 packets 1152 bytes fwd action encap, dynamic EID need encap
SC inherited: LISP cfg dyn-EID - LISP configured dynamic-EID
LISP EID attributes: localEID No, c-dynEID Yes, d-dynEID No, a-dynEID No
SC inherited: LISP generalised SMR - [enabled, inheriting, 0x7FF95B3E0BE8 locks: 5]
LISP source path list
nexthop 172.30.250.44 LISP0.4099
2 IPL sources [no flags]
nexthop 172.30.250.44 LISP0.4099
トラフィックはカプセル化されてネクストホップに送信されるため、次のステップは、show ip cef <next hop>を実行して、パケットがルーティングされる出力インターフェイスを確認することです。
実行して出力インターフェイスを表示します
FE2067#sh ip cef 172.30.250.44
172.30.250.44/32
nexthop 172.30.250.38 GigabitEthernet1/0/23
注：等コストマルチパス(ECMP)ルーティングには、2つの異なるレベルがあります。
- 2つのアドバタイズされたRLOCが存在する場合、トラフィックはオーバーレイ内でロードバランシングできます。また、RLOC IPアドレスに到達するための冗長パスが存在する場合、アンダーレイネットワーク内でロードバランシングできます。
- UDPの宛先ポートは4789に固定されており、2つのファブリックデバイス間のすべてのフローの送信元と宛先のIPアドレスは同じであるため、すべてのパケットが同じパスを経由してルーティングされることを回避するために、何らかの形式の偏波防止メカニズムを実行する必要があります。
- LISP VXLANでは、これはオーバーフローネットワーク内の異なるフローごとに異なる外部ヘッダー内のUDP送信元ポートです。
3.4パケット形式
- LISP VXLANファブリック内では、すべてのトラフィックがVXLANで完全にカプセル化されます。これには、レイヤ2とレイヤ3の両方のオーバーレイをサポートできるレイヤ2フレーム全体が含まれます。
レイヤ2フレームの場合、元のヘッダーはカプセル化されます。レイヤ3インスタンスを介して送信されるフレームには、ダミーのレイヤ2ヘッダーが使用されます。
Ethernet II, Src: 24:16:9d:3d:56:67 (24:16:9d:3d:56:67), Dst: 6c:31:0e:f6:21:c7 (6c:31:0e:f6:21:c7)
Internet Protocol Version 4, Src: 172.30.250.30, Dst: 172.30.250.44
User Datagram Protocol, Src Port: 65288, Dst Port: 4789
Virtual eXtensible Local Area Network
Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)
1... .... .... .... = GBP Extension: Defined
.... .... .0.. .... = Don't Learn: False
.... 1... .... .... = VXLAN Network ID (VNI): True
.... .... .... 0... = Policy Applied: False
.000 .000 0.00 .000 = Reserved(R): 0x0000
Group Policy ID: 16
VXLAN Network Identifier (VNI): 4099
Reserved: 0
Ethernet II, Src: 00:00:00:00:80:a3 (00:00:00:00:80:a3), Dst: ba:25:cd:f4:ad:38 (ba:25:cd:f4:ad:38)
Internet Protocol Version 4, Src: 172.24.1.4, Dst: 172.24.2.2
Internet Control Message Protocol
LISP VXLANファブリックを介して伝送されるフレームのサンプルキャプチャからわかるように、vxlanパケット内には完全にカプセル化されたフレームがあります。レイヤ3フレームであるため、イーサネットヘッダーはダミーヘッダーです。
VXLANヘッダーのVLAN Network Identifierフィールドには、フレームが属するLISPインスタンスIDが含まれます。
- Group Policy IDフィールドを通じて、フレームSGTタグが伝送されます。
- これはファブリックの入力側で設定され、グループベースのポリシー適用が行われるまでファブリックに向けて伝送されます。
認証とセキュリティの適用
4.1スイッチポート認証
エンドポイントをそれぞれのVLANに動的に割り当て、SGTタグ認証を使用して割り当てることができます。
- Dot1x/MAB/中央Web認証などの認証プロトコルを導入すると、スイッチに属性を返送するRadiusサーバ上のユーザとエンドポイントを認証および認可し、正しいプール内のクライアント/エンドポイントへのネットワークアクセスと正しいネットワークアクセス認可を可能にすることができます。
LISP VXLANファブリックの場合、一般的なRADIUS属性がいくつかあります。
- Vlan割り当て：この属性は、RADIUSサーバからスイッチへのVLAN IDまたは名前に設定され、エンドポイントを特定のレイヤ2/レイヤ3 LISPインスタンスに割り当てることができます。
- SGT値：この属性は、SGTがこのSGTにエンドポイントを割り当てるように設定します。これは、このエンドポイントに対するグループベースポリシーに使用されるだけでなく、このエンドポイントから発信されるファブリックを介して送信されるすべてのフレームにSGT値を割り当てます。
- 音声許可：音声デバイスは音声vlanで動作します。これにより、エンドポイントがポートで設定された音声vlanでトラフィックの送受信を許可される音声許可が設定されます。これは、それぞれのVLANで音声トラフィックとデータトラフィックを分離するためです
- セッションタイムアウト：さまざまなエンドポイントに、セッションの独自のタイムアウトがあります。クライアントが再認証を必要とする頻度を示すために、RADIUSサーバからタイムアウトを送信できます
- テンプレート：エンドポイントによっては、正しく動作させるために、ポートに異なるテンプレートを適用する必要があります。 ポートに適用する必要がある内容を示すテンプレート名をRadiusサーバから送信できます
ポートでの認証結果を確認するには、show access-sessionコマンドを使用します。
FE2067#show access-session interface Gi1/0/1 details
Interface: GigabitEthernet1/0/1
IIF-ID: 0x1FF97CF7
MAC Address: 0050.5693.f1b2
IPv6 Address: FE80::3EE:5111:BA77:E37D
IPv4 Address: 172.24.1.4
User-Name: 00-50-56-93-F1-B2
Device-type: Microsoft-Workstation
Device-name: W7180-PC
Status: Authorized
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Session timeout: N/A
Acct update timeout: 172800s (local), Remaining: 172678s
Common Session ID: 9256300A000057B8376D924C
Acct Session ID: 0x00016d77
Handle: 0x85000594
Current Policy: PMAP_DefaultWiredDot1xClosedAuth_1X_MAB
Local Policies:
Server Policies:
Vlan Group: Vlan: 150
SGT Value: 16
Method status list:
Method State
dot1x Stopped
mab Authc Success
次の主要なフィールドに注意してください。
- IPv4およびIPv6アドレス：通常はデバイストラッキングを通じて学習されます。
- ユーザ名：認証に使用されるユーザ名。
- Dot1xの場合、通常は認証を行うユーザです。
- MABを使用する場合、これは認証用のユーザ名とパスワードとしてRadiusに送信されるステーションのMACアドレスです。
- Status:認証のステータスと認証結果を示します。
- ドメイン：通常のエンドポイントの場合、これはDataドメインであるため、トラフィックはタグなしでポートで送受信されます。（音声デバイスの場合、これは音声に設定できます）
- サーバポリシー：Radiusサーバからの情報（Vlan割り当てやSGT割り当てなど）が格納されます
- メソッドステータスリスト：実行されるメソッドの概要が表示されます。
- 標準dot1xはMABよりも前に実行されます。
- エンドポイントがEAPOLフレームに応答しない場合、メソッドはmabにフェールオーバーします。
- これは、dot1xが失敗したことを示します。
- MABは、認証が成功したことを示すauthc successを表示しますが、認証結果がaccess-acceptまたはrejectのいずれであるかは反映されません。
4.2トラフィックポリシーとグループベースポリシー(CTS)
LISP VXLANファブリック内では、CTSを使用してトラフィックポリシーを適用します。
- グループベースポリシーアーキテクチャは、セキュアグループタグに基づいています。
- ファブリック内のすべてのトラフィックは、すべてのフレームでファブリックを介して伝送される入力およびSGTタグに割り当てられます。
- このトラフィックがファブリックを離れると、トラフィックポリシーが適用されます。
- これは、パケットの送信元と宛先のグループタグを、送信元と宛先のSGTで構成されるマトリックスと照合してチェックするグループベースポリシーで実行されます。ここで、結果として、許可されるトラフィックと許可されないトラフィックを定義するSGACLが生成されます。
- 発信元と宛先のSGTのマトリックス内に一致する特定のエントリがない場合、定義されているデフォルトのアクションが適用されます。
4.3 CTS環境
グループベースのポリシーを使用して運用するには、ファブリックデバイスに最初に必要なことはCTS pacを取得することです。
- このpacは、Cisco ISEでRADIUSフレームを認可するためにRADIUSフレーム内で使用されます。これは、RADIUSフレーム内のcts-pac-opaqueフィールドを設定するために使用されます。
CTS PAC情報を表示します
FE2067#sh cts pacs
AID: C7105D0DA108B6AE0FB00499233B9C6A
PAC-Info:
PAC-type = Cisco Trustsec
AID: C7105D0DA108B6AE0FB00499233B9C6A
I-ID: FOC2410L1ZZ
A-ID-Info: Identity Services Engine
Credential Lifetime: 18:05:51 UTC Sat Jun 24 2023
PAC-Opaque: 000200B80003000100040010C7105D0DA108B6AE0FB00499233B9C6A0006009C00030100C5C0B998FB5E8C106F6882A088D5041300000013641F061A00093A80BA05A1608225843FBAAFD6C3BCD673353B18A6C68149AFAE24A060CBCAFC783E1E6C483AA1A32ADDB8C8EA5E739FB65DB7747ABAEDA59C48F4D1A4F9C8342C36E6D28725A440C1FE4BDB34207081E93CD79367AB19811E323F5882FE20EF831B7A5C2F339C3F35EFC0DBF346C77404F206F5B2171A4C0AAC187F74C5
Refresh timer is set for 12w0d
CTS pacが設定され、有効であることを確認することが重要です。これは、ファブリックデバイスによって自動的に更新されます。
注：更新を手動でトリガーするには、コマンド「cts refresh pac」を発行できます。
グループベースのポリシーを運用するために、必要なポリシー情報をダウンロードするだけでなく、環境データもダウンロードします。
- この環境データには、スイッチ自体が使用するCTSタグと、Radiusサーバで認識されているすべてのグループベースポリシーグループのテーブルをダウンロードするCTSタグの両方が含まれています。
cts環境データの表示
FE2067#sh cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = Successful
Service Info Table:
Local Device SGT:
SGT tag = 2-00:TrustSec_Devices
Server List Info:
Installed list: CTSServerList1-0001, 1 server(s):
*Server: 10.48.13.221, port 1812, A-ID C7105D0DA108B6AE0FB00499233B9C6A
Status = ALIVE
auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
Security Group Name Table:
0-00:Unknown
2-00:TrustSec_Devices
3-00:Network_Services
4-00:Employees
5-00:Contractors
6-00:Guests
7-00:Production_Users
8-00:Developers
9-00:Auditors
10-00:Point_of_Sale_Systems
11-00:Production_Servers
12-00:Development_Servers
13-00:Test_Servers
14-00:PCI_Servers
15-00:BYOD
16-00:Fabric_Client_1
17-00:Fabric_Client_2
255-00:Quarantined_Systems
Environment Data Lifetime = 86400 secs
Last update time = 11:46:41 UTC Fri Mar 31 2023
Env-data expires in 0:19:17:04 (dd:hr:mm:sec)
Env-data refreshes in 0:19:17:04 (dd:hr:mm:sec)
Cache data applied = NONE
State Machine is running
Retry_timer (60 secs) is not running
グループベースのポリシーを使用する場合、ダウンロードされるポリシーは、デバイスにローカルエンドポイントがあり、適用する必要があるCTSタグだけです。
- IPアドレス（またはサブネット）からグループベースのポリシーグループへのマッピングを確認できるようにするには、コマンド「show cts role-based sgt-map vrf <vrf> all」を使用できます。
VRFの既知のIPからSGTへの情報をすべて表示する
FE2067#sh cts role-based sgt-map vrf Fabric_VN_1 all
Active IPv4-SGT Bindings Information
IP Address SGT Source
============================================
172.24.1.4 17 LOCAL
172.24.1.254 2 INTERNAL
172.24.2.254 2 INTERNAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 2
Total number of active bindings = 3
Active IPv6-SGT Bindings Information
IP Address SGT Source
================================================================
2001:DB8::1 2 INTERNAL
2001:DB8::F304:BCCD:6BF3:BFAF 17 LOCAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 1
Total number of active bindings = 2
この出力には、特定のVRFの既知のすべてのIPアドレス（およびサブネット）と、そのグループベースポリシーアソシエーションが表示されます。
- グループベースポリシーグループ17が割り当てられ、ローカルを送信元とするエンドポイントのIPアドレスが1つあることがわかります。
- これは、ポートで発生する認証の結果であり、その結果、そのエンドポイントに関連付けられているタグが示されています。
- また、送信元が内部であるとdevice-sgtタグが割り当てられたスイッチ自身のIPアドレスも強調表示します。
- グループベースのポリシータグは、設定を通じて、またはISEへのSXPセッションを通じて割り当てることもできます。
デバイスは、SGTタグを学習すると、それに関連付けられたポリシーをISEサーバからダウンロードしようとします。
- show cts authorization entriesコマンドを使用すると、これらのエントリのダウンロードが試行された日時と、これらが連続してダウンロードされたかどうかを示す概要が表示されます。
注：ポリシーが変更された場合は、ポリシーが定期的に更新されます。ISEは、変更が行われたときに新しいポリシーをダウンロードするためにスイッチをトリガーするCoAコマンドをプッシュすることもできます。 ポリシーを手動で更新するには、コマンド「cts refresh policy」を発行します。
ダウンロードしようとしたポリシーの概要と、ポリシーが連続してダウンロードされたか、または連続してダウンロードされなかったかを表示します。
FE2067#show cts authorization entries
Authorization Entries Info
==========================
Peer name = Unknown-0
Peer SGT = 0-00:Unknown
Entry State = COMPLETE
Entry last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy refresh time = 86400
Policy expires in 0:05:23:44 (dd:hr:mm:sec)
Policy refreshes in 0:05:23:44 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 11
Peer name = Unknown-17
Peer SGT = 17-01:Fabric_Client_2
Entry State = COMPLETE
Entry last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy refresh time = 86400
Policy expires in 0:18:56:29 (dd:hr:mm:sec)
Policy refreshes in 0:18:56:29 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 4031
ダウンロードしたポリシーがある場合は、コマンド「show cts rolebased policies」を使用して表示できます。
FE2067#sh cts role-based permissions
IPv4 Role-based permissions default:
Permit IP-00
IPv4 Role-based permissions from group 17:Fabric_Client_2 to group 16:Fabric_Client_1:
PermitWeb-02
RBACL Monitor All for Dynamic Policies : FALSE
RBACL Monitor All for Configured Policies : FALSE
このコマンドは、デバイスが学習したすべてのポリシーを表示します。ISEサーバには、さまざまなグループに対してポリシーが存在する可能性がありますが、デバイスはエンドポイントを認識しているポリシーのダウンロードのみを試みます。これにより、貴重なハードウェアリソースを節約できます。
このコマンドでは、これ以上特定のエントリが認識されないトラフィックに適用されるデフォルトアクションも表示されます。この場合はPermit IPであるため、テーブル内の特定のエントリに一致しないすべてのトラフィックの通過が許可されます。
show cts rbacl <name>を実行して、ダウンロードされたRBACLの正確な内容の詳細を取得します
FE2067#sh cts rbacl permitssh
CTS RBACL Policy
================
RBACL IP Version Supported: IPv4 & IPv6
name = permitssh-03
IP protocol version = IPV4
refcnt = 2
flag = 0x41000000
stale = FALSE
RBACL ACEs:
permit tcp dst eq 22
permit tcp dst eq 23
deny ip
この場合、このRBACLが適用されているエンドポイントへの送信が許可されているトラフィックは、22(SSH)および23(Telnet)へのTCPパケットだけです。
注:RBACLは一方向でのみ機能します。リターントラフィックにポリシーがない限り、デフォルトのポリシーが適用されます。ファブリックに入るトラフィックは強制されず、入力ノードで認識されるSGTタグを使用してファブリックを介して送信されます。このポリシーは、ファブリックから送出されるときにだけ適用され、そのデバイスに存在するポリシーに適用されます。 通常、これらのポリシーは同じですが、展開されているセキュリティポリシーに応じて他のポリシーを定義できるファイアウォールを使用して、CTSドメインを拡張することができます。
「show cts role-based counters」を実行して、フレームが廃棄されているかどうかを検証します。
- このコマンドは、スイッチ全体の累積カウンタを表示します。インターフェイスごとにに対応するコマンドはありません。
FE2067#sh cts role-based counters
Role-based IPv4 counters
From To SW-Denied HW-Denied SW-Permitt HW-Permitt SW-Monitor HW-Monitor
* * 0 0 3565235 7777106 0 0
17 16 0 3 0 3412 0 0
16 17 0 5812 0 871231 0 0
この概要では、17から16へのトラフィックと16から17へのトラフィックを一致させるために、この場合にスイッチが認識しているすべての既知のエントリを示します。
- * *に該当するその他の一致では、デフォルトアクションが適用されます。そのため、たとえば18から16のトラフィックが到達した場合、スイッチで認識されているマトリックスと一致せず、デフォルトアクションが適用されます。
カウンタは累積的なものですが、トラフィックがドロップされた場合は適切に表示されます。
- エントリにヒットするトラフィックを判別するには、ISEサーバでlogキーワードを各ポリシーに追加します。その結果、このエントリがヒットすると、スイッチはログメッセージを提供します。
- これは、デフォルトのアクション(* *)またはマトリックス内の特定のエントリの1つについて実行できます。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
06-Apr-2023 |
初版 |
フィードバック