Catalyst 9000シリーズスイッチのLISP VXLANファブリックのトラブルシューティング
内容
はじめに
このドキュメントでは、LISP VXLANベースファブリックの基本コンポーネントとその動作の確認方法について説明します。
前提条件
要 件
このドキュメントに関する固有の要件はありません。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
-
Catalyst 9300
-
Catalyst 9400
-
Catalyst 9500
- Cisco IOS XE 17.9.3以降
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
LISP VXLANベースのファブリック
LISP VXLANネットワークを導入する目的は、仮想ネットワークとも呼ばれる複数のオーバーレイネットワークがアンダーレイネットワーク上に定義されたアーキテクチャを作成できるようにすることです。
- このようなトポロジのアンダーレイネットワークは、主にトランスポート層として機能し、その上で実行されるオーバーレイトポロジを認識しません。
- オーバーレイネットワークは、アンダーレイネットワークに影響を与えずに追加および削除できます。
- オーバーレイネットワークを使用すると、ユーザはアンダーレイネットワークから効果的に分離されます。
LISP VXLANファブリックの構築に使用されるテクノロジー
Locator Identity Separation Protocol(LISP)
- LISPプロトコルは、ファブリック内で使用されるコントロールプレーンプロトコルです。すべてのファブリックデバイス上で動作してファブリックを構築し、トラフィックがファブリックを介してどのように送信されるかを制御します。
- LISPは2つのアドレス空間を作成します。1つは、到達可能性のアドバタイズに使用されるルーティングロケータ(RLOC)用です。もう1つのアドレス空間は、エンドポイント識別子(EID)用です。EIDは、エンドポイントが存在する場所で、オーバーレイに使用されます。
- LISP内では、EIDはアドバタイズされたRLOCを使用してアドバタイズされます。EIDが移動する場合、関連付けられているルーティングロケータを更新するだけです。
- EIDに向かうLISPトラフィックを使用してエンドポイントに到達するには、RLOCに向けてカプセル化およびトンネリングを行います。RLOCはカプセル化を解除し、エンドポイントに転送します。
グループベースのポリシー
- ファブリックグループベースのポリシー内でセグメント化を可能にするために使用されます。
- グループベースのポリシーが展開されると、トラフィックは送信元/宛先IPに基づくのではなく、セキュリティグループで分類されます。
- これにより、複雑なアクセスコントロールリストの複雑さが軽減されます。維持する必要があるIPアドレスのリストの代わりに、IPアドレス/サブネットがセキュアグループタグに割り当てられます。
- ファブリックへの入力時に、トラフィックがファブリックを出るときにSGTでタグ付けされると、フレームの宛先がそのSGTを検索します（SGTが存在する場合）。
- マトリクスを使用すると、送信元と宛先のSGTが一致し、セキュリティグループACLが適用されて、ファブリックから発信されるトラフィックに適用されます。
VXLANカプセル化
- ファブリック内部のVXLANは、すべてのトラフィックのカプセル化に使用されます
- 従来のLISPカプセル化よりもVXLANを使用する利点は、レイヤ3フレームだけでなく、レイヤ2フレーム全体をカプセル化できることです。フレーム全体がカプセル化されると、オーバーレイをレイヤ2とレイヤ3の両方にすることが可能になります。
- VXLANは宛先ポート4789でUDPを使用します。これにより、オーバーレイトポロジを認識しないデバイスでもLISP VXLANフレームを転送できます。
- VXLANはフレーム全体をカプセル化するため、MTUを大きくすることが重要です。これにより、トラフィックがRLOC間で送信される際にフラグメンテーションが不要になります。中間デバイスは、カプセル化されたフレームを転送するためにより大きなMTUをサポートする必要があります。
認証
- エンドポイントをそれぞれのリソースに割り当てるには、認証を使用できます。
- 802.1xのプロトコルを使用すると、MABおよびWebauthエンドポイントをRadiusサーバに対して認証および/またはプロファイリングし、認可プロファイルに基づいてネットワークへのアクセスを許可できます。
- それぞれのRadius属性を使用して、エンドポイントをそれぞれのVLAN、SGT、およびその他の属性に割り当て、エンドポイント/ユーザのネットワークアクセスを提供できます。
LISP VXLANファブリックの主要コンポーネント
コントロールプレーンノード
- lispマップサーバおよびマップリゾルバ機能を保持します。
- 他のすべてのファブリックデバイスは、コントロールプレーンノードにEIDの場所を照会し、そのEIDの登録をコントロールプレーンノードに送信します。
- これにより、コントロールプレーンノードは、さまざまなEIDのRLOCの背後に関するファブリックの完全なビューを確認できます。
境界ノード
- ファブリックの外部から他のファブリックまたは外部への接続を提供します。
- 内部境界は、ファブリックにルートをインポートし、コントロールプレーンノードに登録します。
- 外部ボーダーは外部ネットワークに接続され、未知のIP宛先に対するファブリック外部のデフォルトパスを提供します。
エッジノード
- これらのノードは、ファブリック内のエンドポイントへの接続を提供します。
- LISPの定義では、入力トンネルルータ(ITR)と出力トンネルルータ(ETR)の両方の機能を実行するため、これらはXTRになります。
ノードは、1つのタスクを実行するだけに限定されません。
- ファブリック内で複数の機能を組み合わせて実行することも、すべての機能を実行することもできます。
- ボーダーノードとコントロールプレーンノードが1つのデバイス上に存在する場合、それらはコロケーションと呼ばれます。
- そのノードがエッジ機能も提供する場合、それはFabric In A Box(FIAB)と呼ばれます。
境界は、VRF Liteを使用するネットワークの他の部分へのハンドオフを提供します。
- 各オーバーレイまたは仮想ネットワークは、ボーダーノード上のVRFインスタンスに関連付けられます。
- これらの各種VRFを接続するために、Fusionルータが使用されます。このFusionルータはファブリック自体の一部ではありませんが、オーバーレイネットワークをファブリックに接続できるようにするためには運用に不可欠です。
LISP VXLANファブリック内のもう1つの重要な概念は、IPエニーキャストを使用するという概念です。
- これは、すべてのエッジデバイスで、スイッチ仮想インターフェイス(SVI)のIPアドレスとそのMACアドレスが複製されることを意味します。
- すべてのエッジは、IPv4、IPv6、およびMACアドレスに関してSVI上で同じ設定を持っています。
- これをトラブルシューティングするには、いくつかの課題があります。
- pingによる到達可能性をテストするには、ローカル接続デバイスで動作します。
- LISP VXLANファブリックを介してリモートの宛先に到達するには、応答を送信するデバイスがこれを送信するので、応答を返しません。これは、他のどのファブリックノードが元のpingを送信したかが認識できないローカルファブリックデバイスにパントされるエニーキャストIPアドレスにも同様です。
エンドポイント登録
LISP VXLANファブリックが機能するためには、コントロールプレーンノードが、ファブリックを介してすべてのエンドポイントに到達できる方法を認識していることが重要です。
- コントロールプレーンがネットワーク内のすべてのEIDを学習するには、認識しているすべてのEIDをコントロールプレーンに登録する他のすべてのファブリックデバイスに依存します。
- ファブリックノードは、コントロールプレーンノードにLISPマップ登録メッセージを送信します。マップ登録メッセージでアドバタイズされる情報の中から。
重要な情報
LISPインスタンス識別子：
- このIDはファブリックを介して伝送され、使用される仮想ネットワークを示します。
- レイヤ3オーバーレイごとのLISP VXLANファブリック内では、ファブリック内で使用されるVLANごとに1つのインスタンスが使用され、レイヤ2インスタンスも存在します。
特定されたエンドポイント(EID):
- これがレイヤ2またはレイヤ3インスタンスの場合、これはMACアドレス、IPホストルート（/32または/128）、または登録されているIPサブネットです
ルーティングロケータ(RLOC):
- これは、他のファブリックデバイスがEIDに到達する必要があるカプセル化されたトラフィックを送信する到達可能性をアドバタイズするファブリックノード自身のIPアドレスです。
プロキシフラグ：
- このフラグを設定すると、コントロールプレーンノードは、プロキシフラグを設定しなくても、他のファブリックノードからのマップ要求に直接応答して（EIDを登録したファブリックノードにすべての要求を転送するように設定せずに）EIDを登録します。
登録手順
ステップ1：ファブリックデバイスは、エンドポイントIDについて学習します。これは、設定、ルーティングプロトコル、またはファブリックデバイスで学習されたときに行われます。
ステップ2：ファブリックデバイスは、学習したエンドポイントを、ファブリック内の既知で到達可能な各コントロールプレーンノードに登録します。
ステップ3：コントロールプレーンノードは、関連するインスタンスID、RLOC、および学習したEIDを使用して、登録済みEIDのテーブルを維持します
確認
1.1 MACアドレスラーニング
レイヤ2インスタンスでは、関連付けられたVLAN内で学習されたMACアドレスがEIDとして使用されます。ファブリックエッジは、スイッチ上の標準的な方法でレイヤ2アドレスを学習します。
特定のレイヤ2インスタンスIDに関連付けられたVLANを見つけます。設定を確認するか、コマンドを実行します。
use "show lisp instance-id <instance> ethernet"
FE2068#show lisp instance-id 8191 ethernet
Instance ID: 8191
Router-lisp ID: 0
Locator table: default
EID table: Vlan 150
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
Site Registration Limit: 0
Map-Request source: derived from EID destination
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
出力からわかるように、インスタンスID 8191はVLAN 150に関連付けられています。その結果、VLAN内のすべてのMACアドレスがLISPに登録され、LISP VXLANファブリックの一部になります。
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150
150 0019.3052.6d7f CP_LEARN L2LI0
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
インターフェイスVl150のスタティックエントリは、スイッチ仮想インターフェイス（インターフェイスvlan 150）のMACアドレスです。
- これらのMACアドレスは、すべてのエッジデバイスで同じであるため、コントロールプレーンノードに登録されません。
- 表示されるCP_LEARNエントリは、ファブリックを介して学習されたエントリです。他のすべてのエントリがダイナミックまたはスタティックの場合は、コントロールプレーンノードに登録されます。
それらがlispデータベース出力に表示されるそれぞれの手段を通じて学習されると、この出力には、このファブリックデバイス上のすべてのローカルエントリが含まれます。
FE2068#show lisp instance-id 8191 ethernet database
LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 150 (IID 8191), LSBs: 0x1
Entries total 3, no-route 0, inactive 0, do-not-register 2
0000.0c9f.f18e/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:40, Last-change: 14:56:40
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
0050.5693.8930/48, dynamic-eid Auto-L2-group-8191, inherited from default locator-set rloc_hosts
Uptime: 14:03:06, Last-change: 14:03:06
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
2416.9db4.33fd/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:50, Last-change: 14:56:50
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
データベースに表示されているすべての既知のローカルMACアドレスについて、ロケータが表示されます。
- これは、コントロールプレーンノードにこのエントリを登録するために使用されるロケータです。
- また、ロケータの状態も示しています。スイッチSVIに属していた2つのMACアドレスも表示されていますが、登録を禁止する「登録しない」フラグが付いて表示されています。
- show mac address tableコマンドで表示されたリモートエントリはローカルMACアドレスではないため、lispデータベースの下には表示されません。
レイヤ2インスタンスでは、レイヤ2 MACアドレスがEIDとして学習されるだけでなく、ARPおよびNDフレームからアドレス解決情報を学習する必要もあります。
- LISP VXLANファブリックは、通常VLAN内でフラッディングされるこれらのフレームを転送できます。
- レイヤ2インスタンスIDには、エンドポイントが同じインスタンス内の他のエンドポイントのアドレス解決情報を解決できるようにする別のメカニズムを常にフラッディングする機能があるわけではありません。このために、ファブリックデバイスは、デバイストラッキング(DT)によってローカルに学習されるこの情報を学習し、登録します。
- この情報は、コントロールプレーンノードにも登録されます。NDまたはARPスヌーピングにより、これらのパケットはCPUにパントされ、関連する既知のMACアドレスがあるかどうかを確認するためのコントロールプレーンノードへの要求をトリガーします。
- 肯定応答が返されると、ARP/NDパケットが書き換えられ、宛先MACアドレスがブロードキャストまたはマルチキャストからユニキャストMACアドレスに変更されます。
- この書き換えられたパケットは、ユニキャストフレームとしてLISP VXLANファブリック経由で転送できます。
スイッチ上で認識されているアドレス解決情報を表示するには、show device-tracking databaseコマンドを使用できます。
- これにより、デバイストラッキングで認識されているすべてのマッピングが表示されます。
- スイッチ自体のIPアドレスはL(Local)というラベルが付いており、デバイストラッキングデータベースに存在している必要があります。
リモートエントリもこの出力に表示されます。
- ND要求またはARP要求がスヌーピングされた後に解決されると、それらは0000.0000.00fdのリンク層アドレスでデバイストラッキングデータベースに配置されます。
- 解決されると、情報は解決済みのMACアドレスに変更され、ポートはTu0に変更されます。
デバイストラッキングデータベースを表示します
FE2068#show device-tracking database vlanid 150
vlanDB has 6 entries for vlan 150, 3 dynamic
Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created
Preflevel flags (prlvl):
0001:MAC and LLA match 0002:Orig trunk 0004:Orig access
0008:Orig trusted trunk 0010:Orig trusted access 0020:DHCP assigned
0040:Cga authenticated 0080:Cert authenticated 0100:Statically assigned
Network Layer Address Link Layer Address Interface vlan prlvl age state Time left
ARP 172.24.1.3 0050.5693.8930 Gi1/0/1 150 0005 31s REACHABLE 213 s try 0
RMT 172.24.1.4 0050.5693.3120 Tu0 150 0005 51s REACHABLE
API 172.24.1.99 0000.0000.00fd Gi1/0/1 150 0000 5s UNKNOWN try 0 (25 s)
ND FE80::1AE4:8804:5B8F:50F6 0050.5693.8930 Gi1/0/1 150 0005 127s REACHABLE 115 s try 0
ND 2001:DB8::E70B:E8E1:E368:BDB7 0050.5693.8930 Gi1/0/1 150 0005 137s REACHABLE 110 s try 0
L 172.24.1.254 0000.0c9f.f18e Vl150 150 0100 1078mn REACHABLE
L 2001:DB8::1 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
L FE80::200:CFF:FE9F:F18E 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
コマンド'show lisp instance-id <instance> ethernet database address-resolution'を使用して、ローカルに登録されたマッピングを表示します。
FE2068#show lisp instance-id 8191 ethernet database address-resolution
LISP ETR Address Resolution for LISP 0 EID-table Vlan 150 (IID 8191)
(*) -> entry being deleted
Hardware Address L3 InstID Host Address
0000.0c9f.f18e 4099 FE80::200:CFF:FE9F:F18E/128
4099 2001:DB8::1/128
0050.5693.8930 4099 172.24.1.3/32
4099 2001:DB8::E70B:E8E1:E368:BDB7/128
4099 FE80::1AE4:8804:5B8F:50F6/128
1.2ダイナミックIPアドレスラーニング
IPレイヤ上のファブリックデバイスでは、LISPインスタンスIDをVRFに関連付けることによって仮想ネットワークが形成されます。
- このVRFは、さまざまなスイッチ仮想インターフェイス(SVI)で設定され、レイヤ3オーバーレイネットワークの一部になります
- ほとんどの場合、これらのSVIは、それぞれのレイヤ2インスタンスに登録されているVLANにも属しています。
コマンド'show lisp instance-id <instance> ipv4'を使用して、VRFとLISPインスタンスIDのマッピングを見つけます。
FE2068#sh lisp instance-id 4099 ipv4
Instance ID: 4099
Router-lisp ID: 0
Locator table: default
EID table: vrf Fabric_VN_1
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
注：このコマンドは、このインスタンスに対して有効にできるさまざまな関数を確認するためにも使用できます。また、このコマンドはLISP VXLANファブリック内で使用されているコントロールプレーンノードを表示します
レイヤ3インスタンスが作成されてVRFにリンクされると、LISP 0 <instance-id>インターフェイスが作成され、実行コンフィギュレーションとshow vrfの下に表示されます。
- このインターフェイスは手動で作成する必要はなく、通常は設定する必要はありません（Underlay Multicastを使用する場合のマルチキャスト設定は別として）。
FE2068#show vrf Fabric_VN_1
Name Default RD Protocols Interfaces
Fabric_VN_1ipv4,ipv6 LI0.4099
Vl150
Vl151
VLANのすべてのMACアドレスがIPに使用されるイーサネットフレームとは異なり、IPアドレスはダイナミックEIDの範囲内にある必要があります。
LISPインスタンスを表示する
FE2068#sh lisp instance-id 4099 dynamic-eid
LISP Dynamic EID Information for router 0, IID 4099, EID-table VRF "Fabric_VN_1"
Dynamic-EID name: Fabric_VN_Subnet_1_IPv4
Database-mapping EID-prefix: 172.24.1.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.1.3, 21:17:45 ago
Dynamic-EID name: Fabric_VN_Subnet_1_IPv6
Database-mapping EID-prefix: 2001:DB8::/64, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 2001:DB8::E70B:E8E1:E368:BDB7, 21:17:44 ago
Dynamic-EID name: Fabric_VN_Subnet_2_IPv4
Database-mapping EID-prefix: 172.24.2.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.2.2, 21:55:56 ago
これらの定義範囲外のIPアドレスは、ファブリックに対して不適格と見なされ、LISPデータベースには登録されず、コントロールプレーンノードにも登録されません。
FE2068#show lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 4, no-route 0, inactive 0, do-not-register 2
172.24.1.3/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, inherited from default locator-set rloc_hosts
Uptime: 21:28:51, Last-change: 21:28:51
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.1.254/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.2/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, inherited from default locator-set rloc_hosts
Uptime: 22:07:03, Last-change: 22:07:03
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.254/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
出力には、ローカルで既知のIPアドレス情報がすべて表示されます。
- ホストの場合、これらは通常ホストルート（/32または/128）ですが、境界ノード上のLISPデータベースにインポートされていれば、サブネットにすることもできます。
- SVI自体からのIPアドレスには、「登録しない」というフラグが付きます。 これにより、すべてのファブリックデバイスがエニーキャストIPアドレスをコントロールプレーンノードに登録することを回避できます。
CP_BN_2071#sh lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 2, no-route 0, inactive 0, do-not-register 0
0.0.0.0/0, locator-set rloc_border, auto-discover-rlocs, default-ETR
Uptime: 2d17h, Last-change: 2d17h
Domain-ID: local
Metric: 0
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
10.48.13.0/24, route-import, inherited from default locator-set rloc_border, auto-discover-rlocs
Uptime: 2d17h, Last-change: 2d16h
Domain-ID: local, tag: 65101
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
1.3コントロールプレーンへのEIDの登録
LISP VXLANベースのファブリックでのエンドポイント登録は、LISPの信頼性の高い登録を通じて行われます。これは、すべての登録が確立されたTCPセッション（LISPセッション）を通じて行われることを意味します。すべてのファブリックデバイスから、ファブリック内のコントロールプレーンノードごとにLISPセッションが確立されます。このLISPセッションを通じて、すべての登録が行われます。ファブリック内に複数のコントロールプレーンノードが存在する場合は、すべてがEIDの登録に使用されます。
ファブリックデバイスに登録するものがない場合、状態はDownになります。これは通常、外部ボーダーでのみ発生します
コントロールプレーンノードにIP範囲を登録しない、またはエンドポイントのないエッジデバイスにIP範囲を登録しない
EIDの登録は、LISP登録メッセージを通じて行われます
すべての設定済みコントロールプレーンノードに送信されます。
ファブリックデバイス上のLISPセッションを表示するには、show lisp sessionコマンドを使用できます。
セッションの状態と起動時間が表示されます。
FE2068#show lisp session
Sessions for VRF default, total: 1, established: 1
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:06:07 9791/6531 10
Downと表示されるLISPセッションは、コントロールプレーンノードに登録するEIDがないデバイスで発生する可能性があります。
通常、境界ノードは、エンドポイントが接続されていないファブリックまたはエッジデバイスにルートをインポートしません。
コマンド「show lisp session vrf default <ip address>」を使用して、LISPセッションの詳細情報を表示します。
FE2068#show lisp vrf default session 172.30.250.19
Peer address: 172.30.250.19:4342
Local address: 172.30.250.44:13255
Session Type: Active
Session State: Up (22:07:24)
Messages in/out: 9800/6537
Bytes in/out: 616771/757326
Fatal errors: 0
Rcvd unsupported: 0
Rcvd invalid VRF: 0
Rcvd override: 0
Rcvd malformed: 0
Sent deferred: 1
SSO redundancy: N/A
Auth Type: None
Accepting Users: 0
Users: 10
Type ID In/Out State
Policy subscription lisp 0 IID 4099 AFI IPv4 2/1 Established
Pubsub subscriber lisp 0 IID 4099 AFI IPv6 1/0 Idle
Pubsub subscriber lisp 0 IID 8191 AFI MAC 2/0 Idle
Pubsub subscriber lisp 0 IID 8192 AFI MAC 0/0 Idle
ETR Reliable Registration lisp 0 IID 4099 AFI IPv4 6/5 TCP
ETR Reliable Registration lisp 0 IID 4099 AFI IPv6 1/3 TCP
ETR Reliable Registration lisp 0 IID 8191 AFI MAC 9769/6517 TCP
ETR Reliable Registration lisp 0 IID 8192 AFI MAC 2/6 TCP
ETR Reliable Registration lisp 0 IID 16777214 AFI IPv4 4/4 TCP
Capability Exchange N/A 1/1 waiting
このセッションの詳細な出力には、コントロールプレーンノードに登録されているEIDでアクティブなインスタンスが示されます。
CP_BN_2071#show lisp session
Sessions for VRF default, total: 7, established: 4
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:10:52 1198618/1198592 4
172.30.250.19:49270 Up 22:10:52 1198592/1198618 3
172.30.250.30:25780 Up 22:10:38 6534/9805 6
172.30.250.44:13255 Up 22:10:44 6550/9820 7
コントロールプレーンノードのセッション数を調べると、通常、アップしているセッションの数が多いことが分かります。
- このノードが同じ場所に配置されたBorder/CPノードである場合、それ自体に対してLISPセッションも確立されます。
- この例では、172.30.250.19:4342から172.30.250.19:49270へのセッションがあります。
- このセッションを通じて、Borderコンポーネントは、そのEIDをコントロールプレーンノードに登録します。
1.4コントロールプレーンの情報
登録によってファブリックデバイスから提供される情報を使用して、コントロールプレーンノードはファブリックの完全なビューを構築できます。インスタンスIDごとに、学習されたEIDとそれに関連付けられたルーティングロケータを含むテーブルを維持します。
レイヤ3インスタンスの場合は、show lisp siteコマンドを使用して、これを表示します。
CP_BN_2071#show lisp site
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 4097 0.0.0.0/0
never no -- 4097 172.23.255.0/24
never no -- 4097 172.24.255.0/24
never no -- 4099 0.0.0.0/0
00:00:00 yes# 172.30.250.19:49270 4099 10.48.13.0/24
never no -- 4099 172.23.1.0/24
never no -- 4099 172.24.1.0/24
21:35:06 yes# 172.30.250.44:13255 4099 172.24.1.3/32
22:11:46 yes# 172.30.250.30:25780 4099 172.24.1.4/32
never no -- 4099 172.24.2.0/24
22:11:52 yes# 172.30.250.44:13255 4099 172.24.2.2/32
このコマンドは、すべての登録済みEIDと、最後にEIDを登録したユーザを表示します。これは通常、使用中のRLOCでもあることに注意してください。ただし、これは異なる場合があります。また、EIDは複数のRLOC(RLOC)に登録できます。
詳細を表示するには、コマンドにEIDとインスタンスを含めます
CP_BN_2071#show lisp site 172.24.1.3/32 instance-id 4099
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 172.24.1.3/32 instance-id 4099
First registered: 21:35:53
Last registered: 21:35:53
Routing table tag: 0
Origin: Dynamic, more specific of 172.24.1.0/24
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.44:13255, last registered 21:35:53, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x6ED7000E-0xD4C608C5
xTR-ID 0x88F15053-0x40C0253D-0xAE5EA874-0x2551DB71
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.44 yes up 10/10 IPv4 none
注：詳細な出力では、注意が必要ないくつかの点があります。
- プロキシでは、この設定により、コントロールプレーンノードはマップ要求に直接応答します。従来のLISPでは、マップ要求はEIDを登録したXTRに転送されますが、プロキシ設定ではコントロールプレーンノードが直接応答します
- TTLに設定されている場合は、EID登録の存続可能時間(TTL)です。デフォルトでは24時間です
- ETR情報。これは、EID登録を送信したファブリックデバイスに関連します。
- RLOCの情報を示しています。これは、EIDに到達するために使用されるRLOCです。また、up/downのようなステート情報も含まれています。RLOCがダウンしている場合は使用されません。また、EIDに複数のRLOCが存在する場合に使用できる重みと優先度が含まれ、EIDの中の1つに優先度を与えます。
コントロールプレーンノードの登録履歴を表示するには、show lisp server registration historyコマンドを使用できます。
- 登録および登録解除されたEIDの概要が表示されます。
登録履歴の表示
CP_BN_2071#show lisp server registration-history last 10
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:49:51.490 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.491 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.621 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.622 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.752 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.754 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.884 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.886 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:52.017 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:52.019 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
Display the registered EID for Ethernet」というコマンドを実行すると、show lisp instance-id <instance> ethernet serverと表示されます（この出力は、レイヤ3と同様の内容になります）。
CP_BN_2071#show lisp instance-id 8191 ethernet server
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 8191 any-mac
00:00:04 yes# 172.30.250.44:13255 8191 0019.3052.6d7f/48
21:36:41 yes# 172.30.250.44:13255 8191 0050.5693.8930/48
22:13:20 yes# 172.30.250.30:25780 8191 0050.5693.f1b2/48
登録に関する詳細情報を取得するには、MACアドレスを追加します
CP_BN_2071#show lisp instance-id 8191 ethernet server 0019.3052.6d7f
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 0019.3052.6d7f/48 instance-id 8191
First registered: 22:14:38
Last registered: 00:00:03
Routing table tag: 0
Origin: Dynamic, more specific of any-mac
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.30:25780, last registered 00:00:03, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x0465A327-0xA3A2974C
xTR-ID 0x280403CF-0x598BAAF1-0x3E70CE52-0xE8F09E6E
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.30 yes up 10/10 IPv4 none
イーサネットEIDの登録履歴を確認するには、「登録履歴」を追加します。
注：このコマンドは、デバイスがファブリック内をローミングし、MACアドレスが登録された場所と時間を確認するのに非常に便利です
CP_BN_2071#show lisp instance-id 8191 ethernet server registration-history
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:47:10.291 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:10.296 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:18.644 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:18.647 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:20.700 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:20.702 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:31.914 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:31.918 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:40.206 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:40.210 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
コントロールプレーンノードで登録済みのアドレス解決情報を表示するには、アドレス解決コマンドが追加されます。
- これは、MACアドレスとそのレイヤ3情報間のマッピングを示しているだけで、レイヤ2の宛先MACアドレスをブロードキャスト/マルチキャストからユニキャストに書き換えるために、主にファブリックエッジで使用されます。
- そのレイヤ2 MACアドレスに対応するRLOCは個別に解決されます（MACアドレスが不明な場合）。
「address-resolution」を追加し、コントロールプレーンノードで登録済みのアドレス解決情報を表示します。
CP_BN_2071#sh lisp instance-id 8191 ethernet server address-resolution
Address-resolution data for router lisp 0 instance-id 8191
L3 InstID Host Address Hardware Address
4099 172.24.1.3/32 0050.5693.8930
4099 172.24.1.4/32 0050.5693.f1b2
4099 2001:DB8::E70B:E8E1:E368:BDB7/128 0050.5693.8930
4099 2001:DB8::F304:BCCD:6BF3:BFAF/128 0050.5693.f1b2
4099 FE80::3EE:5111:BA77:E37D/128 0050.5693.f1b2
4099 FE80::1AE4:8804:5B8F:50F6/128 0050.5693.8930
注：リンクローカルIPv6アドレスがIPv6ダイナミックEIDに一致しなくても、アドレス解決のために学習され、コントロールプレーンノードに表示されます。これらはレイヤ3インスタンスIDに登録されませんが、アドレス解決に使用できます。
リモート接続先の解決
LISP VXLANファブリックを介してトラフィックを転送するには、宛先のRLOCを解決する必要があります。LISP VXLANファブリック内では、これはファブリックデバイスの転送情報ベース(FIB)に情報が入るマップキャッシュを使用して行われます。
LISP VXLANファブリックでは、データ信号によってマップキャッシュがトリガーされます。
- つまり、トラフィックがCPUに転送され、そのEIDに向かうフレームを送信する必要があるRLOC情報を照会するために、CPUがコントロールプレーンノードに向けてマップ要求を作成します。
- マップ要求を受信した場合、コントロールプランはこのEIDに関連付けられたルーティングロケータ情報を提供するか、または否定応答マップを返信します。
- WLCが負のマップ応答を送信すると、コントロールプレーンノードは、要求されたEIDが不明であることを示すだけでなく、このEIDが属するEIDのブロック全体を、登録が存在しないことを示します。
コントロールプレーンノードからのマップ応答の内部の情報を使用して、マップキャッシュが更新されます。
- マップ応答のTTLは通常24時間です。（負のマップ応答の場合、通常は15分だけです）。
- イーサネットEIDの場合、負のマップ応答はマップキャッシュに入れられません。（これはレイヤ3インスタンスに対してのみ実行されます）。
2.1イーサネットマップキャッシュ
show lisp instance-id <instance> map-cacheコマンドを使用して、イーサネットのマップキャッシュを表示します。
FE2067#show lisp instance-id 8191 ethernet map-cache
LISP MAC Mapping Cache for LISP 0 EID-table Vlan 150 (IID 8191), 1 entries
0019.3052.6d7f/48, uptime: 00:00:07, expires: 23:59:52, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:07 up 10/10 -
このコマンドは、解決されるリモートMACアドレスエントリを示します。
- イーサネットインスタンスのマップキャッシュエントリをトリガーするには、トラフィックを未知の宛先に送信する必要があります。
- これにより、ファブリックデバイスはLISPを介して問題を解決しようとします。
- マップ応答によって学習されると、そのフレームはマップキャッシュに格納され、レイヤ2の宛先に向かう後続のフレームは、学習されたルーティングロケータに直接送信されます。
オプションで、レイヤ2インスタンスでは、大量のBUMトラフィック（IPトラフィック）が使用されます。
- LISP/VXLANはオーバーレイテクノロジーを使用するため、デフォルトではトラフィックをフラッディングしません。ただし、レイヤ2フレームがフラッディングされる可能性のあるアンダーレイネットワーク(GRT)内にIPマルチキャストグループを設定できます。
ブロードキャストアンダーレイグループアドレスを表示する
FE2068#sh run | sec instance-id 8191
instance-id 8191
remote-rloc-probe on-route-change
service ethernet
eid-table vlan 150
broadcast-underlay 239.0.1.19
database-mapping mac locator-set rloc_hosts
exit-service-ethernet
!
exit-instance-id
2.2 IPマップキャッシュ
レイヤ3インスタンスの場合、マップキャッシュ情報は、CPUにトラフィックを送信して信号を送信することでマップ要求を送信するイーサネット構築に似ています。
- ただし、レイヤ3パケットの場合は、設定時に信号を送信するためにCPUにパントされるだけです。これは、設定済みのmap-cacheコマンドによって実行されます。IPv4の場合は0.0.0.0/0、IPv6の場合は：:0/0です。
- 境界ノード上でのこのマップキャッシュエントリの設定は、注意して行う必要があります。境界ノードがこのマップキャッシュ0.0.0.0/0または：:0/0マップキャッシュエントリを使用して設定されている場合、境界ノードは、ファブリックの外部にルーティングするのではなく、ファブリックを介して未知の宛先を解決しようとします。
マップキャッシュの設定を表示する
FE2068#sh run | sec instance-id 4099
instance-id 4099
remote-rloc-probe on-route-change
dynamic-eid Fabric_VN_Subnet_1_IPv4
database-mapping 172.24.1.0/24 locator-set rloc_hosts
exit-dynamic-eid
!
dynamic-eid Fabric_VN_Subnet_1_IPv6
database-mapping 2001:DB8::/64 locator-set rloc_hosts
exit-dynamic-eid
!
service ipv4
eid-table vrf Fabric_VN_1
map-cache 0.0.0.0/0 map-request
exit-service-ipv4
!
service ipv6
eid-table vrf Fabric_VN_1
map-cache ::/0 map-request
exit-service-ipv6
!
exit-instance-id
map-cache 0.0.0.0/0および：:/0 map-requestを発行すると、「send-map-request」アクションによってマップキャッシュエントリがマップキャッシュに設定されます。これにヒットするトラフィックによってマップ要求がトリガーされます。マップキャッシュエントリは最長一致に基づいて動作するFIBに配置されるので、これは特定のエントリのいずれにもヒットしない、ルーティングされたすべてのIPトラフィックに適用されます。
- サポートされているプラットフォームでは、最初のパケットのドロップを回避するために、send-map-request + encapsulate to proxy ETRというアクションが表示されます。
これにより、未知の宛先への最初のパケットがマップ要求をトリガーし、パケットがプロキシetrに転送されます（存在する場合）。
FE2067#show lisp instance-id 4099 ipv4 map-cache
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 6 entries
0.0.0.0/0, uptime: 22:28:18, expires: 00:13:41, via map-reply, unknown-eid-forward
action: send-map-request + Encapsulating to proxy ETR
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:18 up 10/10 - 0
10.48.13.0/24, uptime: 02:31:26, expires: 21:28:34, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.19 02:31:26 up 10/10 -
172.24.1.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.2/32, uptime: 00:00:21, expires: 23:59:38, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:21 up 10/10 -
172.28.0.0/14, uptime: 22:28:22, expires: 00:13:39, via map-reply, unknown-eid-forward
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:19 up 10/10 - 0
この出力では、いくつかのエントリが示されています。
- この出力の10.48.13.0/24および172.24.2.2/32は、マップ応答によって学習され、完了します。これらの宛先へのトラフィックはカプセル化され、それぞれのロケータに転送されます。
- 172.28.0.0/14は、受信されたネガティブマップ応答と、返されたIPアドレスのブロックの例です。このエントリがマップキャッシュ内にある限り、このサブネットへのトラフィックはマップ要求をトリガーしません。
ファブリックを介したトラフィック転送
3.1レイヤ2またはレイヤ3フォワーディング
LISP/VXLANファブリック内のトラフィックは、レイヤ2またはレイヤインスタンスを介して転送できます。
- どのインスタンスを使用するかは、フレームの宛先MACアドレスによって決まります。
- フレームが転送されるスイッチに登録されているMACアドレス以外のMACアドレスに送信されるフレームは、レイヤ2を使用します。パケットの宛先がスイッチの場合、パケットはレイヤ3経由で転送されます。
- これは、Catalyst 9000シリーズスイッチ経由の通常の転送に適用されるロジックと同じです。
3.2レイヤ2フォワーディング
LISP VXLANファブリックを介したレイヤ2転送は、レイヤ2宛先MACアドレスに基づいて行われます。 リモートの宛先は、出力インターフェイスL2LI0でMACアドレステーブルに挿入されます。
ローカルおよびリモートのレイヤ2インターフェイスを表示する
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150 <- Local
150 0019.3052.6d7f CP_LEARN L2LI0 <- Remote
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
未知の宛先に対しては、設定されている場合、トラフィックはアンダーレイに設定されたIPマルチキャストグループを介して送信されます。
- ブロードキャスト、不明なユニキャスト、およびマルチキャスト（選択的マルチキャストフラッディングのみ）トラフィックを正しくフラッディングするには、アンダーレイで正しく動作するマルチキャスト環境が必要です。
- このマルチキャストアンダーレイグループを介して送信されるトラフィックは、VXLANでカプセル化されます。
- 他のすべてのエッジはマルチキャストグループに参加し、トラフィックを受信し、既知のレイヤ2インスタンスのトラフィックのカプセル化を解除する必要があります。
アンダーレイIPマルチキャストグループを表示する
FE2068#sh ip mroute 239.0.19.1
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
L - Local, P - Pruned, R - RP-bit set, F - Register flag,
T - SPT-bit set, J - Join SPT, M - MSDP created entry, E - Extranet,
X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
U - URD, I - Received Source Specific Host Report,
Z - Multicast Tunnel, z - MDT-data group sender,
Y - Joined MDT-data group, y - Sending to MDT-data group,
G - Received BGP C-Mroute, g - Sent BGP C-Mroute,
N - Received BGP Shared-Tree Prune, n - BGP C-Mroute suppressed,
Q - Received BGP S-A Route, q - Sent BGP S-A Route,
V - RD & Vector, v - Vector, p - PIM Joins on route,
x - VxLAN group, c - PFP-SA cache created entry,
* - determined by Assert, # - iif-starg configured on rpf intf,
e - encap-helper tunnel flag, l - LISP decap ref count contributor
Outgoing interface flags: H - Hardware switched, A - Assert winner, p - PIM Join
t - LISP transit group
Timers: Uptime/Expires
Interface state: Interface, Next-Hop or VCD, State/Mode
(*, 239.0.1.19), 00:02:36/stopped, RP 172.31.255.1, flags: SJCF
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:35/00:00:24, flags:
(172.30.250.44, 239.0.1.19), 00:02:03/00:00:56, flags: FT
Incoming interface: Null0, RPF nbr 0.0.0.0
Outgoing interface list:
GigabitEthernet1/0/23, Forward/Sparse, 00:02:03/00:03:23, flags:
(172.30.250.30, 239.0.1.19), 00:02:29/00:00:30, flags: JT
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:29/00:00:30, flags:
この出力は、フラッディングされたトラフィックを送信するようにクライアントが設定されている、ファブリック内の他のすべてのエッジに対するS,Gエントリを示します。また、このエッジデバイスのLoopback 0を送信元とする1つのS,Gエントリも示しています。
アンダーレイマルチキャストグループを介したトラフィックの受信側に関しては、show ip mrouteコマンドでもL2LISP0.<instance>が表示されます。
これは、このエッジデバイスがどのレイヤ2インスタンスに対してフラッディングされたトラフィックのカプセル化を解除し、
関連インターフェイス。
3.3レイヤ3転送情報
LISP VXLANファブリックが導入されたときにトラフィックがどのように転送されるかを判断するには、CEFを確認することが重要です。
- 従来のルーティングプロトコルとは異なり、LISPはルーティングテーブルにルーティング方向を挿入しませんが、CEFと直接対話してFIBを更新します。
特定のリモート接続先に関して、マップキャッシュ情報には使用されるロケータ情報が含まれます。
ロケーター情報を表示します
FE2067#sh lisp instance-id 4099 ipv4 map-cache 172.24.2.2
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 1 entries
172.24.2.2/32, uptime: 11:19:02, expires: 12:40:57, via map-reply, complete
Sources: map-reply
State: complete, last modified: 11:19:02, map-source: 172.30.250.44
Idle, Packets out: 2(1152 bytes), counters are not accurate (~ 11:18:35 ago)
Encapsulating dynamic-EID traffic
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 11:19:02 up 10/10 -
Last up-down state change: 11:19:02, state change count: 1
Last route reachability change: 11:19:02, state change count: 1
Last priority / weight change: never/never
RLOC-probing loc-status algorithm:
Last RLOC-probe sent: 11:19:02 (rtt 2ms)
マップキャッシュでは、このEIDに使用されるロケータは172.30.250.44です。したがって、この宛先へのトラフィックはカプセル化され、外部IPヘッダーのIP宛先アドレスは172.30.250.44になります。
このインスタンスに使用されるVRFのルーティングテーブルでは、このエントリは表示されません。
FE2067#show ip route vrf Fabric_VN_1
Routing Table: Fabric_VN_1
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type
E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP
n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
H - NHRP, G - NHRP registered, g - NHRP registration summary
o - ODR, P - periodic downloaded static route, l - LISP
a - application route
+ - replicated route, % - next hop override, p - overrides from PfR
& - replicated local route overrides by connected
Gateway of last resort is not set
172.24.0.0/16 is variably subnetted, 5 subnets, 2 masks
C 172.24.1.0/24 is directly connected, Vlan150
l 172.24.1.4/32 [10/1] via 172.24.1.4, 06:11:02, Vlan150
L 172.24.1.254/32 is directly connected, Vlan150
C 172.24.2.0/24 is directly connected, Vlan151
L 172.24.2.254/32 is directly connected, Vlan151
CEF出力は、LISP VXLANファブリック経由の転送に関する詳細情報を提供します。
- show ip cefコマンドにdetailキーワードを追加しても、単にカプセル化されたフレームの送信先が送信されるだけではありません。
- この出力を持つ出力インターフェイスはLISP 0です。<instance>は、トラフィックがカプセル化されて送信されることを示します。
FE2067#sh ip cef vrf Fabric_VN_1 172.24.2.2 detail
172.24.2.2/32, epoch 1, flags [subtree context, check lisp eligibility]
SC owned,sourced: LISP remote EID - locator status bits 0x00000001
LISP remote EID: 2 packets 1152 bytes fwd action encap, dynamic EID need encap
SC inherited: LISP cfg dyn-EID - LISP configured dynamic-EID
LISP EID attributes: localEID No, c-dynEID Yes, d-dynEID No, a-dynEID No
SC inherited: LISP generalised SMR - [enabled, inheriting, 0x7FF95B3E0BE8 locks: 5]
LISP source path list
nexthop 172.30.250.44 LISP0.4099
2 IPL sources [no flags]
nexthop 172.30.250.44 LISP0.4099
トラフィックはカプセル化されて次のホップに送信されるため、次のステップではshow ip cef <next hop>を実行し、パケットもルーティングされる出力インターフェイスを確認します。
実行して、出力インターフェイスを表示します
FE2067#sh ip cef 172.30.250.44
172.30.250.44/32
nexthop 172.30.250.38 GigabitEthernet1/0/23
注：等コストマルチパス(ECMP)ルーティングには、2つの異なるレベルがあります。
- 2つのアドバタイズされたRLOCが存在する場合、トラフィックはオーバーレイでロードバランシングできます。また、RLOC IPアドレスに到達するための冗長パスが存在する場合、アンダーレイネットワークでロードバランシングできます。
- UDPの宛先ポートは4789に固定されており、2つのファブリックデバイス間のすべてのフローの送信元と宛先のIPアドレスは同じであるため、同じパスを介してすべてのパケットがルーティングされないようにするために、何らかの形態の極性防止メカニズムを実行する必要があります。
- LISP VXLANでは、これはオーバーフローネットワーク内のさまざまなフローで異なる外部ヘッダー内のUDP送信元ポートです。
3.4パケット形式
- LISP VXLANファブリック内では、すべてのトラフィックがVXLANで完全にカプセル化されます。これには、レイヤ2とレイヤ3の両方のオーバーレイをサポートできるレイヤ2フレーム全体が含まれます。
レイヤ2フレームの場合、元のヘッダーはカプセル化されます。レイヤ3インスタンスを介して送信されるフレームには、ダミーのレイヤ2ヘッダーが使用されます。
Ethernet II, Src: 24:16:9d:3d:56:67 (24:16:9d:3d:56:67), Dst: 6c:31:0e:f6:21:c7 (6c:31:0e:f6:21:c7)
Internet Protocol Version 4, Src: 172.30.250.30, Dst: 172.30.250.44
User Datagram Protocol, Src Port: 65288, Dst Port: 4789
Virtual eXtensible Local Area Network
Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)
1... .... .... .... = GBP Extension: Defined
.... .... .0.. .... = Don't Learn: False
.... 1... .... .... = VXLAN Network ID (VNI): True
.... .... .... 0... = Policy Applied: False
.000 .000 0.00 .000 = Reserved(R): 0x0000
Group Policy ID: 16
VXLAN Network Identifier (VNI): 4099
Reserved: 0
Ethernet II, Src: 00:00:00:00:80:a3 (00:00:00:00:80:a3), Dst: ba:25:cd:f4:ad:38 (ba:25:cd:f4:ad:38)
Internet Protocol Version 4, Src: 172.24.1.4, Dst: 172.24.2.2
Internet Control Message Protocol
LISP VXLANファブリックを介して伝送されるフレームのキャプチャ例からわかるように、完全にカプセル化されたフレームがvxlanパケットの内部にあります。レイヤ3フレームであるため、イーサネットヘッダーはダミーヘッダーです。
VXLANヘッダーのVLAN Network Identifier(VNID)フィールドには、フレームが属するLISPインスタンスIDが含まれます。
- グループポリシーIDフィールドを介して、フレームSGTタグが伝送されます。
- これはファブリックの入力側で設定され、グループベースのポリシー適用が行われるまで、ファブリックに向けて伝送されます。
認証とセキュリティの適用
4.1スイッチポート認証
エンドポイントをそれぞれのVLANに動的に割り当て、SGTタグ認証を使用して割り当てることができます。
- Dot1x/MAB/中央Web認証などの認証プロトコルを導入して、スイッチに属性を返送するRadiusサーバ上のユーザとエンドポイントを認証および許可し、正しいプール内のクライアント/エンドポイントへのネットワークアクセスと正しいネットワークアクセス許可を許可できます。
LISP VXLANファブリックには、一般的なRADIUS属性がいくつかあります。
- VLAN割り当て：この属性は、RADIUSサーバからスイッチへのVLAN IDまたは名前に設定され、エンドポイントを特定のレイヤ2/レイヤ3 LISPインスタンスに割り当てることができます。
- SGT値：この属性は、SGTがこのSGTにエンドポイントを割り当てるように設定します。これは、このエンドポイントに対するグループベースポリシーに使用されるだけでなく、このエンドポイントから発信されるファブリックを介して送信されるすべてのフレームにSGT値を割り当てます。
- 音声許可：音声デバイスは音声vlanで動作します。これにより、エンドポイントがポートで設定された音声vlanでトラフィックの送受信を許可される音声許可が設定されます。これにより、それぞれのVLANで音声トラフィックとデータトラフィックが分離されます
- セッションタイムアウト：さまざまなエンドポイントに、セッションの独自のタイムアウトがあります。クライアントが再認証を必要とする頻度を示すために、RADIUSサーバからタイムアウトを送信できます
- テンプレート：一部のエンドポイントでは、正しく動作させるためにポートに異なるテンプレートを適用する必要があります。 ポートに適用する必要がある内容を示すテンプレート名をRADIUSサーバから送信できます
ポートの認証結果を確認するには、show access-sessionコマンドを使用します。
FE2067#show access-session interface Gi1/0/1 details
Interface: GigabitEthernet1/0/1
IIF-ID: 0x1FF97CF7
MAC Address: 0050.5693.f1b2
IPv6 Address: FE80::3EE:5111:BA77:E37D
IPv4 Address: 172.24.1.4
User-Name: 00-50-56-93-F1-B2
Device-type: Microsoft-Workstation
Device-name: W7180-PC
Status: Authorized
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Session timeout: N/A
Acct update timeout: 172800s (local), Remaining: 172678s
Common Session ID: 9256300A000057B8376D924C
Acct Session ID: 0x00016d77
Handle: 0x85000594
Current Policy: PMAP_DefaultWiredDot1xClosedAuth_1X_MAB
Local Policies:
Server Policies:
Vlan Group: Vlan: 150
SGT Value: 16
Method status list:
Method State
dot1x Stopped
mab Authc Success
次のキーフィールドに注意してください。
- IPv4およびIPv6アドレス：通常はデバイストラッキングを通じて学習されます。
- ユーザ名：認証に使用されるユーザ名。
- Dot1xの場合、通常は認証を行うユーザです。
- MABを使用する場合、これは認証用のユーザ名とパスワードとしてRadiusに送信されるステーションのMACアドレスです。
- ステータス：認証のステータスと認証結果を示します。
- Domain:通常のエンドポイントの場合、これはDataドメインであるため、トラフィックはタグなしでポートで送受信されます。（音声デバイスの場合は、Voiceに設定できます）
- サーバポリシー：これは、VLAN割り当てやSGT割り当てなどのRADIUSサーバからの情報が格納される場所です
- メソッドステータスリスト：実行されるメソッドの概要が表示されます。
- 標準dot1xはMABの前に実行されます。
- エンドポイントがEAPOLフレームに応答しない場合、メソッドはmabにフェールオーバーします。
- これにより、dot1xが失敗したことが示されます。
- MABは、authc successが認証に成功したことを示し、認証結果がaccess-acceptまたはrejectのいずれであるかを反映しません。
4.2トラフィックポリシーとGroup Based Policies(CTS)
LISP VXLANファブリック内では、CTSを使用してトラフィックポリシーを適用します。
- グループベースポリシーアーキテクチャは、セキュアグループタグに基づいています。
- ファブリック内のすべてのトラフィックは、すべてのフレームでファブリックを介して伝送される入力およびSGTタグに割り当てられます。
- このトラフィックがファブリックから送信されると、トラフィックポリシーが適用されます。
- これは、パケットの送信元と宛先のグループタグを、送信元/宛先SGTで構成されるマトリクスと照合してチェックするグループベースポリシーで実行され、結果として許可するトラフィックと許可しないトラフィックを定義するSGACLが生成されます。
- 発信元と宛先のSGTのマトリックス内に一致する特定のエントリがない場合、定義されているデフォルトのアクションが適用されます。
4.3 CTS環境
グループベースのポリシーを使用して動作するには、ファブリックデバイスで最初に必要なことは、CTS pacを取得することです。
- このpacは、Cisco ISEでRADIUSフレームを認可するためにRADIUSフレーム内で使用されます。これは、RADIUSフレーム内のcts-pac-opaqueフィールドを設定するために使用されます。
CTS pac情報を表示します
FE2067#sh cts pacs
AID: C7105D0DA108B6AE0FB00499233B9C6A
PAC-Info:
PAC-type = Cisco Trustsec
AID: C7105D0DA108B6AE0FB00499233B9C6A
I-ID: FOC2410L1ZZ
A-ID-Info: Identity Services Engine
Credential Lifetime: 18:05:51 UTC Sat Jun 24 2023
PAC-Opaque: 000200B80003000100040010C7105D0DA108B6AE0FB00499233B9C6A0006009C00030100C5C0B998FB5E8C106F6882A088D5041300000013641F061A00093A80BA05A1608225843FBAAFD6C3BCD673353B18A6C68149AFAE24A060CBCAFC783E1E6C483AA1A32ADDB8C8EA5E739FB65DB7747ABAEDA59C48F4D1A4F9C8342C36E6D28725A440C1FE4BDB34207081E93CD79367AB19811E323F5882FE20EF831B7A5C2F339C3F35EFC0DBF346C77404F206F5B2171A4C0AAC187F74C5
Refresh timer is set for 12w0d
CTS pacが設定され、有効であることを確認することが重要です。これは、ファブリックデバイスによって自動的に更新されます。
注：更新を手動でトリガーするには、コマンド「cts refresh pac」を発行できます。
グループベースのポリシーを運用するために、必要なポリシー情報をダウンロードするだけでなく、環境データもダウンロードします。
- この環境データには、スイッチ自体が使用するCTSタグと、Radiusサーバで既知のすべてのグループベースポリシーグループのテーブルをダウンロードするCTSタグの両方が含まれています。
cts環境データの表示
FE2067#sh cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = Successful
Service Info Table:
Local Device SGT:
SGT tag = 2-00:TrustSec_Devices
Server List Info:
Installed list: CTSServerList1-0001, 1 server(s):
*Server: 10.48.13.221, port 1812, A-ID C7105D0DA108B6AE0FB00499233B9C6A
Status = ALIVE
auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
Security Group Name Table:
0-00:Unknown
2-00:TrustSec_Devices
3-00:Network_Services
4-00:Employees
5-00:Contractors
6-00:Guests
7-00:Production_Users
8-00:Developers
9-00:Auditors
10-00:Point_of_Sale_Systems
11-00:Production_Servers
12-00:Development_Servers
13-00:Test_Servers
14-00:PCI_Servers
15-00:BYOD
16-00:Fabric_Client_1
17-00:Fabric_Client_2
255-00:Quarantined_Systems
Environment Data Lifetime = 86400 secs
Last update time = 11:46:41 UTC Fri Mar 31 2023
Env-data expires in 0:19:17:04 (dd:hr:mm:sec)
Env-data refreshes in 0:19:17:04 (dd:hr:mm:sec)
Cache data applied = NONE
State Machine is running
Retry_timer (60 secs) is not running
グループベースのポリシーを使用する場合、ダウンロードされるポリシーは、デバイスにローカルエンドポイントがあり、適用する必要があるCTSタグだけです。
- IPアドレス（またはサブネット）からグループベースのポリシーグループへのマッピングを確認できるようにするには、コマンド「show cts role-based sgt-map vrf <vrf> all」を使用できます。
VRFに関する既知のIP to SGT情報をすべて表示する
FE2067#sh cts role-based sgt-map vrf Fabric_VN_1 all
Active IPv4-SGT Bindings Information
IP Address SGT Source
============================================
172.24.1.4 17 LOCAL
172.24.1.254 2 INTERNAL
172.24.2.254 2 INTERNAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 2
Total number of active bindings = 3
Active IPv6-SGT Bindings Information
IP Address SGT Source
================================================================
2001:DB8::1 2 INTERNAL
2001:DB8::F304:BCCD:6BF3:BFAF 17 LOCAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 1
Total number of active bindings = 2
この出力には、特定のVRFの既知のIPアドレス（およびサブネット）と、それらのグループベースポリシーアソシエーションがすべて表示されます。
- グループベースポリシーグループ17が割り当てられ、ローカルから送信されたエンドポイントのIPアドレスが1つあることがわかります。
- これは、ポートで行われる認証の結果であり、その結果は、そのエンドポイントに関連付けられたタグを示しています。
- また、発信元が内部であるとdevice-sgtタグが割り当てられたスイッチ自身のIPアドレスも強調表示します。
- グループベースのポリシータグは、設定を通じて、またはISEへのSXPセッションを通じて割り当てることもできます。
デバイスは、SGTタグを学習すると、関連付けられているポリシーをISEサーバからダウンロードしようとします。
- show cts authorization entriesコマンドを使用すると、ダウンロードが試行された日時の概要、および連続してダウンロードされた場合とされなかった場合の概要が表示されます。
注：ポリシーは、ポリシーに変更があった場合に定期的に更新されます。ISEでは、変更が行われたときにスイッチをトリガーして新しいポリシーをダウンロードするように、CoAコマンドをプッシュすることもできます。 ポリシーを手動で更新するには、コマンド「cts refresh policy」を発行します。
ダウンロードを試行したポリシーの概要と、ポリシーが連続してダウンロードされたか、または連続してダウンロードされなかったかの表示
FE2067#show cts authorization entries
Authorization Entries Info
==========================
Peer name = Unknown-0
Peer SGT = 0-00:Unknown
Entry State = COMPLETE
Entry last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy refresh time = 86400
Policy expires in 0:05:23:44 (dd:hr:mm:sec)
Policy refreshes in 0:05:23:44 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 11
Peer name = Unknown-17
Peer SGT = 17-01:Fabric_Client_2
Entry State = COMPLETE
Entry last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy refresh time = 86400
Policy expires in 0:18:56:29 (dd:hr:mm:sec)
Policy refreshes in 0:18:56:29 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 4031
ダウンロードしたポリシーがある場合は、コマンド「show cts rolebased policies」を使用して表示できます。
FE2067#sh cts role-based permissions
IPv4 Role-based permissions default:
Permit IP-00
IPv4 Role-based permissions from group 17:Fabric_Client_2 to group 16:Fabric_Client_1:
PermitWeb-02
RBACL Monitor All for Dynamic Policies : FALSE
RBACL Monitor All for Configured Policies : FALSE
このコマンドは、デバイスが学習したすべてのポリシーを表示します。ISEサーバでは、異なるグループに対してさらに多くのポリシーが存在する可能性がありますが、デバイスはエンドポイントを認識しているポリシーのダウンロードのみを試行します。これにより、貴重なハードウェアリソースを節約できます。
このコマンドでは、これ以上特定のエントリが認識されないトラフィックに適用されるデフォルトアクションも表示されます。この場合、そのPermit IPであるため、テーブル内の特定のエントリに一致しないすべてのトラフィックが通過を許可されます。
show cts rbacl <name>を実行して、ダウンロードされたRBACLの内容そのものに関する詳細情報を取得します
FE2067#sh cts rbacl permitssh
CTS RBACL Policy
================
RBACL IP Version Supported: IPv4 & IPv6
name = permitssh-03
IP protocol version = IPV4
refcnt = 2
flag = 0x41000000
stale = FALSE
RBACL ACEs:
permit tcp dst eq 22
permit tcp dst eq 23
deny ip
この場合、このRBACLが適用されているエンドポイントへの送信が許可されているトラフィックは、22(SSH)および23(Telnet)へのTCPパケットだけです。
注:RBACLは一方向でのみ動作します。リターントラフィックにポリシーがない限り、デフォルトのポリシーが適用されます。ファブリックに入るトラフィックは強制されず、入力ノードで認識されているSGTタグを使用してファブリックを介して送信されます。適用されるのはファブリックから出るときだけで、そのデバイスに存在するポリシーに適用されます。 通常、これらのポリシーは同じですが、展開するセキュリティポリシーに応じて他のポリシーを定義できるファイアウォールを使用するなど、CTSドメインを拡張できます。
「show cts role-based counters」を実行して、フレームが廃棄されているかどうかを確認します。
- このコマンドは、スイッチ全体の累積カウンタを表示します。インターフェイスごとにに対応するコマンドはありません。
FE2067#sh cts role-based counters
Role-based IPv4 counters
From To SW-Denied HW-Denied SW-Permitt HW-Permitt SW-Monitor HW-Monitor
* * 0 0 3565235 7777106 0 0
17 16 0 3 0 3412 0 0
16 17 0 5812 0 871231 0 0
この概要では、17から16、および16から17のトラフィックを照合できるように、この場合にスイッチが認識しているすべての既知のエントリを示しています。
- * *に当てはまるその他の一致では、デフォルトアクションが適用されます。そのため、たとえば18から16のトラフィックが到達する場合、スイッチで認識されているマトリックスと一致せず、デフォルトアクションが適用されます。
カウンタは累積的ですが、トラフィックがドロップされた場合は適切に表示されます。
- エントリにヒットするトラフィックを判別するには、ISEサーバでlogキーワードを該当するポリシーに追加します。その結果、このエントリがヒットすると、スイッチはログメッセージを提供します。
- これは、デフォルトアクション(* *)またはマトリックス内の特定のエントリの両方に対して実行できます。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
06-Apr-2023
|
初版 |
フィードバック