内容

はじめに

前提条件

要　件

使用するコンポーネント

バックグラウンド情報

LISP VXLANベースのファブリック

LISP VXLANファブリックの構築に使用されるテクノロジー

LISP VXLANファブリックの主要コンポーネント

エンドポイント登録

重要な情報

登録手順

確認

1.1 MACアドレスラーニング

1.2 DynamicIPアドレスラーニング

1.3コントロールプレーンへのEIDの登録

1.4コントロールプレーンの情報

リモート接続先の解決

2.1イーサネットマップキャッシュ

2.2 IPマップキャッシュ

ファブリックを介したトラフィック転送

3.1レイヤ2またはレイヤ3フォワーディング

3.2レイヤ2フォワーディング

3.3レイヤ3転送情報

3.4パケット形式

認証とセキュリティの適用

4.1スイッチポート認証

4.2トラフィックポリシーとGroup Based Policies(CTS)

4.3 CTS環境

関連情報

はじめに

このドキュメントでは、LISP VXLANベースファブリックの基本コンポーネントとその動作の確認方法について説明します。

前提条件

要　件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Catalyst 9300

- Catalyst 9400

- Catalyst 9500

- Cisco IOS XE 17.9.3以降

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

LISP VXLANベースのファブリック

LISP VXLANネットワークを導入する目的は、仮想ネットワークとも呼ばれる複数のオーバーレイネットワークがアンダーレイネットワーク上に定義されたアーキテクチャを作成できるようにすることです。

- このようなトポロジのアンダーレイネットワークは、主にトランスポート層として機能し、その上で実行されるオーバーレイトポロジを認識しません。

- オーバーレイネットワークは、アンダーレイネットワークに影響を与えずに追加および削除できます。

- オーバーレイネットワークを使用すると、ユーザはアンダーレイネットワークから効果的に分離されます。

LISP VXLANファブリックの構築に使用されるテクノロジー

Locator Identity Separation Protocol(LISP)

- LISPプロトコルは、ファブリック内で使用されるコントロールプレーンプロトコルです。すべてのファブリックデバイス上で動作してファブリックを構築し、トラフィックがファブリックを介してどのように送信されるかを制御します。

- LISPは2つのアドレス空間を作成します。1つは、到達可能性のアドバタイズに使用されるルーティングロケータ(RLOC)用です。もう1つのアドレス空間は、エンドポイント識別子(EID)用です。EIDは、エンドポイントが存在する場所で、オーバーレイに使用されます。

- LISP内では、EIDはアドバタイズされたRLOCを使用してアドバタイズされます。EIDが移動する場合、関連付けられているルーティングロケータを更新するだけです。

- EIDに向かうLISPトラフィックを使用してエンドポイントに到達するには、RLOCに向けてカプセル化およびトンネリングを行います。RLOCはカプセル化を解除し、エンドポイントに転送します。

グループベースのポリシー

- ファブリックグループベースのポリシー内でセグメント化を可能にするために使用されます。

- グループベースのポリシーが展開されると、トラフィックは送信元/宛先IPに基づくのではなく、セキュリティグループで分類されます。

- これにより、複雑なアクセスコントロールリストの複雑さが軽減されます。維持する必要があるIPアドレスのリストの代わりに、IPアドレス/サブネットがセキュアグループタグに割り当てられます。

- ファブリックへの入力時に、トラフィックがファブリックを出るときにSGTでタグ付けされると、フレームの宛先がそのSGTを検索します（SGTが存在する場合）。

- マトリクスを使用すると、送信元と宛先のSGTが一致し、セキュリティグループACLが適用されて、ファブリックから発信されるトラフィックに適用されます。

VXLANカプセル化

- ファブリック内部のVXLANは、すべてのトラフィックのカプセル化に使用されます

- 従来のLISPカプセル化よりもVXLANを使用する利点は、レイヤ3フレームだけでなく、レイヤ2フレーム全体をカプセル化できることです。フレーム全体がカプセル化されると、オーバーレイをレイヤ2とレイヤ3の両方にすることが可能になります。

- VXLANは宛先ポート4789でUDPを使用します。これにより、オーバーレイトポロジを認識しないデバイスでもLISP VXLANフレームを転送できます。

- VXLANはフレーム全体をカプセル化するため、MTUを大きくすることが重要です。これにより、トラフィックがRLOC間で送信される際にフラグメンテーションが不要になります。中間デバイスは、カプセル化されたフレームを転送するためにより大きなMTUをサポートする必要があります。

認証

- エンドポイントをそれぞれのリソースに割り当てるには、認証を使用できます。

- 802.1xのプロトコルを使用すると、MABおよびWebauthエンドポイントをRadiusサーバに対して認証および/またはプロファイリングし、認可プロファイルに基づいてネットワークへのアクセスを許可できます。

- それぞれのRadius属性を使用して、エンドポイントをそれぞれのVLAN、SGT、およびその他の属性に割り当て、エンドポイント/ユーザのネットワークアクセスを提供できます。

LISP VXLANファブリックの主要コンポーネント

コントロールプレーンノード

- lispマップサーバおよびマップリゾルバ機能を保持します。

- 他のすべてのファブリックデバイスは、コントロールプレーンノードにEIDの場所を照会し、そのEIDの登録をコントロールプレーンノードに送信します。

- これにより、コントロールプレーンノードは、さまざまなEIDのRLOCの背後に関するファブリックの完全なビューを確認できます。

境界ノード

- ファブリックの外部から他のファブリックまたは外部への接続を提供します。

- 内部境界は、ファブリックにルートをインポートし、コントロールプレーンノードに登録します。

- 外部ボーダーは外部ネットワークに接続され、未知のIP宛先に対するファブリック外部のデフォルトパスを提供します。

エッジノード

- これらのノードは、ファブリック内のエンドポイントへの接続を提供します。

- LISPの定義では、入力トンネルルータ(ITR)と出力トンネルルータ(ETR)の両方の機能を実行するため、これらはXTRになります。

ノードは、1つのタスクを実行するだけに限定されません。

- ファブリック内で複数の機能を組み合わせて実行することも、すべての機能を実行することもできます。

- ボーダーノードとコントロールプレーンノードが1つのデバイス上に存在する場合、それらはコロケーションと呼ばれます。

- そのノードがエッジ機能も提供する場合、それはFabric In A Box(FIAB)と呼ばれます。

境界は、VRF Liteを使用するネットワークの他の部分へのハンドオフを提供します。

- 各オーバーレイまたは仮想ネットワークは、ボーダーノード上のVRFインスタンスに関連付けられます。

- これらの各種VRFを接続するために、Fusionルータが使用されます。このFusionルータはファブリック自体の一部ではありませんが、オーバーレイネットワークをファブリックに接続できるようにするためには運用に不可欠です。

LISP VXLANファブリック内のもう1つの重要な概念は、IPエニーキャストを使用するという概念です。

- これは、すべてのエッジデバイスで、スイッチ仮想インターフェイス(SVI)のIPアドレスとそのMACアドレスが複製されることを意味します。

- すべてのエッジは、IPv4、IPv6、およびMACアドレスに関してSVI上で同じ設定を持っています。

- これをトラブルシューティングするには、いくつかの課題があります。

- pingによる到達可能性をテストするには、ローカル接続デバイスで動作します。

- LISP VXLANファブリックを介してリモートの宛先に到達するには、応答を送信するデバイスがこれを送信するので、応答を返しません。これは、他のどのファブリックノードが元のpingを送信したかが認識できないローカルファブリックデバイスにパントされるエニーキャストIPアドレスにも同様です。

エンドポイント登録

LISP VXLANファブリックが機能するためには、コントロールプレーンノードが、ファブリックを介してすべてのエンドポイントに到達できる方法を認識していることが重要です。

- コントロールプレーンがネットワーク内のすべてのEIDを学習するには、認識しているすべてのEIDをコントロールプレーンに登録する他のすべてのファブリックデバイスに依存します。

- ファブリックノードは、コントロールプレーンノードにLISPマップ登録メッセージを送信します。マップ登録メッセージでアドバタイズされる情報の中から。

重要な情報

LISPインスタンス識別子：

- このIDはファブリックを介して伝送され、使用される仮想ネットワークを示します。

- レイヤ3オーバーレイごとのLISP VXLANファブリック内では、ファブリック内で使用されるVLANごとに1つのインスタンスが使用され、レイヤ2インスタンスも存在します。

特定されたエンドポイント(EID):

- これがレイヤ2またはレイヤ3インスタンスの場合、これはMACアドレス、IPホストルート（/32または/128）、または登録されているIPサブネットです

ルーティングロケータ(RLOC):

- これは、他のファブリックデバイスがEIDに到達する必要があるカプセル化されたトラフィックを送信する到達可能性をアドバタイズするファブリックノード自身のIPアドレスです。

プロキシフラグ：

- このフラグを設定すると、コントロールプレーンノードは、プロキシフラグを設定しなくても、他のファブリックノードからのマップ要求に直接応答して（EIDを登録したファブリックノードにすべての要求を転送するように設定せずに）EIDを登録します。

登録手順

ステップ1：ファブリックデバイスは、エンドポイントIDについて学習します。これは、設定、ルーティングプロトコル、またはファブリックデバイスで学習されたときに行われます。

ステップ2：ファブリックデバイスは、学習したエンドポイントを、ファブリック内の既知で到達可能な各コントロールプレーンノードに登録します。

ステップ3：コントロールプレーンノードは、関連するインスタンスID、RLOC、および学習したEIDを使用して、登録済みEIDのテーブルを維持します

確認

1.1 MACアドレスラーニング

レイヤ2インスタンスでは、関連付けられたVLAN内で学習されたMACアドレスがEIDとして使用されます。ファブリックエッジは、スイッチ上の標準的な方法でレイヤ2アドレスを学習します。

特定のレイヤ2インスタンスIDに関連付けられたVLANを見つけます。設定を確認するか、コマンドを実行します。

use "show lisp instance-id <instance> ethernet"

FE2068#show lisp instance-id 8191 ethernet

Instance ID:                              8191

Router-lisp ID:                           0

Locator table:                            default

EID table:                                Vlan 150

Ingress Tunnel Router (ITR):              enabled

Egress Tunnel Router (ETR):               enabled

..

Site Registration Limit:                  0

Map-Request source:                       derived from EID destination

ITR Map-Resolver(s):                      172.30.250.19

ETR Map-Server(s):                        172.30.250.19

出力からわかるように、インスタンスID 8191はVLAN 150に関連付けられています。その結果、VLAN内のすべてのMACアドレスがLISPに登録され、LISP VXLANファブリックの一部になります。

FE2068#show mac address-table vlan 150

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

150    0000.0c9f.f18e    STATIC      Vl150

150    0050.5693.8930    DYNAMIC     Gi1/0/1

150    2416.9db4.33fd    STATIC      Vl150

150    0019.3052.6d7f    CP_LEARN    L2LI0

Total Mac Addresses for this criterion: 3

Total Mac Addresses installed by LISP: REMOTE: 1

インターフェイスVl150のスタティックエントリは、スイッチ仮想インターフェイス（インターフェイスvlan 150）のMACアドレスです。

- これらのMACアドレスは、すべてのエッジデバイスで同じであるため、コントロールプレーンノードに登録されません。

- 表示されるCP_LEARNエントリは、ファブリックを介して学習されたエントリです。他のすべてのエントリがダイナミックまたはスタティックの場合は、コントロールプレーンノードに登録されます。

それらがlispデータベース出力に表示されるそれぞれの手段を通じて学習されると、この出力には、このファブリックデバイス上のすべてのローカルエントリが含まれます。

FE2068#show lisp instance-id 8191 ethernet database

LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 150 (IID 8191), LSBs: 0x1

Entries total 3, no-route 0, inactive 0, do-not-register 2

0000.0c9f.f18e/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts

Uptime: 14:56:40, Last-change: 14:56:40

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

0050.5693.8930/48, dynamic-eid Auto-L2-group-8191, inherited from default locator-set rloc_hosts

Uptime: 14:03:06, Last-change: 14:03:06

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

2416.9db4.33fd/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts

Uptime: 14:56:50, Last-change: 14:56:50

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

データベースに表示されているすべての既知のローカルMACアドレスについて、ロケータが表示されます。

- これは、コントロールプレーンノードにこのエントリを登録するために使用されるロケータです。

- また、ロケータの状態も示しています。スイッチSVIに属していた2つのMACアドレスも表示されていますが、登録を禁止する「登録しない」フラグが付いて表示されています。

- show mac address tableコマンドで表示されたリモートエントリはローカルMACアドレスではないため、lispデータベースの下には表示されません。

レイヤ2インスタンスでは、レイヤ2 MACアドレスがEIDとして学習されるだけでなく、ARPおよびNDフレームからアドレス解決情報を学習する必要もあります。

- LISP VXLANファブリックは、通常VLAN内でフラッディングされるこれらのフレームを転送できます。

- レイヤ2インスタンスIDには、エンドポイントが同じインスタンス内の他のエンドポイントのアドレス解決情報を解決できるようにする別のメカニズムを常にフラッディングする機能があるわけではありません。このために、ファブリックデバイスは、デバイストラッキング(DT)によってローカルに学習されるこの情報を学習し、登録します。

- この情報は、コントロールプレーンノードにも登録されます。NDまたはARPスヌーピングにより、これらのパケットはCPUにパントされ、関連する既知のMACアドレスがあるかどうかを確認するためのコントロールプレーンノードへの要求をトリガーします。

- 肯定応答が返されると、ARP/NDパケットが書き換えられ、宛先MACアドレスがブロードキャストまたはマルチキャストからユニキャストMACアドレスに変更されます。

- この書き換えられたパケットは、ユニキャストフレームとしてLISP VXLANファブリック経由で転送できます。

スイッチ上で認識されているアドレス解決情報を表示するには、show device-tracking databaseコマンドを使用できます。

- これにより、デバイストラッキングで認識されているすべてのマッピングが表示されます。

- スイッチ自体のIPアドレスはL(Local)というラベルが付いており、デバイストラッキングデータベースに存在している必要があります。

リモートエントリもこの出力に表示されます。

- ND要求またはARP要求がスヌーピングされた後に解決されると、それらは0000.0000.00fdのリンク層アドレスでデバイストラッキングデータベースに配置されます。

- 解決されると、情報は解決済みのMACアドレスに変更され、ポートはTu0に変更されます。

デバイストラッキングデータベースを表示します

FE2068#show device-tracking database vlanid 150

vlanDB has 6 entries for vlan 150, 3 dynamic

Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created

Preflevel flags (prlvl):

0001:MAC and LLA match     0002:Orig trunk            0004:Orig access

0008:Orig trusted trunk    0010:Orig trusted access   0020:DHCP assigned

0040:Cga authenticated     0080:Cert authenticated    0100:Statically assigned

Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left

ARP 172.24.1.3                               0050.5693.8930         Gi1/0/1    150        0005       31s        REACHABLE  213 s try 0

RMT 172.24.1.4                               0050.5693.3120         Tu0    150        0005       51s        REACHABLE

API 172.24.1.99                              0000.0000.00fd         Gi1/0/1    150        0000       5s         UNKNOWN   try 0 (25 s)

ND  FE80::1AE4:8804:5B8F:50F6                0050.5693.8930         Gi1/0/1    150        0005       127s       REACHABLE  115 s try 0

ND  2001:DB8::E70B:E8E1:E368:BDB7            0050.5693.8930         Gi1/0/1    150        0005       137s       REACHABLE  110 s try 0

L   172.24.1.254                             0000.0c9f.f18e         Vl150      150        0100       1078mn     REACHABLE

L   2001:DB8::1                              0000.0c9f.f18e         Vl150      150        0100       1077mn     REACHABLE

L   FE80::200:CFF:FE9F:F18E                  0000.0c9f.f18e         Vl150      150        0100       1077mn     REACHABLE

コマンド'show lisp instance-id <instance> ethernet database address-resolution'を使用して、ローカルに登録されたマッピングを表示します。

FE2068#show lisp instance-id 8191 ethernet database address-resolution

LISP ETR Address Resolution for LISP 0 EID-table Vlan 150 (IID 8191)

(*) -> entry being deleted

Hardware Address       L3 InstID Host Address

0000.0c9f.f18e              4099 FE80::200:CFF:FE9F:F18E/128

4099 2001:DB8::1/128

0050.5693.8930              4099 172.24.1.3/32

4099 2001:DB8::E70B:E8E1:E368:BDB7/128

4099 FE80::1AE4:8804:5B8F:50F6/128

1.2ダイナミックIPアドレスラーニング

IPレイヤ上のファブリックデバイスでは、LISPインスタンスIDをVRFに関連付けることによって仮想ネットワークが形成されます。

- このVRFは、さまざまなスイッチ仮想インターフェイス(SVI)で設定され、レイヤ3オーバーレイネットワークの一部になります

- ほとんどの場合、これらのSVIは、それぞれのレイヤ2インスタンスに登録されているVLANにも属しています。

コマンド'show lisp instance-id <instance> ipv4'を使用して、VRFとLISPインスタンスIDのマッピングを見つけます。

FE2068#sh lisp instance-id 4099 ipv4

Instance ID:                              4099

Router-lisp ID:                           0

Locator table:                            default

EID table:                                vrf Fabric_VN_1

Ingress Tunnel Router (ITR):              enabled

Egress Tunnel Router (ETR):               enabled

..

ITR Map-Resolver(s):                      172.30.250.19

ETR Map-Server(s):                        172.30.250.19

注：このコマンドは、このインスタンスに対して有効にできるさまざまな関数を確認するためにも使用できます。また、このコマンドはLISP VXLANファブリック内で使用されているコントロールプレーンノードを表示します

レイヤ3インスタンスが作成されてVRFにリンクされると、LISP 0 <instance-id>インターフェイスが作成され、実行コンフィギュレーションとshow vrfの下に表示されます。

- このインターフェイスは手動で作成する必要はなく、通常は設定する必要はありません（Underlay Multicastを使用する場合のマルチキャスト設定は別として）。

FE2068#show vrf Fabric_VN_1

Name                             Default RD            Protocols   Interfaces

Fabric_VN_1

ipv4,ipv6

LI0.4099

Vl150

Vl151

VLANのすべてのMACアドレスがIPに使用されるイーサネットフレームとは異なり、IPアドレスはダイナミックEIDの範囲内にある必要があります。

LISPインスタンスを表示する

FE2068#sh lisp instance-id 4099 dynamic-eid

LISP Dynamic EID Information for router 0, IID 4099, EID-table VRF "Fabric_VN_1"

Dynamic-EID name: Fabric_VN_Subnet_1_IPv4

Database-mapping EID-prefix: 172.24.1.0/24, locator-set rloc_hosts

Registering more-specific dynamic-EIDs

Map-Server(s): none configured, use global Map-Server

Site-based multicast Map-Notify group: none configured

Number of roaming dynamic-EIDs discovered: 2

Last dynamic-EID discovered: 172.24.1.3, 21:17:45 ago

Dynamic-EID name: Fabric_VN_Subnet_1_IPv6

Database-mapping EID-prefix: 2001:DB8::/64, locator-set rloc_hosts

Registering more-specific dynamic-EIDs

Map-Server(s): none configured, use global Map-Server

Site-based multicast Map-Notify group: none configured

Number of roaming dynamic-EIDs discovered: 2

Last dynamic-EID discovered: 2001:DB8::E70B:E8E1:E368:BDB7, 21:17:44 ago

Dynamic-EID name: Fabric_VN_Subnet_2_IPv4

Database-mapping EID-prefix: 172.24.2.0/24, locator-set rloc_hosts

Registering more-specific dynamic-EIDs

Map-Server(s): none configured, use global Map-Server

Site-based multicast Map-Notify group: none configured

Number of roaming dynamic-EIDs discovered: 2

Last dynamic-EID discovered: 172.24.2.2, 21:55:56 ago

これらの定義範囲外のIPアドレスは、ファブリックに対して不適格と見なされ、LISPデータベースには登録されず、コントロールプレーンノードにも登録されません。

FE2068#show lisp instance-id 4099 ipv4 database

LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1

Entries total 4, no-route 0, inactive 0, do-not-register 2

172.24.1.3/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, inherited from default locator-set rloc_hosts

Uptime: 21:28:51, Last-change: 21:28:51

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

172.24.1.254/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, do not register, inherited from default locator-set rloc_hosts

Uptime: 22:22:35, Last-change: 22:22:35

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

172.24.2.2/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, inherited from default locator-set rloc_hosts

Uptime: 22:07:03, Last-change: 22:07:03

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

172.24.2.254/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, do not register, inherited from default locator-set rloc_hosts

Uptime: 22:22:35, Last-change: 22:22:35

Domain-ID: local

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.44   10/10   cfg-intf   site-self, reachable

出力には、ローカルで既知のIPアドレス情報がすべて表示されます。

- ホストの場合、これらは通常ホストルート（/32または/128）ですが、境界ノード上のLISPデータベースにインポートされていれば、サブネットにすることもできます。

- SVI自体からのIPアドレスには、「登録しない」というフラグが付きます。 これにより、すべてのファブリックデバイスがエニーキャストIPアドレスをコントロールプレーンノードに登録することを回避できます。

CP_BN_2071#sh lisp instance-id 4099 ipv4 database

LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1

Entries total 2, no-route 0, inactive 0, do-not-register 0

0.0.0.0/0, locator-set rloc_border, auto-discover-rlocs, default-ETR

Uptime: 2d17h, Last-change: 2d17h

Domain-ID: local

Metric: 0

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.19   10/10   cfg-intf   site-self, reachable

10.48.13.0/24, route-import, inherited from default locator-set rloc_border, auto-discover-rlocs

Uptime: 2d17h, Last-change: 2d16h

Domain-ID: local, tag: 65101

Service-Insertion: N/A

Locator        Pri/Wgt  Source     State

172.30.250.19   10/10   cfg-intf   site-self, reachable

1.3コントロールプレーンへのEIDの登録

LISP VXLANベースのファブリックでのエンドポイント登録は、LISPの信頼性の高い登録を通じて行われます。これは、すべての登録が確立されたTCPセッション（LISPセッション）を通じて行われることを意味します。すべてのファブリックデバイスから、ファブリック内のコントロールプレーンノードごとにLISPセッションが確立されます。このLISPセッションを通じて、すべての登録が行われます。ファブリック内に複数のコントロールプレーンノードが存在する場合は、すべてがEIDの登録に使用されます。

ファブリックデバイスに登録するものがない場合、状態はDownになります。これは通常、外部ボーダーでのみ発生します

コントロールプレーンノードにIP範囲を登録しない、またはエンドポイントのないエッジデバイスにIP範囲を登録しない

EIDの登録は、LISP登録メッセージを通じて行われます

すべての設定済みコントロールプレーンノードに送信されます。

ファブリックデバイス上のLISPセッションを表示するには、show lisp sessionコマンドを使用できます。

セッションの状態と起動時間が表示されます。

FE2068#show lisp session

Sessions for VRF default, total: 1, established: 1

Peer                           State      Up/Down        In/Out    Users

172.30.250.19:4342             Up         22:06:07     9791/6531   10

Downと表示されるLISPセッションは、コントロールプレーンノードに登録するEIDがないデバイスで発生する可能性があります。

通常、境界ノードは、エンドポイントが接続されていないファブリックまたはエッジデバイスにルートをインポートしません。

コマンド「show lisp session vrf default <ip address>」を使用して、LISPセッションの詳細情報を表示します。

FE2068#show lisp vrf default session 172.30.250.19

Peer address:     172.30.250.19:4342

Local address:    172.30.250.44:13255

Session Type:     Active

Session State:    Up (22:07:24)

Messages in/out:  9800/6537

Bytes in/out:     616771/757326

Fatal errors:     0

Rcvd unsupported: 0

Rcvd invalid VRF: 0

Rcvd override:    0

Rcvd malformed:   0

Sent deferred:    1

SSO redundancy:   N/A

Auth Type:        None

Accepting Users:  0

Users:            10

Type                      ID                                      In/Out    State

Policy subscription       lisp 0 IID 4099 AFI IPv4                 2/1      Established

Pubsub subscriber         lisp 0 IID 4099 AFI IPv6                 1/0      Idle

Pubsub subscriber         lisp 0 IID 8191 AFI MAC                  2/0      Idle

Pubsub subscriber         lisp 0 IID 8192 AFI MAC                  0/0      Idle

ETR Reliable Registration lisp 0 IID 4099 AFI IPv4                 6/5      TCP

ETR Reliable Registration lisp 0 IID 4099 AFI IPv6                 1/3      TCP

ETR Reliable Registration lisp 0 IID 8191 AFI MAC               9769/6517   TCP

ETR Reliable Registration lisp 0 IID 8192 AFI MAC                  2/6      TCP

ETR Reliable Registration lisp 0 IID 16777214 AFI IPv4             4/4      TCP

Capability Exchange       N/A                                      1/1      waiting

このセッションの詳細な出力には、コントロールプレーンノードに登録されているEIDでアクティブなインスタンスが示されます。

CP_BN_2071#show lisp session

Sessions for VRF default, total: 7, established: 4

Peer                           State      Up/Down        In/Out    Users

172.30.250.19:4342             Up         22:10:52   1198618/1198592 4

172.30.250.19:49270            Up         22:10:52   1198592/1198618 3

172.30.250.30:25780            Up         22:10:38     6534/9805   6

172.30.250.44:13255            Up         22:10:44     6550/9820   7

コントロールプレーンノードのセッション数を調べると、通常、アップしているセッションの数が多いことが分かります。

- このノードが同じ場所に配置されたBorder/CPノードである場合、それ自体に対してLISPセッションも確立されます。

- この例では、172.30.250.19:4342から172.30.250.19:49270へのセッションがあります。

- このセッションを通じて、Borderコンポーネントは、そのEIDをコントロールプレーンノードに登録します。

1.4コントロールプレーンの情報

登録によってファブリックデバイスから提供される情報を使用して、コントロールプレーンノードはファブリックの完全なビューを構築できます。インスタンスIDごとに、学習されたEIDとそれに関連付けられたルーティングロケータを含むテーブルを維持します。

レイヤ3インスタンスの場合は、show lisp siteコマンドを使用して、これを表示します。

CP_BN_2071#show lisp site

LISP Site Registration Information

* = Some locators are down or unreachable

# = Some registrations are sourced by reliable transport

Site Name      Last      Up     Who Last             Inst     EID Prefix

Register         Registered           ID

site_uci       never     no     --                   4097     0.0.0.0/0

never     no     --                   4097     172.23.255.0/24

never     no     --                   4097     172.24.255.0/24

never     no     --                   4099     0.0.0.0/0

00:00:00  yes#   172.30.250.19:49270  4099     10.48.13.0/24

never     no     --                   4099     172.23.1.0/24

never     no     --                   4099     172.24.1.0/24

21:35:06  yes#   172.30.250.44:13255  4099     172.24.1.3/32

22:11:46  yes#   172.30.250.30:25780  4099     172.24.1.4/32

never     no     --                   4099     172.24.2.0/24

22:11:52  yes#   172.30.250.44:13255  4099     172.24.2.2/32

このコマンドは、すべての登録済みEIDと、最後にEIDを登録したユーザを表示します。これは通常、使用中のRLOCでもあることに注意してください。ただし、これは異なる場合があります。また、EIDは複数のRLOC(RLOC)に登録できます。

詳細を表示するには、コマンドにEIDとインスタンスを含めます

CP_BN_2071#show lisp site 172.24.1.3/32 instance-id 4099

LISP Site Registration Information

Site name: site_uci

Description: map-server

Allowed configured locators: any

Requested EID-prefix:

EID-prefix: 172.24.1.3/32 instance-id 4099

First registered:     21:35:53

Last registered:      21:35:53

Routing table tag:    0

Origin:               Dynamic, more specific of 172.24.1.0/24

Merge active:         No

Proxy reply:          Yes

Skip Publication:     No

Force Withdraw:       No

TTL:                  1d00h

State:                complete

Extranet IID:         Unspecified

Registration errors:

Authentication failures:   0

Allowed locators mismatch: 0

ETR 172.30.250.44:13255, last registered 21:35:53, proxy-reply, map-notify

TTL 1d00h, no merge, hash-function sha1

state complete, no security-capability

nonce 0x6ED7000E-0xD4C608C5

xTR-ID 0x88F15053-0x40C0253D-0xAE5EA874-0x2551DB71

site-ID unspecified

Domain-ID local

Multihoming-ID unspecified

sourced by reliable transport

Locator        Local  State      Pri/Wgt  Scope

172.30.250.44  yes    up          10/10   IPv4 none

注：詳細な出力では、注意が必要ないくつかの点があります。

- プロキシでは、この設定により、コントロールプレーンノードはマップ要求に直接応答します。従来のLISPでは、マップ要求はEIDを登録したXTRに転送されますが、プロキシ設定ではコントロールプレーンノードが直接応答します

- TTLに設定されている場合は、EID登録の存続可能時間(TTL)です。デフォルトでは24時間です

- ETR情報。これは、EID登録を送信したファブリックデバイスに関連します。

- RLOCの情報を示しています。これは、EIDに到達するために使用されるRLOCです。また、up/downのようなステート情報も含まれています。RLOCがダウンしている場合は使用されません。また、EIDに複数のRLOCが存在する場合に使用できる重みと優先度が含まれ、EIDの中の1つに優先度を与えます。

コントロールプレーンノードの登録履歴を表示するには、show lisp server registration historyコマンドを使用できます。

- 登録および登録解除されたEIDの概要が表示されます。

登録履歴の表示

CP_BN_2071#show lisp server registration-history last 10

Map-Server registration history

Roam = Did host move to a new location?

WLC = Did registration come from a Wireless Controller?

Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event

Timestamp (UTC)      Instance Proto Roam WLC Source

EID prefix / Locator

*Mar 24 20:49:51.490     4099 TCP   No   No  172.30.250.19

+ 10.48.13.0/24

*Mar 24 20:49:51.491     4099 TCP   No   No  172.30.250.19

- 10.48.13.0/24

*Mar 24 20:49:51.621     4099 TCP   No   No  172.30.250.19

+ 10.48.13.0/24

*Mar 24 20:49:51.622     4099 TCP   No   No  172.30.250.19

- 10.48.13.0/24

*Mar 24 20:49:51.752     4099 TCP   No   No  172.30.250.19

+ 10.48.13.0/24

*Mar 24 20:49:51.754     4099 TCP   No   No  172.30.250.19

- 10.48.13.0/24

*Mar 24 20:49:51.884     4099 TCP   No   No  172.30.250.19

+ 10.48.13.0/24

*Mar 24 20:49:51.886     4099 TCP   No   No  172.30.250.19

- 10.48.13.0/24

*Mar 24 20:49:52.017     4099 TCP   No   No  172.30.250.19

+ 10.48.13.0/24

*Mar 24 20:49:52.019     4099 TCP   No   No  172.30.250.19

- 10.48.13.0/24

Display the registered EID for Ethernet」というコマンドを実行すると、show lisp instance-id <instance> ethernet serverと表示されます（この出力は、レイヤ3と同様の内容になります）。

CP_BN_2071#show lisp instance-id 8191 ethernet server

LISP Site Registration Information

* = Some locators are down or unreachable

# = Some registrations are sourced by reliable transport

Site Name      Last      Up     Who Last             Inst     EID Prefix

Register         Registered           ID

site_uci       never     no     --                   8191     any-mac

00:00:04  yes#   172.30.250.44:13255  8191     0019.3052.6d7f/48

21:36:41  yes#   172.30.250.44:13255  8191     0050.5693.8930/48

22:13:20  yes#   172.30.250.30:25780  8191     0050.5693.f1b2/48

登録に関する詳細情報を取得するには、MACアドレスを追加します

CP_BN_2071#show lisp instance-id 8191 ethernet server 0019.3052.6d7f

LISP Site Registration Information

Site name: site_uci

Description: map-server

Allowed configured locators: any

Requested EID-prefix:

EID-prefix: 0019.3052.6d7f/48 instance-id 8191

First registered:     22:14:38

Last registered:      00:00:03

Routing table tag:    0

Origin:               Dynamic, more specific of any-mac

Merge active:         No

Proxy reply:          Yes

Skip Publication:     No

Force Withdraw:       No

TTL:                  1d00h

State:                complete

Extranet IID:         Unspecified

Registration errors:

Authentication failures:   0

Allowed locators mismatch: 0

ETR 172.30.250.30:25780, last registered 00:00:03, proxy-reply, map-notify

TTL 1d00h, no merge, hash-function sha1

state complete, no security-capability

nonce 0x0465A327-0xA3A2974C

xTR-ID 0x280403CF-0x598BAAF1-0x3E70CE52-0xE8F09E6E

site-ID unspecified

Domain-ID local

Multihoming-ID unspecified

sourced by reliable transport

Locator        Local  State      Pri/Wgt  Scope

172.30.250.30  yes    up          10/10   IPv4 none

イーサネットEIDの登録履歴を確認するには、「登録履歴」を追加します。

注：このコマンドは、デバイスがファブリック内をローミングし、MACアドレスが登録された場所と時間を確認するのに非常に便利です

CP_BN_2071#show lisp instance-id 8191 ethernet server registration-history

Map-Server registration history

Roam = Did host move to a new location?

WLC = Did registration come from a Wireless Controller?

Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event

Timestamp (UTC)      Instance Proto Roam WLC Source

EID prefix / Locator

*Mar 24 20:47:10.291     8191 TCP   Yes  No  172.30.250.44

+ 0019.3052.6d7f/48

*Mar 24 20:47:10.296     8191 TCP   No   No  172.30.250.30

- 0019.3052.6d7f/48

*Mar 24 20:47:18.644     8191 TCP   Yes  No  172.30.250.30

+ 0019.3052.6d7f/48

*Mar 24 20:47:18.647     8191 TCP   No   No  172.30.250.44

- 0019.3052.6d7f/48

*Mar 24 20:47:20.700     8191 TCP   Yes  No  172.30.250.44

+ 0019.3052.6d7f/48

*Mar 24 20:47:20.702     8191 TCP   No   No  172.30.250.30

- 0019.3052.6d7f/48

*Mar 24 20:47:31.914     8191 TCP   Yes  No  172.30.250.30

+ 0019.3052.6d7f/48

*Mar 24 20:47:31.918     8191 TCP   No   No  172.30.250.44

- 0019.3052.6d7f/48

*Mar 24 20:47:40.206     8191 TCP   Yes  No  172.30.250.44

+ 0019.3052.6d7f/48

*Mar 24 20:47:40.210     8191 TCP   No   No  172.30.250.30

- 0019.3052.6d7f/48

コントロールプレーンノードで登録済みのアドレス解決情報を表示するには、アドレス解決コマンドが追加されます。

- これは、MACアドレスとそのレイヤ3情報間のマッピングを示しているだけで、レイヤ2の宛先MACアドレスをブロードキャスト/マルチキャストからユニキャストに書き換えるために、主にファブリックエッジで使用されます。

- そのレイヤ2 MACアドレスに対応するRLOCは個別に解決されます（MACアドレスが不明な場合）。

「address-resolution」を追加し、コントロールプレーンノードで登録済みのアドレス解決情報を表示します。

CP_BN_2071#sh lisp instance-id 8191 ethernet server address-resolution

Address-resolution data for router lisp 0 instance-id 8191

L3 InstID    Host Address                                Hardware Address

4099    172.24.1.3/32                               0050.5693.8930

4099    172.24.1.4/32                               0050.5693.f1b2

4099    2001:DB8::E70B:E8E1:E368:BDB7/128           0050.5693.8930

4099    2001:DB8::F304:BCCD:6BF3:BFAF/128           0050.5693.f1b2

4099    FE80::3EE:5111:BA77:E37D/128                0050.5693.f1b2

4099    FE80::1AE4:8804:5B8F:50F6/128               0050.5693.8930

注：リンクローカルIPv6アドレスがIPv6ダイナミックEIDに一致しなくても、アドレス解決のために学習され、コントロールプレーンノードに表示されます。これらはレイヤ3インスタンスIDに登録されませんが、アドレス解決に使用できます。

リモート接続先の解決

LISP VXLANファブリックを介してトラフィックを転送するには、宛先のRLOCを解決する必要があります。LISP VXLANファブリック内では、これはファブリックデバイスの転送情報ベース(FIB)に情報が入るマップキャッシュを使用して行われます。

LISP VXLANファブリックでは、データ信号によってマップキャッシュがトリガーされます。

- つまり、トラフィックがCPUに転送され、そのEIDに向かうフレームを送信する必要があるRLOC情報を照会するために、CPUがコントロールプレーンノードに向けてマップ要求を作成します。

- マップ要求を受信した場合、コントロールプランはこのEIDに関連付けられたルーティングロケータ情報を提供するか、または否定応答マップを返信します。

- WLCが負のマップ応答を送信すると、コントロールプレーンノードは、要求されたEIDが不明であることを示すだけでなく、このEIDが属するEIDのブロック全体を、登録が存在しないことを示します。

コントロールプレーンノードからのマップ応答の内部の情報を使用して、マップキャッシュが更新されます。

- マップ応答のTTLは通常24時間です。（負のマップ応答の場合、通常は15分だけです）。

- イーサネットEIDの場合、負のマップ応答はマップキャッシュに入れられません。（これはレイヤ3インスタンスに対してのみ実行されます）。

2.1イーサネットマップキャッシュ

show lisp instance-id <instance> map-cacheコマンドを使用して、イーサネットのマップキャッシュを表示します。

FE2067#show lisp instance-id 8191 ethernet map-cache

LISP MAC Mapping Cache for LISP 0 EID-table Vlan 150 (IID 8191), 1 entries

0019.3052.6d7f/48, uptime: 00:00:07, expires: 23:59:52, via map-reply, complete

Locator        Uptime    State  Pri/Wgt     Encap-IID

172.30.250.44  00:00:07  up      10/10        -

このコマンドは、解決されるリモートMACアドレスエントリを示します。

- イーサネットインスタンスのマップキャッシュエントリをトリガーするには、トラフィックを未知の宛先に送信する必要があります。

- これにより、ファブリックデバイスはLISPを介して問題を解決しようとします。

- マップ応答によって学習されると、そのフレームはマップキャッシュに格納され、レイヤ2の宛先に向かう後続のフレームは、学習されたルーティングロケータに直接送信されます。

オプションで、レイヤ2インスタンスでは、大量のBUMトラフィック（IPトラフィック）が使用されます。

- LISP/VXLANはオーバーレイテクノロジーを使用するため、デフォルトではトラフィックをフラッディングしません。ただし、レイヤ2フレームがフラッディングされる可能性のあるアンダーレイネットワーク(GRT)内にIPマルチキャストグループを設定できます。

ブロードキャストアンダーレイグループアドレスを表示する

FE2068#sh run | sec instance-id 8191

instance-id 8191

remote-rloc-probe on-route-change

service ethernet

eid-table vlan 150

broadcast-underlay 239.0.1.19

database-mapping mac locator-set rloc_hosts

exit-service-ethernet

!

exit-instance-id

2.2 IPマップキャッシュ

レイヤ3インスタンスの場合、マップキャッシュ情報は、CPUにトラフィックを送信して信号を送信することでマップ要求を送信するイーサネット構築に似ています。

- ただし、レイヤ3パケットの場合は、設定時に信号を送信するためにCPUにパントされるだけです。これは、設定済みのmap-cacheコマンドによって実行されます。IPv4の場合は0.0.0.0/0、IPv6の場合は：:0/0です。

- 境界ノード上でのこのマップキャッシュエントリの設定は、注意して行う必要があります。境界ノードがこのマップキャッシュ0.0.0.0/0または：:0/0マップキャッシュエントリを使用して設定されている場合、境界ノードは、ファブリックの外部にルーティングするのではなく、ファブリックを介して未知の宛先を解決しようとします。

マップキャッシュの設定を表示する

FE2068#sh run | sec instance-id 4099

instance-id 4099

remote-rloc-probe on-route-change

dynamic-eid Fabric_VN_Subnet_1_IPv4

database-mapping 172.24.1.0/24 locator-set rloc_hosts

exit-dynamic-eid

!

dynamic-eid Fabric_VN_Subnet_1_IPv6

database-mapping 2001:DB8::/64 locator-set rloc_hosts

exit-dynamic-eid

!

service ipv4

eid-table vrf Fabric_VN_1

map-cache 0.0.0.0/0 map-request

exit-service-ipv4

!

service ipv6

eid-table vrf Fabric_VN_1

map-cache ::/0 map-request

exit-service-ipv6

!

exit-instance-id

map-cache 0.0.0.0/0および：:/0 map-requestを発行すると、「send-map-request」アクションによってマップキャッシュエントリがマップキャッシュに設定されます。これにヒットするトラフィックによってマップ要求がトリガーされます。マップキャッシュエントリは最長一致に基づいて動作するFIBに配置されるので、これは特定のエントリのいずれにもヒットしない、ルーティングされたすべてのIPトラフィックに適用されます。

- サポートされているプラットフォームでは、最初のパケットのドロップを回避するために、send-map-request + encapsulate to proxy ETRというアクションが表示されます。

これにより、未知の宛先への最初のパケットがマップ要求をトリガーし、パケットがプロキシetrに転送されます（存在する場合）。

FE2067#show lisp instance-id 4099 ipv4 map-cache

LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 6 entries

0.0.0.0/0, uptime: 22:28:18, expires: 00:13:41, via map-reply, unknown-eid-forward

action: send-map-request + Encapsulating to proxy ETR

PETR           Uptime    State      Pri/Wgt     Encap-IID  Metric

172.30.250.19  22:28:18  up          10/10        -         0

10.48.13.0/24, uptime: 02:31:26, expires: 21:28:34, via map-reply, complete

Locator        Uptime    State  Pri/Wgt     Encap-IID

172.30.250.19  02:31:26  up      10/10        -

172.24.1.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request

Negative cache entry, action: send-map-request

172.24.2.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request

Negative cache entry, action: send-map-request

172.24.2.2/32, uptime: 00:00:21, expires: 23:59:38, via map-reply, complete

Locator        Uptime    State  Pri/Wgt     Encap-IID

172.30.250.44  00:00:21  up      10/10        -

172.28.0.0/14, uptime: 22:28:22, expires: 00:13:39, via map-reply, unknown-eid-forward

PETR           Uptime    State      Pri/Wgt     Encap-IID  Metric

172.30.250.19  22:28:19  up          10/10        -         0

この出力では、いくつかのエントリが示されています。

- この出力の10.48.13.0/24および172.24.2.2/32は、マップ応答によって学習され、完了します。これらの宛先へのトラフィックはカプセル化され、それぞれのロケータに転送されます。

- 172.28.0.0/14は、受信されたネガティブマップ応答と、返されたIPアドレスのブロックの例です。このエントリがマップキャッシュ内にある限り、このサブネットへのトラフィックはマップ要求をトリガーしません。

ファブリックを介したトラフィック転送

3.1レイヤ2またはレイヤ3フォワーディング

LISP/VXLANファブリック内のトラフィックは、レイヤ2またはレイヤインスタンスを介して転送できます。

- どのインスタンスを使用するかは、フレームの宛先MACアドレスによって決まります。

- フレームが転送されるスイッチに登録されているMACアドレス以外のMACアドレスに送信されるフレームは、レイヤ2を使用します。パケットの宛先がスイッチの場合、パケットはレイヤ3経由で転送されます。

- これは、Catalyst 9000シリーズスイッチ経由の通常の転送に適用されるロジックと同じです。

3.2レイヤ2フォワーディング

LISP VXLANファブリックを介したレイヤ2転送は、レイヤ2宛先MACアドレスに基づいて行われます。  リモートの宛先は、出力インターフェイスL2LI0でMACアドレステーブルに挿入されます。

ローカルおよびリモートのレイヤ2インターフェイスを表示する

FE2068#show mac address-table vlan 150

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

150    0000.0c9f.f18e    STATIC      Vl150

150    0050.5693.8930    DYNAMIC     Gi1/0/1

150    2416.9db4.33fd    STATIC      Vl150  <- Local

150    0019.3052.6d7f    CP_LEARN    L2LI0  <- Remote

Total Mac Addresses for this criterion: 3

Total Mac Addresses installed by LISP: REMOTE: 1

未知の宛先に対しては、設定されている場合、トラフィックはアンダーレイに設定されたIPマルチキャストグループを介して送信されます。

- ブロードキャスト、不明なユニキャスト、およびマルチキャスト（選択的マルチキャストフラッディングのみ）トラフィックを正しくフラッディングするには、アンダーレイで正しく動作するマルチキャスト環境が必要です。

- このマルチキャストアンダーレイグループを介して送信されるトラフィックは、VXLANでカプセル化されます。

- 他のすべてのエッジはマルチキャストグループに参加し、トラフィックを受信し、既知のレイヤ2インスタンスのトラフィックのカプセル化を解除する必要があります。

アンダーレイIPマルチキャストグループを表示する

FE2068#sh ip mroute 239.0.19.1

IP Multicast Routing Table

Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,

L - Local, P - Pruned, R - RP-bit set, F - Register flag,

T - SPT-bit set, J - Join SPT, M - MSDP created entry, E - Extranet,

X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,

U - URD, I - Received Source Specific Host Report,

Z - Multicast Tunnel, z - MDT-data group sender,

Y - Joined MDT-data group, y - Sending to MDT-data group,

G - Received BGP C-Mroute, g - Sent BGP C-Mroute,

N - Received BGP Shared-Tree Prune, n - BGP C-Mroute suppressed,

Q - Received BGP S-A Route, q - Sent BGP S-A Route,

V - RD & Vector, v - Vector, p - PIM Joins on route,

x - VxLAN group, c - PFP-SA cache created entry,

* - determined by Assert, # - iif-starg configured on rpf intf,

e - encap-helper tunnel flag, l - LISP decap ref count contributor

Outgoing interface flags: H - Hardware switched, A - Assert winner, p - PIM Join

t - LISP transit group

Timers: Uptime/Expires

Interface state: Interface, Next-Hop or VCD, State/Mode

(*, 239.0.1.19), 00:02:36/stopped, RP 172.31.255.1, flags: SJCF

Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42

Outgoing interface list:

L2LISP0.8191, Forward/Sparse-Dense, 00:02:35/00:00:24, flags:

(172.30.250.44, 239.0.1.19), 00:02:03/00:00:56, flags: FT

Incoming interface: Null0, RPF nbr 0.0.0.0

Outgoing interface list:

GigabitEthernet1/0/23, Forward/Sparse, 00:02:03/00:03:23, flags:

(172.30.250.30, 239.0.1.19), 00:02:29/00:00:30, flags: JT

Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42

Outgoing interface list:

L2LISP0.8191, Forward/Sparse-Dense, 00:02:29/00:00:30, flags:

この出力は、フラッディングされたトラフィックを送信するようにクライアントが設定されている、ファブリック内の他のすべてのエッジに対するS,Gエントリを示します。また、このエッジデバイスのLoopback 0を送信元とする1つのS,Gエントリも示しています。

アンダーレイマルチキャストグループを介したトラフィックの受信側に関しては、show ip mrouteコマンドでもL2LISP0.<instance>が表示されます。

これは、このエッジデバイスがどのレイヤ2インスタンスに対してフラッディングされたトラフィックのカプセル化を解除し、

関連インターフェイス。

3.3レイヤ3転送情報

LISP VXLANファブリックが導入されたときにトラフィックがどのように転送されるかを判断するには、CEFを確認することが重要です。

- 従来のルーティングプロトコルとは異なり、LISPはルーティングテーブルにルーティング方向を挿入しませんが、CEFと直接対話してFIBを更新します。

特定のリモート接続先に関して、マップキャッシュ情報には使用されるロケータ情報が含まれます。

ロケーター情報を表示します

FE2067#sh lisp instance-id 4099 ipv4 map-cache 172.24.2.2

LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 1 entries

172.24.2.2/32, uptime: 11:19:02, expires: 12:40:57, via map-reply, complete

Sources: map-reply

State: complete, last modified: 11:19:02, map-source: 172.30.250.44

Idle, Packets out: 2(1152 bytes), counters are not accurate (~ 11:18:35 ago)

Encapsulating dynamic-EID traffic

Locator        Uptime    State  Pri/Wgt     Encap-IID

172.30.250.44  11:19:02  up      10/10        -

Last up-down state change:         11:19:02, state change count: 1

Last route reachability change:    11:19:02, state change count: 1

Last priority / weight change:     never/never

RLOC-probing loc-status algorithm:

Last RLOC-probe sent:            11:19:02 (rtt 2ms)

マップキャッシュでは、このEIDに使用されるロケータは172.30.250.44です。したがって、この宛先へのトラフィックはカプセル化され、外部IPヘッダーのIP宛先アドレスは172.30.250.44になります。

このインスタンスに使用されるVRFのルーティングテーブルでは、このエントリは表示されません。

FE2067#show ip route vrf Fabric_VN_1

Routing Table: Fabric_VN_1

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type

E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP

n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

H - NHRP, G - NHRP registered, g - NHRP registration summary

o - ODR, P - periodic downloaded static route, l - LISP

a - application route

+ - replicated route, % - next hop override, p - overrides from PfR

& - replicated local route overrides by connected

Gateway of last resort is not set

172.24.0.0/16 is variably subnetted, 5 subnets, 2 masks

C        172.24.1.0/24 is directly connected, Vlan150

l        172.24.1.4/32 [10/1] via 172.24.1.4, 06:11:02, Vlan150

L        172.24.1.254/32 is directly connected, Vlan150

C        172.24.2.0/24 is directly connected, Vlan151

L        172.24.2.254/32 is directly connected, Vlan151

CEF出力は、LISP VXLANファブリック経由の転送に関する詳細情報を提供します。

- show ip cefコマンドにdetailキーワードを追加しても、単にカプセル化されたフレームの送信先が送信されるだけではありません。

- この出力を持つ出力インターフェイスはLISP 0です。<instance>は、トラフィックがカプセル化されて送信されることを示します。

FE2067#sh ip cef vrf Fabric_VN_1 172.24.2.2 detail

172.24.2.2/32, epoch 1, flags [subtree context, check lisp eligibility]

SC owned,sourced: LISP remote EID - locator status bits 0x00000001

LISP remote EID: 2 packets 1152 bytes fwd action encap, dynamic EID need encap

SC inherited: LISP cfg dyn-EID - LISP configured dynamic-EID

LISP EID attributes: localEID No, c-dynEID Yes, d-dynEID No, a-dynEID No

SC inherited: LISP generalised SMR - [enabled, inheriting, 0x7FF95B3E0BE8 locks: 5]

LISP source path list

nexthop 172.30.250.44 LISP0.4099

2 IPL sources [no flags]

nexthop 172.30.250.44 LISP0.4099

トラフィックはカプセル化されて次のホップに送信されるため、次のステップではshow ip cef <next hop>を実行し、パケットもルーティングされる出力インターフェイスを確認します。

実行して、出力インターフェイスを表示します

FE2067#sh ip cef 172.30.250.44

172.30.250.44/32

nexthop 172.30.250.38 GigabitEthernet1/0/23

注：等コストマルチパス(ECMP)ルーティングには、2つの異なるレベルがあります。

- 2つのアドバタイズされたRLOCが存在する場合、トラフィックはオーバーレイでロードバランシングできます。また、RLOC IPアドレスに到達するための冗長パスが存在する場合、アンダーレイネットワークでロードバランシングできます。

- UDPの宛先ポートは4789に固定されており、2つのファブリックデバイス間のすべてのフローの送信元と宛先のIPアドレスは同じであるため、同じパスを介してすべてのパケットがルーティングされないようにするために、何らかの形態の極性防止メカニズムを実行する必要があります。

- LISP VXLANでは、これはオーバーフローネットワーク内のさまざまなフローで異なる外部ヘッダー内のUDP送信元ポートです。

3.4パケット形式

- LISP VXLANファブリック内では、すべてのトラフィックがVXLANで完全にカプセル化されます。これには、レイヤ2とレイヤ3の両方のオーバーレイをサポートできるレイヤ2フレーム全体が含まれます。

レイヤ2フレームの場合、元のヘッダーはカプセル化されます。レイヤ3インスタンスを介して送信されるフレームには、ダミーのレイヤ2ヘッダーが使用されます。

Ethernet II, Src: 24:16:9d:3d:56:67 (24:16:9d:3d:56:67), Dst: 6c:31:0e:f6:21:c7 (6c:31:0e:f6:21:c7)

Internet Protocol Version 4, Src: 172.30.250.30, Dst: 172.30.250.44

User Datagram Protocol, Src Port: 65288, Dst Port: 4789

Virtual eXtensible Local Area Network

Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)

1... .... .... .... = GBP Extension: Defined

.... .... .0.. .... = Don't Learn: False

.... 1... .... .... = VXLAN Network ID (VNI): True

.... .... .... 0... = Policy Applied: False

.000 .000 0.00 .000 = Reserved(R): 0x0000

Group Policy ID: 16

VXLAN Network Identifier (VNI): 4099

Reserved: 0

Ethernet II, Src: 00:00:00:00:80:a3 (00:00:00:00:80:a3), Dst: ba:25:cd:f4:ad:38 (ba:25:cd:f4:ad:38)

Internet Protocol Version 4, Src: 172.24.1.4, Dst: 172.24.2.2

Internet Control Message Protocol

LISP VXLANファブリックを介して伝送されるフレームのキャプチャ例からわかるように、完全にカプセル化されたフレームがvxlanパケットの内部にあります。レイヤ3フレームであるため、イーサネットヘッダーはダミーヘッダーです。

VXLANヘッダーのVLAN Network Identifier(VNID)フィールドには、フレームが属するLISPインスタンスIDが含まれます。

- グループポリシーIDフィールドを介して、フレームSGTタグが伝送されます。

- これはファブリックの入力側で設定され、グループベースのポリシー適用が行われるまで、ファブリックに向けて伝送されます。

認証とセキュリティの適用

4.1スイッチポート認証

エンドポイントをそれぞれのVLANに動的に割り当て、SGTタグ認証を使用して割り当てることができます。

- Dot1x/MAB/中央Web認証などの認証プロトコルを導入して、スイッチに属性を返送するRadiusサーバ上のユーザとエンドポイントを認証および許可し、正しいプール内のクライアント/エンドポイントへのネットワークアクセスと正しいネットワークアクセス許可を許可できます。

LISP VXLANファブリックには、一般的なRADIUS属性がいくつかあります。

- VLAN割り当て：この属性は、RADIUSサーバからスイッチへのVLAN IDまたは名前に設定され、エンドポイントを特定のレイヤ2/レイヤ3 LISPインスタンスに割り当てることができます。

- SGT値：この属性は、SGTがこのSGTにエンドポイントを割り当てるように設定します。これは、このエンドポイントに対するグループベースポリシーに使用されるだけでなく、このエンドポイントから発信されるファブリックを介して送信されるすべてのフレームにSGT値を割り当てます。

- 音声許可：音声デバイスは音声vlanで動作します。これにより、エンドポイントがポートで設定された音声vlanでトラフィックの送受信を許可される音声許可が設定されます。これにより、それぞれのVLANで音声トラフィックとデータトラフィックが分離されます

- セッションタイムアウト：さまざまなエンドポイントに、セッションの独自のタイムアウトがあります。クライアントが再認証を必要とする頻度を示すために、RADIUSサーバからタイムアウトを送信できます

- テンプレート：一部のエンドポイントでは、正しく動作させるためにポートに異なるテンプレートを適用する必要があります。  ポートに適用する必要がある内容を示すテンプレート名をRADIUSサーバから送信できます

ポートの認証結果を確認するには、show access-sessionコマンドを使用します。

FE2067#show access-session interface Gi1/0/1 details

Interface: GigabitEthernet1/0/1

IIF-ID: 0x1FF97CF7

MAC Address: 0050.5693.f1b2

IPv6 Address: FE80::3EE:5111:BA77:E37D

IPv4 Address: 172.24.1.4

User-Name: 00-50-56-93-F1-B2

Device-type: Microsoft-Workstation

Device-name: W7180-PC

Status: Authorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: N/A

Acct update timeout: 172800s (local), Remaining: 172678s

Common Session ID: 9256300A000057B8376D924C

Acct Session ID: 0x00016d77

Handle: 0x85000594

Current Policy: PMAP_DefaultWiredDot1xClosedAuth_1X_MAB

Local Policies:

Server Policies:

Vlan Group: Vlan: 150

SGT Value: 16

Method status list:

Method State

dot1x Stopped

mab Authc Success

次のキーフィールドに注意してください。

- IPv4およびIPv6アドレス：通常はデバイストラッキングを通じて学習されます。

- ユーザ名：認証に使用されるユーザ名。

- Dot1xの場合、通常は認証を行うユーザです。

- MABを使用する場合、これは認証用のユーザ名とパスワードとしてRadiusに送信されるステーションのMACアドレスです。

- ステータス：認証のステータスと認証結果を示します。

- Domain:通常のエンドポイントの場合、これはDataドメインであるため、トラフィックはタグなしでポートで送受信されます。（音声デバイスの場合は、Voiceに設定できます）

- サーバポリシー：これは、VLAN割り当てやSGT割り当てなどのRADIUSサーバからの情報が格納される場所です

- メソッドステータスリスト：実行されるメソッドの概要が表示されます。

- 標準dot1xはMABの前に実行されます。

- エンドポイントがEAPOLフレームに応答しない場合、メソッドはmabにフェールオーバーします。

- これにより、dot1xが失敗したことが示されます。

- MABは、authc successが認証に成功したことを示し、認証結果がaccess-acceptまたはrejectのいずれであるかを反映しません。

4.2トラフィックポリシーとGroup Based Policies(CTS)

LISP VXLANファブリック内では、CTSを使用してトラフィックポリシーを適用します。

- グループベースポリシーアーキテクチャは、セキュアグループタグに基づいています。

- ファブリック内のすべてのトラフィックは、すべてのフレームでファブリックを介して伝送される入力およびSGTタグに割り当てられます。

- このトラフィックがファブリックから送信されると、トラフィックポリシーが適用されます。

- これは、パケットの送信元と宛先のグループタグを、送信元/宛先SGTで構成されるマトリクスと照合してチェックするグループベースポリシーで実行され、結果として許可するトラフィックと許可しないトラフィックを定義するSGACLが生成されます。

- 発信元と宛先のSGTのマトリックス内に一致する特定のエントリがない場合、定義されているデフォルトのアクションが適用されます。

4.3 CTS環境

グループベースのポリシーを使用して動作するには、ファブリックデバイスで最初に必要なことは、CTS pacを取得することです。

- このpacは、Cisco ISEでRADIUSフレームを認可するためにRADIUSフレーム内で使用されます。これは、RADIUSフレーム内のcts-pac-opaqueフィールドを設定するために使用されます。

CTS pac情報を表示します

FE2067#sh cts pacs

AID: C7105D0DA108B6AE0FB00499233B9C6A

PAC-Info:

PAC-type = Cisco Trustsec

AID: C7105D0DA108B6AE0FB00499233B9C6A

I-ID: FOC2410L1ZZ

A-ID-Info: Identity Services Engine

Credential Lifetime: 18:05:51 UTC Sat Jun 24 2023

PAC-Opaque: 000200B80003000100040010C7105D0DA108B6AE0FB00499233B9C6A0006009C00030100C5C0B998FB5E8C106F6882A088D5041300000013641F061A00093A80BA05A1608225843FBAAFD6C3BCD673353B18A6C68149AFAE24A060CBCAFC783E1E6C483AA1A32ADDB8C8EA5E739FB65DB7747ABAEDA59C48F4D1A4F9C8342C36E6D28725A440C1FE4BDB34207081E93CD79367AB19811E323F5882FE20EF831B7A5C2F339C3F35EFC0DBF346C77404F206F5B2171A4C0AAC187F74C5

Refresh timer is set for 12w0d

CTS pacが設定され、有効であることを確認することが重要です。これは、ファブリックデバイスによって自動的に更新されます。

注：更新を手動でトリガーするには、コマンド「cts refresh pac」を発行できます。

グループベースのポリシーを運用するために、必要なポリシー情報をダウンロードするだけでなく、環境データもダウンロードします。

- この環境データには、スイッチ自体が使用するCTSタグと、Radiusサーバで既知のすべてのグループベースポリシーグループのテーブルをダウンロードするCTSタグの両方が含まれています。

cts環境データの表示

FE2067#sh cts environment-data

CTS Environment Data

====================

Current state = COMPLETE

Last status = Successful

Service Info Table:

Local Device SGT:

SGT tag = 2-00:TrustSec_Devices

Server List Info:

Installed list: CTSServerList1-0001, 1 server(s):

*Server: 10.48.13.221, port 1812, A-ID C7105D0DA108B6AE0FB00499233B9C6A

Status = ALIVE

auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs

Security Group Name Table:

0-00:Unknown

2-00:TrustSec_Devices

3-00:Network_Services

4-00:Employees

5-00:Contractors

6-00:Guests

7-00:Production_Users

8-00:Developers

9-00:Auditors

10-00:Point_of_Sale_Systems

11-00:Production_Servers

12-00:Development_Servers

13-00:Test_Servers

14-00:PCI_Servers

15-00:BYOD

16-00:Fabric_Client_1

17-00:Fabric_Client_2

255-00:Quarantined_Systems

Environment Data Lifetime = 86400 secs

Last update time = 11:46:41 UTC Fri Mar 31 2023

Env-data expires in 0:19:17:04 (dd:hr:mm:sec)

Env-data refreshes in 0:19:17:04 (dd:hr:mm:sec)

Cache data applied = NONE

State Machine is running

Retry_timer (60 secs) is not running

グループベースのポリシーを使用する場合、ダウンロードされるポリシーは、デバイスにローカルエンドポイントがあり、適用する必要があるCTSタグだけです。

- IPアドレス（またはサブネット）からグループベースのポリシーグループへのマッピングを確認できるようにするには、コマンド「show cts role-based sgt-map vrf <vrf> all」を使用できます。

VRFに関する既知のIP to SGT情報をすべて表示する

FE2067#sh cts role-based sgt-map vrf Fabric_VN_1 all

Active IPv4-SGT Bindings Information

IP Address SGT Source

============================================

172.24.1.4 17 LOCAL

172.24.1.254 2 INTERNAL

172.24.2.254 2 INTERNAL

IP-SGT Active Bindings Summary

============================================

Total number of LOCAL bindings = 1

Total number of INTERNAL bindings = 2

Total number of active bindings = 3

Active IPv6-SGT Bindings Information

IP Address SGT Source

================================================================

2001:DB8::1 2 INTERNAL

2001:DB8::F304:BCCD:6BF3:BFAF 17 LOCAL

IP-SGT Active Bindings Summary

============================================

Total number of LOCAL bindings = 1

Total number of INTERNAL bindings = 1

Total number of active bindings = 2

この出力には、特定のVRFの既知のIPアドレス（およびサブネット）と、それらのグループベースポリシーアソシエーションがすべて表示されます。

- グループベースポリシーグループ17が割り当てられ、ローカルから送信されたエンドポイントのIPアドレスが1つあることがわかります。

- これは、ポートで行われる認証の結果であり、その結果は、そのエンドポイントに関連付けられたタグを示しています。

- また、発信元が内部であるとdevice-sgtタグが割り当てられたスイッチ自身のIPアドレスも強調表示します。

- グループベースのポリシータグは、設定を通じて、またはISEへのSXPセッションを通じて割り当てることもできます。

デバイスは、SGTタグを学習すると、関連付けられているポリシーをISEサーバからダウンロードしようとします。

- show cts authorization entriesコマンドを使用すると、ダウンロードが試行された日時の概要、および連続してダウンロードされた場合とされなかった場合の概要が表示されます。

注：ポリシーは、ポリシーに変更があった場合に定期的に更新されます。ISEでは、変更が行われたときにスイッチをトリガーして新しいポリシーをダウンロードするように、CoAコマンドをプッシュすることもできます。  ポリシーを手動で更新するには、コマンド「cts refresh policy」を発行します。

ダウンロードを試行したポリシーの概要と、ポリシーが連続してダウンロードされたか、または連続してダウンロードされなかったかの表示

FE2067#show cts authorization entries

Authorization Entries Info

==========================

Peer name = Unknown-0

Peer SGT = 0-00:Unknown

Entry State = COMPLETE

Entry last refresh = 22:14:46 UTC Thu Mar 30 2023

SGT policy last refresh = 22:14:46 UTC Thu Mar 30 2023

SGT policy refresh time = 86400

Policy expires in 0:05:23:44 (dd:hr:mm:sec)

Policy refreshes in 0:05:23:44 (dd:hr:mm:sec)

Retry_timer = not running

Cache data applied = NONE

Entry status = SUCCEEDED

AAA Unique-ID = 11

Peer name = Unknown-17

Peer SGT = 17-01:Fabric_Client_2

Entry State = COMPLETE

Entry last refresh = 11:47:31 UTC Fri Mar 31 2023

SGT policy last refresh = 11:47:31 UTC Fri Mar 31 2023

SGT policy refresh time = 86400

Policy expires in 0:18:56:29 (dd:hr:mm:sec)

Policy refreshes in 0:18:56:29 (dd:hr:mm:sec)

Retry_timer = not running

Cache data applied = NONE

Entry status = SUCCEEDED

AAA Unique-ID = 4031

ダウンロードしたポリシーがある場合は、コマンド「show cts rolebased policies」を使用して表示できます。

FE2067#sh cts role-based permissions

IPv4 Role-based permissions default:

Permit IP-00

IPv4 Role-based permissions from group 17:Fabric_Client_2 to group 16:Fabric_Client_1:

PermitWeb-02

RBACL Monitor All for Dynamic Policies : FALSE

RBACL Monitor All for Configured Policies : FALSE

このコマンドは、デバイスが学習したすべてのポリシーを表示します。ISEサーバでは、異なるグループに対してさらに多くのポリシーが存在する可能性がありますが、デバイスはエンドポイントを認識しているポリシーのダウンロードのみを試行します。これにより、貴重なハードウェアリソースを節約できます。

このコマンドでは、これ以上特定のエントリが認識されないトラフィックに適用されるデフォルトアクションも表示されます。この場合、そのPermit IPであるため、テーブル内の特定のエントリに一致しないすべてのトラフィックが通過を許可されます。

show cts rbacl <name>を実行して、ダウンロードされたRBACLの内容そのものに関する詳細情報を取得します

FE2067#sh cts rbacl permitssh

CTS RBACL Policy

================

RBACL IP Version Supported: IPv4 & IPv6

name = permitssh-03

IP protocol version = IPV4

refcnt = 2

flag = 0x41000000

stale = FALSE

RBACL ACEs:

permit tcp dst eq 22

permit tcp dst eq 23

deny ip

この場合、このRBACLが適用されているエンドポイントへの送信が許可されているトラフィックは、22(SSH)および23(Telnet)へのTCPパケットだけです。

注:RBACLは一方向でのみ動作します。リターントラフィックにポリシーがない限り、デフォルトのポリシーが適用されます。ファブリックに入るトラフィックは強制されず、入力ノードで認識されているSGTタグを使用してファブリックを介して送信されます。適用されるのはファブリックから出るときだけで、そのデバイスに存在するポリシーに適用されます。 通常、これらのポリシーは同じですが、展開するセキュリティポリシーに応じて他のポリシーを定義できるファイアウォールを使用するなど、CTSドメインを拡張できます。

「show cts role-based counters」を実行して、フレームが廃棄されているかどうかを確認します。

- このコマンドは、スイッチ全体の累積カウンタを表示します。インターフェイスごとにに対応するコマンドはありません。

FE2067#sh cts role-based counters

Role-based IPv4 counters

From    To      SW-Denied  HW-Denied  SW-Permitt HW-Permitt SW-Monitor HW-Monitor

*       *       0          0          3565235    7777106   0          0

17      16      0          3          0          3412       0         0

16      17     0          5812       0          871231     0          0

この概要では、17から16、および16から17のトラフィックを照合できるように、この場合にスイッチが認識しているすべての既知のエントリを示しています。

- * *に当てはまるその他の一致では、デフォルトアクションが適用されます。そのため、たとえば18から16のトラフィックが到達する場合、スイッチで認識されているマトリックスと一致せず、デフォルトアクションが適用されます。

カウンタは累積的ですが、トラフィックがドロップされた場合は適切に表示されます。

- エントリにヒットするトラフィックを判別するには、ISEサーバでlogキーワードを該当するポリシーに追加します。その結果、このエントリがヒットすると、スイッチはログメッセージを提供します。

- これは、デフォルトアクション(* *)またはマトリックス内の特定のエントリの両方に対して実行できます。

関連情報

- テクニカル サポートとドキュメント – Cisco Systems