Hypershield エージェントから NX-OS への連携動作

Hypershield エージェントから NX-OS への連携動作

Hypershield Agent（HSA）が、ePBR を使用したトラフィック リダイレクションに必要な構成オブジェクトをデータ管理エンジン（DME）を介して NX-OS に正常にプッシュしたことを確認します。クリーンな整合性チェックにもかかわらず、トラフィックがスイッチに到着し、DPU をドロップまたはバイパスする場合は、このセクションの手順を使用してスイッチのリダイレクション情報を確認します。

手順

エージェントがリダイレクト ポリシーとサービス構成を NX-OS に送信したかどうかを確認します。

例:

switch# show system internal service-acceleration dynamic configuration --> agent driven config isolated from user driven config 
<snip>>
vlan 2003
  epbr policy __dpu_all_dpu_vlan_redir
vlan 2005
  epbr policy __dpu_all_dpu_vlan_redir  --> enforce redirection policy on VLAN
vrf context tenant1
  epbr policy __tenant1_dpu_redir       --> enforce redirection policy on VRF
vrf context tenant2
  epbr policy __tenant2_dpu_redir

<<snip>>

epbr service __dpu_all_dpu_vlan_redir type dpu-bridge 
 service-end-point module all             --> send to all DPU with symmetric hash for bridged traffic
		
epbr service __tenant1_dpu_redir type dpu 
  vrf tenant1                             --> VRF specific service
  service-end-point module all vlan 13    --> Encap VLAN ID for VRF and send to all DPU with symmetric hash

epbr service __tenant2_dpu_redir type dpu 
  vrf tenant2
  service-end-point module all vlan 12

<<snip>>

epbr policy __dpu_all_dpu_vlan_redir
  statistics
  match ipv6 address __dpu_ipv6_redir          --> match all v4 traffic
    10 set service __dpu_all_dpu_vlan_redir fail-action drop    --> redirect to service
  match ip address __dpu_redir                 --> match all v6 traffic
    10 set service __dpu_all_dpu_vlan_redir fail-action drop
epbr policy __tenant1_dpu_redir
  statistics
  match ipv6 address __dpu_ipv6_redir          --> match all v4 traffic
    10 set service __tenant1_dpu_redir fail-action drop   --> redirect to service
  match ip address __dpu_redir                 --> match all v6 traffic
    10 set service __tenant1_dpu_redir fail-action drop 
epbr policy __tenant2_dpu_redir
  statistics
  match ipv6 address __dpu_ipv6_redir 
    10 set service __tenant2_dpu_redir fail-action drop 
  match ip address __dpu_redir 
    10 set service __tenant2_dpu_redir fail-action drop

Hypershield Agent によってプッシュされたダイナミック リダイレクション構成を確認します。リダイレクション ポリシーが正しい VRF と VLAN に関連付けられていること、およびリダイレクション サービスが VRF とVLAN の正しい DPU モジュールと各 VRF のカプセル化 VLAN ID を定義していることを確認します。

これらのチェックを実行することにより、Hypershield Agent が必要なリダイレクション 構成オブジェクトを DME を介して NX-OS に正常にプッシュしていることを確認し、ファイアウォール VRF および VLAN のトラフィックを適切な DPU にリダイレクトする方法を定義できます。