Controleer ACI gedeelde services - gedeelde service Consument-pctag 14
Inhoud
Inleiding
Dit document beschrijft stappen om de configuratie van gedeelde services met gedeelde BD in ACI te configureren en te verifiëren.
Achtergrondinformatie
Een gedeelde servicesconfiguratie maakt communicatie tussen EPG’s via verschillende VRF’s binnen een ACI-fabric mogelijk.
Gedeelde services maakt optimaal gebruik van de 3 PcTag Categorieën:
| Categorienaam | PCTag bereik |
| Systeem | 1-15 |
| Wereldwijd | 16-16385 |
| Lokaal | 16386 - 65535 |
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Configureren
Netwerkdiagram
Configuratiekenmerken
- Het subnetbereik "Gedeeld tussen VRF’s" moet op het te lekken subnet worden toegepast,192.168.10.1/24
- Het contract moet ten minste de "huurdersdraagwijdte" hebben, aangezien de EPG's in dezelfde huurder zijn ondergebracht.
- Als de EPG's in verschillende huurders zijn gevestigd, moet het contract een "wereldwijd" toepassingsgebied hebben
- Als het gedeelde subnet onder de Provider EPG is gedefinieerd, hoeft het contract alleen op de EPG te worden verstrekt om te worden gedeeld en op de EPG te worden verbruikt om te consumeren.
OF
- Als het gedeelde subnet is gedefinieerd onder de Provider BD, moet het contract worden geleverd door zowel EPG’s als door zowel EPG’s als subnetten alleen op de BD worden verbruikt. Dit gebruikt meer TCAM-ruimte als er meer Zones-Rules zijn geprogrammeerd.
Verifiëren
Scenario 1 - EPG-to-EPG: gedeeld subnet zoals gedefinieerd in Provider EPG
In dit voorbeeldscenario wordt het gedeelde subnet geconfigureerd onder EPG-2.
Deze optie optimaliseert het gebruik van TCAM en bereikt de gedeelde servicesconfiguratie. TCAM is geoptimaliseerd omdat de Zoning-Regels alleen hoeven te worden geprogrammeerd in de VRF voor consumenten. In dit scenario is de VRF voor de consument alleen op blad 101 te zien.
EPG-1 naar EPG-2 Flow Trace
Consumentenblad 101
De routeinformatie op Leaf 101 Consumer VRF PJ:VRF-1 toont de route voor 192.168.10.10 via VNID 2260992, dat Provider VRF PJ:VRF-2 is:
leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1 IP Route Table for VRF "PJ:VRF-1" '*' denotes best ucast next-hop '**' denotes best mcast next-hop '[x/y]' denotes [preference/metric] '%' in via output denotes VRF
192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive *via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992 recursive next hop: 10.0.240.33/32%overlay-1
De verkeersstroom kan worden gevalideerd met een ELAM op Consumer Leaf 101 tegen het ICMP-verzoek van bron 10.10.10.10 tot bestemming 192.168.10.1
leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
-----------------------------------------------------------------------------------------------------------------------------------
Outer L3 Header
-----------------------------------------------------------------------------------------------------------------------------------
...
IP Protocol Number : ICMP
IP CheckSum : 37262( 0x918E )
Destination IP : 192.168.10.10
Source IP : 10.10.10.10
-----------------------------------------------------------------------------------------------------------------------------------
Contract Lookup Key
-----------------------------------------------------------------------------------------------------------------------------------
IP Protocol : ICMP( 0x1 )
L4 Src Port : 2048( 0x800 )
L4 Dst Port : 16568( 0x40B8 )
sclass (src pcTag) : 16388( 0x4004 )
dclass (dst pcTag) : 10930( 0x2AB2 )
src pcTag is from local table : yes
derived from a local table on this node by the lookup of src IP or MAC
Unknown Unicast / Flood Packet : no
If yes, Contract is not applied here because it is flooded
-----------------------------------------------------------------------------------------------------------------------------------
Contract Result
-----------------------------------------------------------------------------------------------------------------------------------
Contract Drop : no
Contract Logging : no
Contract Applied : yes
Contract Hit : yes
Contract Aclqos Stats Index : 81874
( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Uit het rapport blijkt dat het contract wordt toegepast op consumentenblad 101 en dat Src pcTag 16388 (EPG-1) en Dst PcTAG 10930 (EPG-2) werden toegewezen.
Deze waarden kunnen worden vergeleken met de geprogrammeerde Zoning-Rules in Consumer VRF PJ:VRF-1 (VNID 3080192) om te bepalen welke regel-ID’s zijn geraakt:
leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4108 | 10930 | 16388 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4118 | 16388 | 10930 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+
EPG-2 naar EPG-1 Flow Trace
Provider Leaf 102
De routeinformatie op Blad 102 voor Provider VRF PJ:VRF-2 toont de route voor 10.10.10.10 via VNID 3080192, namelijk Consumer VRF PJ:VRF-1:
leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2
IP Route Table for VRF "PJ:VRF-2"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%' in via output denotes VRF
10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive
*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192
recursive next hop: 10.0.240.33/32%overlay-1
De verkeersstroom kan worden gevalideerd met een ELAM op Provider Leaf 101 tegen het ICMP-verzoek van Source 192.168.10.10 naar Destination 10.10.10.10:
leaf102# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 37262( 0x918E ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 18616( 0x48B8 ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
In dit rapport, merk op dat de klasse en de klasse beide niet lokale waarden zijn.
EPG-2, de gedeelde serviceprovider, is nu de drijvende kracht achter een wereldwijde pc-tag van10930.
De klasse die aan dit pakket is toegewezen is Shared Service Consumer PCTag 14. PcTag 14 is het systeem PcTag gereserveerd voor Inter-VRF verkeer.
Let op: er is een speciale Zones-Regel geprogrammeerd op Provider Leaf 102 tussen Provider EPG2 PcTag 10930 en Shared Service Consumer System PcTag 14 met de "Actie" ingesteld op "license_override". Deze regel maakt het mogelijk dat gematchte stromen op het consumentenblad doorlopen voor de definitieve raadpleging van het beleid:
leaf102# show zoning-rule +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+
Scenario 2 - BD-to-BD: gedeeld subnet zoals gedefinieerd in Provider BD.
In dit voorbeeldscenario wordt het gedeelde subnet alleen geconfigureerd in BD-2.
Om de gedeelde serviceconfiguratie te voltooien, moeten contracten zowel op EPG’s als op EPG-1 en EPG-2 worden verbruikt en geleverd.
EPG-1 naar EPG-2 Flow Trace
Aangezien een gedeeld servicecontract wordt geleverd en op beide EPG’s wordt verbruikt, worden deze eigenschappen in een pakketstroom tussen EPG-1 (Blad 101) en EPG-2 (Blad 102) waargenomen:
- EPG-1 wordt beschouwd als de provider
- EPG-2 wordt beschouwd als de consument
- Leaf 102 is het consumentenblad, en dus wordt hier het definitieve beleid toegepast.
De routegegevens zijn hetzelfde als bij scenario 1.
"Provider" Blad 101:
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# status
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23304( 0x5B08 ) Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 59074( 0xE6C2 ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Merk op dat klasse 14 is toegewezen. Dit betekent dat het verkeer door mag gaan via de "license_override"-regel, zodat het Consumer Leaf de laatste beleidsraadpleging kan aansturen.
consumentenblad 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 14 out-select 1
module-1# set inner ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 26203( 0x665B ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 10930( 0x2AB2 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Merk op dat zowel EPG-1 als EPG-2 nu Global PCtags hebben; EPG-1 is PcTag 18 en EPG-2 is PcTag 10938.
EPG-2 naar EPG-1 Flow Trace
Aangezien een gedeeld servicecontract wordt geleverd en op beide EPG’s wordt verbruikt, worden deze eigenschappen in een pakketstroom tussen EPG-2 (Blad 102) en EPG-1 (Blad 101) waargenomen:
- EPG-2 wordt beschouwd als de provider
- EPG-1 wordt beschouwd als de consument
- Leaf 101 is het consumentenblad, en dus wordt hier het definitieve beleid toegepast.
De routegegevens zijn hetzelfde als bij scenario 1.
"Provider"-blad 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23308( 0x5B0C ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 56682( 0xDD6A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Merk op dat klasse 14 is toegewezen. Dit betekent dat het verkeer door mag gaan via de "license_override"-regel, zodat het Consumer Leaf de laatste beleidsraadpleging kan aansturen.
"Consumentenblad" 101
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- L3 Type : IPv4 DSCP : 0 Don't Fragment Bit : 0x0 TTL : 254 IP Protocol Number : ICMP Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 22874( 0x595A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 18( 0x12 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
TCAM-gebruik markeren
In het BD-to-BD scenario, merk op dat Zones-Rules zijn verdubbeld aangezien zowel EPG-1 als EPG-2 zijn Gedeelde Consumenten van het Dienstencontract:
Leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4129 | 18 | 14 | implicit | uni-dir | enabled | 3080192 | | permit_override | src_dst_any(9) | | 4128 | 10930 | 18 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4127 | 18 | 10930 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Leaf102# show zoning-rule scope 2260992 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | | 4123 | 18 | 10930 | 8 | bi-dir | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4124 | 18 | 0 | implicit | uni-dir | enabled | 2260992 | | deny,log | shsrc_any_any_deny(12) | | 4122 | 10930 | 18 | 8 | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Conclusie
Beide configuratiescenario's realiseren de functie Gedeelde services, maar de BD-to-BD methode komt ten koste van extra TCAM-verbruik.
Referenties en nuttige links
ACI gedeelde services begrijpen en problemen oplossen - DGTL-TSCDCN-305
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
2.0 |
19-Oct-2022 |
Vaste Cisco Live Link |
1.0 |
13-Sep-2022 |
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)