Inhoud

Inleiding

Achtergrondinformatie

Configureren

Netwerkdiagram

Configuratiekenmerken

Verifiëren

Scenario 1 - EPG-to-EPG: gedeeld subnet zoals gedefinieerd in Provider EPG

EPG-1 naar EPG-2 Flow Trace

EPG-2 naar EPG-1 Flow Trace

Scenario 2 - BD-to-BD: gedeeld subnet gedefinieerd in Provider BD.

EPG-1 naar EPG-2 Flow Trace

EPG-2 naar EPG-1 Flow Trace

TCAM-gebruik markeren

Conclusie

Referenties en nuttige links

Inleiding

Dit document beschrijft stappen om de configuratie van gedeelde services met gedeelde BD in ACI te configureren en te verifiëren.

Achtergrondinformatie

Een gedeelde servicesconfiguratie maakt communicatie tussen EPG’s via verschillende VRF’s binnen een ACI-fabric mogelijk.

Gedeelde services maakt optimaal gebruik van de 3 PcTag Categorieën:

Categorienaam

PCTag bereik

Systeem

1-15

Wereldwijd

16-16385

Lokaal

16386 - 65535

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

Configuratiekenmerken

- Het subnetbereik "Gedeeld tussen VRF’s" moet op het te lekken subnet worden toegepast,192.168.10.1/24

- Het contract moet ten minste de "huurdersdraagwijdte" hebben, aangezien de EPG's in dezelfde huurder zijn ondergebracht.

- Als de EPG's in verschillende huurders zijn gevestigd, moet het contract een "wereldwijd" toepassingsgebied hebben

- Als het gedeelde subnet onder de Provider EPG is gedefinieerd, hoeft het contract alleen op de EPG te worden verstrekt om te worden gedeeld en op de EPG te worden verbruikt om te consumeren.

OF

- Als het gedeelde subnet is gedefinieerd onder de Provider BD, moet het contract worden geleverd door zowel EPG’s als door zowel EPG’s als subnetten alleen op de BD worden verbruikt. Dit gebruikt meer TCAM-ruimte als er meer Zones-Rules zijn geprogrammeerd.

Opmerking: VZany wordt niet ondersteund als provider van gedeelde services.

Verifiëren

Scenario 1 - EPG-to-EPG: gedeeld subnet zoals gedefinieerd in Provider EPG

In dit voorbeeldscenario wordt het gedeelde subnet geconfigureerd onder EPG-2.

Opmerking: als hetzelfde subnetje wordt gedefinieerd onder zowel een EPG als de bijbehorende BD, moeten beide definities dezelfde Scope-waarden hebben ingesteld.

Deze optie optimaliseert het gebruik van TCAM en bereikt de gedeelde servicesconfiguratie. TCAM is geoptimaliseerd omdat de Zoning-Regels alleen hoeven te worden geprogrammeerd in de VRF voor consumenten. In dit scenario is de VRF voor de consument alleen op blad 101 te zien.

EPG-1 naar EPG-2 Flow Trace

Consumentenblad 101

De routeinformatie op Leaf 101 Consumer VRF PJ:VRF-1 toont de route voor 192.168.10.10 via VNID 2260992, dat Provider VRF PJ:VRF-2 is:

leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1

IP Route Table for VRF "PJ:VRF-1"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992

recursive next hop: 10.0.240.33/32%overlay-1

De verkeersstroom kan worden gevalideerd met een ELAM op Consumer Leaf 101 tegen het ICMP-verzoek van bron 10.10.10.10 tot bestemming 192.168.10.1

leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 16568( 0x40B8 )

sclass (src pcTag)                      : 16388( 0x4004 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Uit het rapport blijkt dat het contract wordt toegepast op consumentenblad 101 en dat Src pcTag 16388 (EPG-1) en Dst PcTAG 10930 (EPG-2) werden toegewezen.

Deze waarden kunnen worden vergeleken met de geprogrammeerde Zoning-Rules in Consumer VRF PJ:VRF-1 (VNID 3080192) om te bepalen welke regel-ID’s zijn geraakt:

leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |  Action  |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              | deny,log | shsrc_any_any_deny(12) |

|   4108  | 10930  | 16388  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

|   4118  | 16388  | 10930  |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |  permit  |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+

Opmerking: een impliciete ontkenningsregel wordt automatisch gemaakt van Provider EPG-2 (PcTag 10930) naar een willekeurige (PcTag 0). Dit om communicatie van de VRF-aanbieder naar de VRF-gebruiker te voorkomen zonder aanvullende contracten tussen EPG’s.

EPG-2 naar EPG-1 Flow Trace

Provider Leaf 102

De routeinformatie op Blad 102 voor Provider VRF PJ:VRF-2 toont de route voor 10.10.10.10 via VNID 3080192, namelijk Consumer VRF PJ:VRF-1:

leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2

IP Route Table for VRF "PJ:VRF-2"

'*' denotes best ucast next-hop

'**' denotes best mcast next-hop

'[x/y]' denotes [preference/metric]

'%' in via output denotes VRF

10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive

*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192

recursive next hop: 10.0.240.33/32%overlay-1

De verkeersstroom kan worden gevalideerd met een ELAM op Provider Leaf 101 tegen het ICMP-verzoek van Source 192.168.10.10 naar Destination 10.10.10.10:

leaf102# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 37262( 0x918E )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 18616( 0x48B8 )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

In dit rapport, merk op dat de klasse en de klasse beide niet lokale waarden zijn.

EPG-2, de gedeelde serviceprovider, is nu de drijvende kracht achter een wereldwijde pc-tag van10930.

De klasse die aan dit pakket is toegewezen is Shared Service Consumer PCTag 14. PcTag 14 is het systeem PcTag gereserveerd voor Inter-VRF verkeer.

Let op: er is een speciale Zones-Regel geprogrammeerd op Provider Leaf 102 tussen Provider EPG2 PcTag 10930 en Shared Service Consumer System PcTag 14 met de "Actie" ingesteld op "license_override".  Deze regel maakt het mogelijk dat gematchte stromen op het consumentenblad doorlopen voor de definitieve raadpleging van het beleid:

leaf102# show zoning-rule

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |   Dir   |  operSt |  Scope   | Name |      Action     |       Priority       |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

|   4113  | 10930  |   14   | implicit | uni-dir | enabled | 2260992  |      | permit_override |    src_dst_any(9)    |

+---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+

Scenario 2 - BD-to-BD: gedeeld subnet zoals gedefinieerd in Provider BD.

In dit voorbeeldscenario wordt het gedeelde subnet alleen geconfigureerd in BD-2.

Om de gedeelde serviceconfiguratie te voltooien, moeten contracten zowel op EPG’s als op EPG-1 en EPG-2 worden verbruikt en geleverd.

EPG-1 naar EPG-2 Flow Trace

Aangezien een gedeeld servicecontract wordt geleverd en op beide EPG’s wordt verbruikt, worden deze eigenschappen in een pakketstroom tussen EPG-1 (Blad 101) en EPG-2 (Blad 102) waargenomen:

- EPG-1 wordt beschouwd als de provider

- EPG-2 wordt beschouwd als de consument

- Leaf 102 is het consumentenblad, en dus wordt hier het definitieve beleid toegepast.

De routegegevens zijn hetzelfde als bij scenario 1.

"Provider" Blad 101:

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10

module-1# start

module-1# status

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23304( 0x5B08 )

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 59074( 0xE6C2 )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Merk op dat klasse 14 is toegewezen. Dit betekent dat het verkeer door mag gaan via de "license_override"-regel, zodat het Consumer Leaf de laatste beleidsraadpleging kan aansturen.

consumentenblad 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 14 out-select 1

module-1# set inner ipv4 src_ip 10.10.10.10  dst_ip 192.168.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

Destination IP                : 192.168.10.10

Source IP                     : 10.10.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 2048( 0x800 )

L4 Dst Port                             : 26203( 0x665B )

sclass (src pcTag)                      : 18( 0x12 )

dclass (dst pcTag)                      : 10930( 0x2AB2 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

Merk op dat zowel EPG-1 als EPG-2 nu Global PCtags hebben; EPG-1 is PcTag 18 en EPG-2 is PcTag 10938.

EPG-2 naar EPG-1 Flow Trace

Aangezien een gedeeld servicecontract wordt geleverd en op beide EPG’s wordt verbruikt, worden deze eigenschappen in een pakketstroom tussen EPG-2 (Blad 102) en EPG-1 (Blad 101) waargenomen:

- EPG-2 wordt beschouwd als de provider

- EPG-1 wordt beschouwd als de consument

- Leaf 101 is het consumentenblad, en dus wordt hier het definitieve beleid toegepast.

De routegegevens zijn hetzelfde als bij scenario 1.

"Provider"-blad 102

Leaf102# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

...

-----------------------------------------------------------------------------------------------------------------------------------

Outer L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

...

IP Protocol Number            : ICMP

IP CheckSum                   : 23308( 0x5B0C )

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 56682( 0xDD6A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 14( 0xE )

src pcTag is from local table           : yes

derived from a local table on this node by the lookup of src IP or MAC

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : no

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81873

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )

Merk op dat klasse 14 is toegewezen. Dit betekent dat het verkeer door mag gaan via de "license_override"-regel, zodat het Consumer Leaf de laatste beleidsraadpleging kan aansturen.

"Consumentenblad" 101

Leaf101# vsh_lc

module-1# trigger reset

module-1# trigger init in-select 6 out-select 1

module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10

module-1# start

module-1# ereport

-----------------------------------------------------------------------------------------------------------------------------------

Inner L3 Header

-----------------------------------------------------------------------------------------------------------------------------------

L3 Type                       : IPv4

DSCP                          : 0

Don't Fragment Bit            : 0x0

TTL                           : 254

IP Protocol Number            : ICMP

Destination IP                : 10.10.10.10

Source IP                     : 192.168.10.10

-----------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------

Contract Lookup Key

-----------------------------------------------------------------------------------------------------------------------------------

IP Protocol                             : ICMP( 0x1 )

L4 Src Port                             : 0( 0x0 )

L4 Dst Port                             : 22874( 0x595A )

sclass (src pcTag)                      : 10930( 0x2AB2 )

dclass (dst pcTag)                      : 18( 0x12 )

src pcTag is from local table           : no

derived from group-id in iVxLAN header of incoming packet

Unknown Unicast / Flood Packet          : no

If yes, Contract is not applied here because it is flooded

-----------------------------------------------------------------------------------------------------------------------------------

Contract Result

-----------------------------------------------------------------------------------------------------------------------------------

Contract Drop                           : no

Contract Logging                        : no

Contract Applied                        : yes

Contract Hit                            : yes

Contract Aclqos Stats Index             : 81874

( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )

TCAM-gebruik markeren

In het BD-to-BD scenario, merk op dat Zones-Rules zijn verdubbeld aangezien zowel EPG-1 als EPG-2 zijn Gedeelde Consumenten van het Dienstencontract:

Leaf101# show zoning-rule scope 3080192

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4117  | 10930  |   0    | implicit |    uni-dir     | enabled | 3080192 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4129  |   18   |   14   | implicit |    uni-dir     | enabled | 3080192 |              | permit_override |     src_dst_any(9)     |

|   4128  | 10930  |   18   |    8     |     bi-dir     | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4127  |   18   | 10930  |    8     | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Leaf102# show zoning-rule scope 2260992

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       |  operSt |  Scope  |     Name     |      Action     |        Priority        |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

|   4113  | 10930  |   14   | implicit |    uni-dir     | enabled | 2260992 |              | permit_override |     src_dst_any(9)     |

|   4123  |   18   | 10930  |    8     |     bi-dir     | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

|   4124  |   18   |   0    | implicit |    uni-dir     | enabled | 2260992 |              |     deny,log    | shsrc_any_any_deny(12) |

|   4122  | 10930  |   18   |    8     | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 |      permit     |     fully_qual(7)      |

+---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+

Opmerking: Merk op dat het aantal impliciete "shsrc_any_any_deny" en "license_override" Zones-Rules ook is verdubbeld als gevolg van deze configuratie.

Conclusie

Beide configuratiescenario's realiseren de functie Gedeelde services, maar de BD-to-BD methode komt ten koste van extra TCAM-verbruik.

Referenties en nuttige links

Cisco ACI-contracthandleiding

ACI gedeelde services begrijpen en problemen oplossen - DGTL-TSCDCN-305