Voer het BGP EVPN-routingbeleid op Catalyst 9000 Series Switches uit

Inleiding

Dit document beschrijft hoe u het routeringsbeleid in BGP EVN VXLAN op Catalyst 9000 Series Switches kunt implementeren.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• BGP-configuratie en -validatie 
• Routekaarten en basis-BGP-routebeleid
• EVPN VXLAN-switch

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Catalyst 9300
• Catalyst 9400
• Catalyst 9500
• Catalyst 9600
• Cisco IOS® XE 17.1.1 en hoger versies 

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

EVPN VxLAN routebeleid gebruikt routekaarten om de verkeersstroom van hosts te controleren en welke routes VTEP’s leren en verwerken:

• Dit is een belangrijk aspect van het EVPN beschermde segmenttype ontwerp (buiten het bereik van dit document) waar ARP-verkeer alleen wordt verzonden naar de Central Gateway (CGW) zodat de CGW proxy antwoord kan met zijn eigen MAC-adres, zelfs voor lokaal segmentverkeer. 
• Het beschermde segment biedt de mogelijkheid om verkeersstromen zodanig te controleren dat al het verkeer kan worden doorgegeven via de verkeersinspectie en het verkeersbeleid van een firewall. 

Cisco heeft ook het uitgebreide communautaire kenmerk Default Gateway (DEF GW) geïmplementeerd om aan te geven welke MAC/IP-prefix eigendom is van de CGW.

Documentgegevens

Belangrijke details over dit document:

• De replicatiemodus voor BUM-verkeer is toegang (unicast BUM-tunnels)
• Gebruikte VLAN’s zijn 201 en 202
• Gebruikte VLAN’s zijn 20101 en 20201
• Al het gerouteerde verkeer wordt verzonden naar de CGW (VTEP's hebben geen eigen SVI)
• IMET route-type 3 BGP prefixes zijn hub and spoke (Leafs accepteren alleen IMET routes van CGW, niet van elkaar)
• Routetype 2 & 5 zijn volledig mesh 

Ondersteunde routetypen

• Routetype 3 (inclusief multicast Ethernet-tagroute)
• Route-type 7 (IGMP Join Synch Routes)
• Route-type 8 (IGMP-synchrone routeringen)

Terminologie

VRF	Doorsturen van virtuele routing	Bepaalt een Layer 3-routeringsdomein dat moet worden gescheiden van andere VRF- en wereldwijde IPv4/IPv6-routeringsdomein
AF	Adresfamilie	Bepaalt welk type prefixes en routing info BGP handvatten
AS	Autonoom systeem	Een reeks routeerbare IP-prefixes voor internet die behoren tot een netwerk of een verzameling netwerken die allemaal worden beheerd, gecontroleerd en gecontroleerd door één entiteit of organisatie
EVPN	Ethernet Virtual Private Network	Uitbreiding die BGP in staat stelt Layer 2 MAC- en Layer 3 IP-informatie te transporteren, is EVPN en gebruikt Multi-Protocol Border Gateway Protocol (MP-BGP) als het protocol om bereikbaarheidsinformatie te verspreiden die betrekking heeft op het VXLAN-overlay-netwerk.
VXLAN	Virtual Extensible LAN (Local Area Network)	VXLAN is ontworpen om de inherente beperkingen van VLAN’s en STP te overwinnen. Het is een voorgestelde IETF-standaard [RFC 7348] om dezelfde Ethernet Layer 2-netwerkservices te bieden als VLAN’s, maar met grotere flexibiliteit. Functioneel is het een MAC-in-UDP inkapselingsprotocol dat als virtuele overlay op een Layer 3 underlay-netwerk wordt uitgevoerd.
CGW	Gecentraliseerde gateway	En implementatie van EVPN waar de toegangspoort SVI niet op elk blad staat. In plaats daarvan wordt alle routing uitgevoerd door een specifiek blad met behulp van asymmetrische IRB (geïntegreerde routing en bridging)
DEF GW	Standaardgateway	Een BGP uitgebreid community attribuut toegevoegd aan de MAC/IP prefix via het commando "standaard-gateway adverteren inschakelen" onder de 'l2vpn evpn' configuratie sectie.
IMET	Inclusief multicast Ethernet-tag (router)	Wordt ook BGP type-3 route genoemd. Dit routetype wordt in EVPN gebruikt om BUM-verkeer (broadcast / onbekende unicast / multicast) tussen VTEP's te leveren.

Configureren

Netwerkdiagram

Configuraties

In dit deel worden configuratievoorbeelden van Leaf-01- en Border Leaf (CGW)-switches getoond. Andere bladconfiguraties zijn hetzelfde, dus worden hier niet herhaald.

• De voorbeelden in dit document zijn gebaseerd op toegangsreplicatie en tonen aan hoe beleid toe te passen om te controleren welke VPN's uitzending en ander overstroomd verkeer kunnen communiceren 

Leaf-01 (basis-EVPN-configuratie)

Leaf-01#show run | sec l2vpn
l2vpn evpn
 replication-type static
 flooding-suppression address-resolution disable  <-- Disables ARP caching so ARP is always sent up to the CGW 
 router-id Loopback1
l2vpn evpn instance 201 vlan-based
 encapsulation vxlan
 replication-type ingress
 multicast advertise enable
l2vpn evpn instance 202 vlan-based
 encapsulation vxlan
 replication-type ingress
 multicast advertise enable

Leaf-01#show run | sec vlan config
vlan configuration 201
 member evpn-instance 201 vni 20101
vlan configuration 202
 member evpn-instance 202 vni 20201

Leaf-01#show run int nve 1
Building configuration...

Current configuration : 327 bytes
!
interface nve1
 no ip address
 source-interface Loopback1
 host-reachability protocol bgp
 member vni 20201 ingress-replication
 member vni 20101 ingress-replication
end

ip bgp-community new-format     <-- Required to see community in aa:nn format

Leaf-01 (routefiltering)

Bepaal welke route-doelstelling moet worden aangepast.

• Voor CLI-eenvoud gebruikt het voorbeeld in dit document de automatische route-doelfunctionaliteit.
• Aangezien dit automatisch is, moet u deze opdracht uitvoeren om te weten hoe u de communitylijst moet configureren

Leaf-01#show l2vpn evpn route-target
Route Target           EVPN Instances
65001:201              201            <-- Route-targets for the Vlan/VNI of interest
65001:202              202    

ip extcommunity-list expanded ALLOW-RT2 permit 65001:20[0-9] <-- match Route-targets 65001:200 - 65001:209
!
ip community-list standard BLOCK-RT3 permit 999:999          <-- Arbitrary RT used to mark IMET prefixes as they are advertised

route-map POLICY-IN deny 5
 match community BLOCK-RT3 exact-match  <-- Deny prefixes that match RT 999:999 in standard community list
!
route-map POLICY-IN permit 10           <-- Permit any other prefixes that do not contain 999:999
!
route-map POLICY-OUT permit 5
 match extcommunity ALLOW-RT2           <-- Match the auto-RT in the extended community list
 match evpn route-type 3                <-- AND match route-type 3 prefixes
 set community 999:999                  <-- Set additional standard community to advertised prefixes  
!
route-map POLICY-OUT permit 10          <-- Permit prefixes that are not RT3 to be sent out without additional attributes added 

router bgp 65001
 bgp router-id 172.16.255.3
 bgp log-neighbor-changes
 no bgp default ipv4-unicast
 neighbor 172.16.255.1 remote-as 65001
 neighbor 172.16.255.1 update-source Loopback0
 neighbor 172.16.255.2 remote-as 65001
 neighbor 172.16.255.2 update-source Loopback0
 !
 address-family ipv4
 exit-address-family
 !
 address-family ipv4 mvpn
  neighbor 172.16.255.1 activate
  neighbor 172.16.255.1 send-community both
  neighbor 172.16.255.2 activate
  neighbor 172.16.255.2 send-community both
 exit-address-family
 !
 address-family l2vpn evpn
  neighbor 172.16.255.1 activate
  neighbor 172.16.255.1 send-community both       <-- Send both standard and extended community attributes 
  neighbor 172.16.255.1 route-map POLICY-IN in    <-- Apply inbound policy to deny prefixes with 999:999 community string
  neighbor 172.16.255.1 route-map POLICY-OUT out  <-- Apply outbound policy to match RT3 / apply standard community & permit other RT2 prefixes as normal 
  neighbor 172.16.255.2 activate
  neighbor 172.16.255.2 send-community both
  neighbor 172.16.255.2 route-map POLICY-IN in
  neighbor 172.16.255.2 route-map POLICY-OUT out
 exit-address-family

CGW (basisconfiguratie)

CGW#show running-config | beg l2vpn evpn instance 201
l2vpn evpn instance 201 vlan-based
 encapsulation vxlan
 replication-type ingress
 default-gateway advertise enable    <-- adds the BGP attribute EVPN DEF GW:0:0 to the MAC/IP prefix
 multicast advertise enable
!
l2vpn evpn instance 202 vlan-based
 encapsulation vxlan
 replication-type ingress
 default-gateway advertise enable   <-- adds the BGP attribute EVPN DEF GW:0:0 to the MAC/IP prefix
 multicast advertise enable

CGW#show running-config | sec vlan config
vlan configuration 201
 member evpn-instance 201 vni 20101
vlan configuration 202
 member evpn-instance 202 vni 20201

CGW#show run int nve 1
Building configuration...

Current configuration : 313 bytes
!
interface nve1
 no ip address
 source-interface Loopback1
 host-reachability protocol bgp
 member vni 10101 mcast-group 225.0.0.101
 member vni 10102 mcast-group 225.0.0.102
 member vni 20101 ingress-replication local-routing  <-- 'ingress-replication' (Unicast all BUM traffic) / 'local-routing' (Enables vxlan centralized gateway forwarding)
 member vni 20201 ingress-replication local-routing
 member vni 50901 vrf green
end

CGW#show run interface vlan 201
Building configuration...

Current configuration : 231 bytes
!
interface Vlan201
 mac-address 0000.beef.cafe          <-- MAC is static in this example for viewing simplicity. This is not required 
 vrf forwarding red                  <-- SVI is in VRF red
 ip address 10.1.201.1 255.255.255.0
 no ip redirects
 ip local-proxy-arp                 <-- Sets CGW to Proxy reply even for local subnet ARP requests 
 ip pim sparse-mode
 ip route-cache same-interface      <-- This is auto added when local-proxy-arp is configured. However, this is a legacy 'fast switching' command that is not used by CEF & is not required for forwarding 
 ip igmp version 3
 no autostate
end

CGW#show run interface vlan 202
Building configuration...

Current configuration : 163 bytes
!
interface Vlan202
 mac-address 0000.beef.cafe
 vrf forwarding red
 ip address 10.1.202.1 255.255.255.0
 no ip redirects 
 ip local-proxy-arp 
 ip pim sparse-mode
 ip route-cache same-interface
 ip igmp version 3
 no autostate
end

CGW#sh run vrf red
Building configuration...

Current configuration : 873 bytes 
vrf definition red
 rd 2:2
 !
 address-family ipv4
  route-target export 2:2
  route-target import 2:2
  route-target export 2:2 stitching
  route-target import 2:2 stitching
 exit-address-family

Verifiëren

Netwerkdiagram

 

Dit diagram helpt bij het visualiseren van de stroom van het ARP-resolutieproces dat in deze sectie wordt beschreven. 

• Het ARP Verzoek wordt getoond in paars.
  • Dit ARP verzoek is om het MAC-adres van de host 10.1.202.10 van Leaf-01 op te lossen
  • Merk op dat de paarse lijn eindigt bij de CGW en niet Leaf-01 bereikt
• Het ARP-antwoord wordt groen weergegeven en bevat de MAC van CGW SVI voor VLAN 2012 
  • Merk op dat de groene lijn van CGW, niet van de daadwerkelijke gastheer komt
• De rode X geeft aan dat deze communicatie geen verkeer naar Leaf-01 verstuurde

Routetype 3 beleid (Blad-01)

Controleer of de routekaarten die op Leafs worden toegepast, correct worden gefilterd. We moeten alleen IMET-voorvoegsels uit de CGW zien, en geen andere bladzijden. 

• Hier wordt slechts één blad getoond, maar deze controle moet op alle relevante bladen worden uitgevoerd 

Er zijn 2 methoden om te zien welke route-type 3 is geïnstalleerd:

• BGP-vermeldingen controleren
• L2route controleren

Controleer BGP-vermeldingen (blad-01)

Leaf-01#show bgp l2vpn evpn route-type 3 | inc Tunnel End
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20101, tunnel identifier: < Tunnel Endpoint: 172.16.254.6 >  <-- No RT3 prefixes present other than the CGW 172.16.254.6 
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20201, tunnel identifier: < Tunnel Endpoint: 172.16.254.6 >
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20101, tunnel identifier: < Tunnel Endpoint: 172.16.254.6 >
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20201, tunnel identifier: < Tunnel Endpoint: 172.16.254.6 >

Controleer l2route

Leaf-01-F241.03.23-9300#show l2route evpn imet
  EVI       ETAG   Prod                          Router IP Addr  Type    Label                               Tunnel ID Multicast Proxy
----- ---------- ------ --------------------------------------- ----- -------- --------------------------------------- ---------------
  201          0    BGP                            172.16.254.6     6    20101                            172.16.254.6              No <-- Only remote IMET producer is the CGW
  201          0  L2VPN                            172.16.254.3     6    20101                            172.16.254.3            IGMP
  202          0    BGP                            172.16.254.6     6    20201                            172.16.254.6              No
  202          0  L2VPN                            172.16.254.3     6    20201                            172.16.254.3            IGMP <-- Only remote IMET producer is the CGW

Lokale routing (CGW) 

Controleer dat de CGW met zijn eigen MAC antwoordt wanneer lokale segment ARP resolutie voorkomt. 

• Er is geen show commando anders dan verificatie van configuraties getoond in configuratie sectie 
• We kunnen dit verifiëren door te bevestigen wat MAC geprogrammeerd is op de host wanneer het ARP oplost voor een host op een ander blad.

Vastleggen van een ARP-resolutieverzoek verzonden van host van Leaf-02 naar host van Leaf-01 (Dit werd gedaan met behulp van EPC-opname op de Leaf-02-toegangsinterface naar de host)

• Leaf-01 host actuele MAC: 0006.f601.cd45
• CGW MAC dat reageerde op het ARP verzoek: 0000.beef.cafe

Leaf-02-F241.03.23-9400#show mon cap 1 buff br | i ARP
   32  10.356291 00:06:f6:17:ee:c4 -> ff:ff:ff:ff:ff:ff ARP 64 Who has 10.1.202.10? Tell 10.1.202.11 <-- ARP request from Leaf-02 host
   33  10.357140 00:00:be:ef:ca:fe -> 00:06:f6:17:ee:c4 ARP 68 10.1.202.10 is at 00:00:be:ef:ca:fe   <-- ARP reply is the CGW MAC


Leaf-02-F241.03.23-9400#show mon cap 1 buff det | b Frame 32
Frame 32: 64 bytes on wire (512 bits), 64 bytes captured (512 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0
<...snip...>
    [Protocols in frame: eth:ethertype:vlan:ethertype:arp]
Ethernet II, Src: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4), Dst: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)
    Destination: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)
        Address: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)
        .... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)
        .... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)
    Source: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
        Address: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Type: 802.1Q Virtual LAN (0x8100)
802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 202                    <-- Vlan 202 
    000. .... .... .... = Priority: Best Effort (default) (0)
    ...0 .... .... .... = DEI: Ineligible
    .... 0000 1100 1010 = ID: 202
    Type: ARP (0x0806)
    Padding: 0000000000000000000000000000
    Trailer: 00000000
Address Resolution Protocol (request)                          <-- ARP Request 
    Hardware type: Ethernet (1)
    Protocol type: IPv4 (0x0800)
    Hardware size: 6
    Protocol size: 4
    Opcode: request (1)
    Sender MAC address: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
    Sender IP address: 10.1.202.11
    Target MAC address: 00:00:00:00:00:00 (00:00:00:00:00:00)
    Target IP address: 10.1.202.10                              <-- Leaf-02 Host 

Frame 33: 68 bytes on wire (544 bits), 68 bytes captured (544 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0
<...snip...>
Ethernet II, Src: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe), Dst: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
    Destination: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
        Address: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Source: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe)
        Address: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Type: CiscoMetaData (0x8909)
Cisco MetaData
    Version: 1
    Length: 1
    Options: 0x0001
    SGT: 0
    Type: ARP (0x0806)
    Padding: 00000000000000000000
    Trailer: 0000000000000000
Address Resolution Protocol (reply)
    Hardware type: Ethernet (1)
    Protocol type: IPv4 (0x0800)
    Hardware size: 6
    Protocol size: 4
    Opcode: reply (2)
    Sender MAC address: 00:00:be:ef:ca:fe (00:00:be:ef:ca:fe)   <-- ARP Reply is the CGW MAC 0000.beef.cafe
    Sender IP address: 10.1.202.10
    Target MAC address: 00:06:f6:17:ee:c4 (00:06:f6:17:ee:c4)   <-- MAC of host off Leaf-02 0006.f617.eec4
    Target IP address: 10.1.202.11

Problemen oplossen

Debug route-map beleid (inkomende)

Bevestig dat inkomende routekaarten werken zoals verwacht

debugs van L2VPN-update inschakelen 

Leaf-02#debug bgp l2vpn evpn updates
BGP updates debugging is on for address family: L2VPN E-VPN

Leaf-02#debug bgp l2vpn evpn updates events
BGP update events debugging is on for address family: L2VPN E-VPN

Duidelijke bgp adres-familie om het routebeleid te concretiseren

Leaf-02#clear bgp l2vpn evpn *

Controleer of routetype 3 alleen geaccepteerd is van de CGW en geweigerd van alle andere pagina's 

Leaf-02#show log | i rcvd \[3\]
*Jul  4 06:40:41.556: BGP(10): 172.16.255.2 rcvd [3][172.16.254.6:202][0][32][172.16.254.6]/17    <-- Only accepted Type-3 is from the CGW (172.16.254.6)
*Jul  4 06:40:41.557: BGP(10): 172.16.255.2 rcvd [3][172.16.254.6:201][0][32][172.16.254.6]/17
*Jul  4 06:40:41.557: BGP(10): 172.16.255.2 rcvd [3][172.16.254.3:202][0][32][172.16.254.3]/17 -- DENIED due to: route-map;
*Jul  4 06:40:41.557: BGP(10): 172.16.255.2 rcvd [3][172.16.254.5:202][0][32][172.16.254.5]/17 -- DENIED due to: route-map;
*Jul  4 06:40:41.557: BGP(10): 172.16.255.2 rcvd [3][172.16.254.3:201][0][32][172.16.254.3]/17 -- DENIED due to: route-map;
*Jul  4 06:40:41.557: BGP(10): 172.16.255.2 rcvd [3][172.16.254.5:201][0][32][172.16.254.5]/17 -- DENIED due to: route-map;

Verifieer route-kaart beleid (uitgaand)

Controleer dat de standaardcommunity wordt toegepast op de voorvoegsels van type 3 van bladzijden door ze te controleren op de CGW. 

• Deze voorbeeldoutput toont BGP prefixes van Leaf-01 & Leaf-02 met het communautaire attribuut dat voor het segment van VLAN 202 wordt geïnjecteerd 

CGW#show bgp l2vpn evpn route-type 3
BGP routing table entry for [3][172.16.254.6:202][0][32][172.16.254.3]/17, version 461855
Paths: (1 available, best #1, table evi_202)                                      <-- The EVI context for the vlan 202 segment 
  Not advertised to any peer
  Refresh Epoch 4
  Local, imported path from [3][172.16.254.3:202][0][32][172.16.254.3]/17 (global)
    172.16.254.3 (metric 3) (via default) from 172.16.255.2 (172.16.255.2)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      Community: 999:999                                                          <-- Route-map logic is good. Standard community applied to the Type-3 
      Extended Community: RT:65001:202 ENCAP:8 EVPN Mcast Flags:1
      Originator: 172.16.255.3, Cluster list: 172.16.255.2
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20201, tunnel identifier: < Tunnel Endpoint: 172.16.254.3 > <-- Type-3 tunnel 
      rx pathid: 0, tx pathid: 0x0
      Updated on Jan 22 2025 19:02:18 UTC
BGP routing table entry for [3][172.16.254.6:202][0][32][172.16.254.4]/17, version 605955
Paths: (1 available, best #1, table evi_202)
  Not advertised to any peer
  Refresh Epoch 4
  Local, imported path from [3][172.16.254.4:202][0][32][172.16.254.4]/17 (global)
    172.16.254.4 (metric 3) (via default) from 172.16.255.2 (172.16.255.2)
      Origin incomplete, metric 0, localpref 100, valid, internal, best
      Community: 999:999
      Extended Community: RT:65001:202 ENCAP:8 EVPN Mcast Flags:1
      Originator: 172.16.255.4, Cluster list: 172.16.255.2
      PMSI Attribute: Flags:0x0, Tunnel type:IR, length 4, vni:20201, tunnel identifier: < Tunnel Endpoint: 172.16.254.4 >
      rx pathid: 0, tx pathid: 0x0
      Updated on Jan 30 2025 18:50:49 UTC

Gerelateerde informatie

• Technische ondersteuning en documentatie – Cisco Systems
• BGP EVN VXLAN-configuratiehandleiding, Cisco IOS XE Dublin 17.11.x (Catalyst 9500 Switches)
• Catalyst EVN-ondersteuningsdocumenten (LogAdvisor)