Probleemoplossing voor LISP VXLAN Fabric op Catalyst 9000 Series Switches
Inhoud
Inleiding
Dit document beschrijft de basiscomponenten van een op LISP VLAN gebaseerde fabric en hoe de werking ervan moet worden geverifieerd.
Voorwaarden
Vereisten
Er zijn geen specifieke vereisten van toepassing op dit document.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
-
Catalyst 9300
-
Catalyst 9400
-
Catalyst 9500
- Cisco IOS XE 17.9.3 of hoger
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
Op LISP VXLAN gebaseerde fabric
Het doel om een LISP VXLAN-netwerk te implementeren is om een architectuur te kunnen maken waarin meerdere Overlay-netwerken, ook bekend als Virtual Networks, worden gedefinieerd bovenop een onderliggend netwerk.
- Het Underlay-netwerk in een dergelijke topologie zou primair als transportlaag fungeren en zou niet op de hoogte zijn van de overlay-topologieën die erover worden gerund.
- Overlay-netwerken kunnen worden toegevoegd en verwijderd zonder gevolgen voor het onderlegnetwerk.
- Het gebruik van overlay-netwerken scheidt de gebruikers effectief van het onderlegnetwerk.
Technologieën die worden gebruikt om een LISP VXLAN Fabric te bouwen
Locator Identity Separation Protocol (LISP)
- Het LISP-protocol is het protocol voor het besturingsplane dat binnen de stof wordt gebruikt. Het werkt op alle stoffen apparaten om de stof te bouwen en te controleren hoe verkeer door de stof wordt verzonden.
- LISP maakt 2 adresruimtes. Een is voor de Routing Locator (RLOC's) die worden gebruikt om bereikbaarheid te adverteren. De andere adresruimte is voor de Endpoint Identifiers (EID) , die zijn waar endpoints zich bevinden en worden gebruikt voor de overlay.
- Binnen LISP worden de EID's geadverteerd met een geadverteerde RLOC. Als een EID beweegt, is het bijwerken van de Routing Locator die aan het wordt geassocieerd.
- Om een eindpunt te bereiken met LISP-verkeer naar een EID moet worden ingekapseld en getunneld naar de RLOC die het inkapselt en doorstuurt naar het eindpunt.
Groepsgebaseerd beleid
- Om segmentatie binnen een op een fabric groep gebaseerd beleid mogelijk te maken, wordt gebruikt.
- Wanneer op groep gebaseerd beleid wordt geïmplementeerd, wordt verkeer geclassificeerd met Secure Group in plaats van op basis van de bron/bestemming IP.
- Dit vermindert de complexiteit van complexe toegangscontrolelijsten. In plaats van lijsten met IP-adressen die moeten worden onderhouden, worden IP-adressen/subnetten toegewezen aan een Secure Group Tag.
- Bij het betreden van de stof wordt gelabeld met een SGT wanneer het verkeer de stof verlaat de bestemming van het frame wordt opgezocht voor zijn SGT.
- Met het gebruik van een matrix worden de bron en de bestemming SGT aangepast en wordt een beveiligde groep ACL toegepast om het verkeer af te dwingen wanneer het de stof verlaat.
VXLAN-insluiting
- Binnen de stof wordt VXLAN gebruikt om al verkeer in te kapselen
- Het voordeel om VXLAN over de erfenisLISP inkapseling te gebruiken is dat het toestaat om volledige Layer 2 frame in te kapselen, niet alleen Layer 3 frame. Aangezien het gehele frame ingekapseld wordt, kunnen overlay zowel Layer 2 als Layer 3 zijn.
- VXLAN gebruikt UDP met bestemmingshaven 4789. Hierdoor kunnen LISP VXLAN-frames ook worden getransporteerd via een apparaat dat niet op de hoogte zou zijn van de overlay-topologie.
- Aangezien VXLAN het gehele frame inkapselt, is het belangrijk om de MTU te verhogen zodat er geen fragmentatie nodig is als verkeer wordt verzonden tussen RLOC's. Om het even welke middenapparaten zouden een grotere MTU moeten steunen om de ingekapselde kaders te vervoeren.
Verificatie
- Om eindpunten te kunnen toewijzen aan hun respectievelijke bronnen, kan authenticatie worden gebruikt.
- Met protocollen als 802.1x kunnen MAB- en Webauth-endpoints worden geverifieerd en/of geprofileerd tegen een Radius-server en toegang tot het netwerk worden verleend op basis van hun autorisatieprofielen.
- Met hun respectievelijke RADIUS-kenmerken kunnen endpoints worden toegewezen aan hun respectievelijke VLAN, SGT en andere kenmerken om een eindpunt/gebruiker netwerktoegang te bieden.
Belangrijke componenten in LISP VXLAN Fabric
Knooppunt van besturingsplane
- houdt de functionaliteit voor LISP Map Server en Map Resolver bij.
- Alle andere fabric-apparaten vragen de Control Plane-knooppunt voor de locatie van EID en verzenden registraties voor hun EID naar de Control Plane-knooppunten.
- Dit geeft de Control Plane knooppunten een compleet overzicht van de stof met betrekking tot achter wat RLOC de verschillende EID zijn.
Grensknooppunten
- Biedt connectiviteit buiten de stof, voor andere stoffen of voor de buitenwereld.
- Binnengrenzen importeren routes in de stof en registreren ze met de Control Plane-knooppunten.
- De buitengrenzen verbinden met de buitenwereld en verstrekken een standaardweg buiten de stof voor onbekende IP bestemmingen.
Edge-knooppunten
- Deze knooppunten bieden connectiviteit met eindpunten binnen de stof.
- In de definitie van LISP zouden dit XTRs zijn aangezien zij zowel de functie van een Ingress Tunnel Router (ITR) als uitgaande Tunnel Router (ETR) zouden uitvoeren.
Knooppunten zijn niet beperkt tot het uitvoeren van slechts één taak.
- Ze kunnen een combinatie of zelfs alle functies binnen de stof uitvoeren.
- Wanneer een knooppunt van het grensknooppunt en het regelvlak zich op één apparaat bevinden, wordt dat als colocking aangeduid.
- Als dat knooppunt ook de Edge-functionaliteit biedt, wordt het een fabric in a box (FIAB) genoemd.
De grenzen verstrekken overhandigingen aan de rest van het netwerkgebruik VRF lite.
- Elke overlay of een virtueel netwerk is gekoppeld aan een VRF-instantie op het grensknooppunt.
- Om die verschillende VRF's aan elkaar te koppelen, wordt een Fusion router gebruikt. Die fusierouterie maakt geen deel uit van de Fabric zelf, maar is cruciaal voor de werking om de Overlay-netwerken met de stof te kunnen verbinden.
Een ander belangrijk concept binnen een LISP VXLAN-stof is het concept om een IP-anycast te gebruiken.
- Dit betekent dat op alle Edge-apparaten het IP-adres en de MAC-adressen voor de Switched Virtual Interfaces (SVI) worden gerepliceerd.
- Elke Edge heeft dezelfde configuratie op de SVI met betrekking tot IPv4-, IPv6- en MAC-adressen.
- Om dit problemen op te lossen zijn een aantal problemen nodig.
- Om bereikbaarheid te testen met ping werkt met lokaal aangesloten apparaten.
- Als u externe bestemmingen via de LISP VXLAN-stof wilt bereiken, geeft u geen antwoord terug, aangezien het apparaat dat een reactie verstuurt dit ook verstuurt naar het anycast IP-adres dat wordt geprikt naar het lokale fabric-apparaat dat zich niet bewust is van welke andere fabric-knooppunt het origineel heeft verzonden, pingt.
Registratie van endpoints
Voor een LISP VXLAN-fabric is het van cruciaal belang dat het knooppunt Control Plane zich bewust is van hoe alle eindpunten via de stof bereikbaar zijn.
- Voor het besturingsplane om meer te weten te komen over alle EID's in het netwerk, is het afhankelijk van alle andere stofapparaten om alle EID te registreren die het kent met het besturingsplane.
- Een fabric-knooppunt verstuurt LISP-kaartregistratieberichten naar de control plane-node. Een van de informatie die wordt geadverteerd met de kaart-register-boodschap.
Belangrijke informatie
Identificatiecode LISP-instantie:
- Deze identificatiecode wordt door de stof gedragen en geeft aan welk virtueel netwerk moet worden gebruikt.
- Binnen een LISP VXLAN-fabric per Layer 3 Overlay wordt per gebruikt VLAN in de fabric ook een Layer 2 Instance gebruikt.
Endpoint Identified (EID):
- Als dit een Layer 2 of Layer 3 Instance is, is dit het MAC-adres, IP-hostroute (/32 of /128) of een geregistreerd IP-subnetnummer
Routing Locator (RLOC):
- Dit is het eigen IP-adres van de fabric-knooppunt waarmee het bereikbaarheid adverteert waar andere fabric-apparaten ingekapseld verkeer verzenden dat het EID moet bereiken.
Proxy-vlag:
- Wanneer deze vlag is ingesteld, kan de Control Plane-knoop direct reageren op kaartverzoeken van andere fabric-knooppunten, zonder dat de proxy-vlag alle verzoeken om doorsturen naar de fabric-knooppunt die het EID heeft geregistreerd.
Registratiestappen
Stap 1: Fabric-apparaten leren meer over eindpunten-identificatiecodes. Dit kan door configuratie, routingprotocollen of wanneer het op de fabric-apparaten is geleerd.
Stap 2: Fabric-apparaten registreren de aangeleerde endpoints met alle bekende en bereikbare Control Plane-knooppunten in de stof.
Stap 3: Control Plane-knooppunten onderhouden een tabel van geregistreerde EID's met de gerelateerde instantie-ID, de RLOC en de EID geleerde
Verifiëren
1.1 MAC-adresleren
Voor Layer 2-instanties is de EID die wordt gebruikt de MAC-adressen die binnen het gekoppelde VLAN worden geleerd. De Randen van de stof leren Layer 2 Adressen door standaardmethodes op de switches.
Zoek het VLAN dat aan een specifieke Layer 2-instantie is gekoppeld als de configuratie kan worden bekeken of de opdracht kan worden uitgevoerd
Gebruik "toon lijst met instantie-id <instantie> Ethernet"
FE2068#show lisp instance-id 8191 ethernet
Instance ID: 8191
Router-lisp ID: 0
Locator table: default
EID table: Vlan 150
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
Site Registration Limit: 0
Map-Request source: derived from EID destination
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
Zoals in de output wordt gezien, wordt instantie-id 8191 geassocieerd met VLAN 150. Dat resulteert in alle MAC-adressen binnen het VLAN die moeten worden geregistreerd bij LISP en die deel gaan uitmaken van de LISP VXLAN-stof.
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150
150 0019.3052.6d7f CP_LEARN L2LI0
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
Statische vermeldingen met interface Vl150 zijn de MAC-adressen van de Switch Virtual Interface (interface VLAN 150).
- Die MAC-adressen worden niet geregistreerd bij de control plane node, aangezien ze op alle randapparaten hetzelfde zouden zijn.
- De weergegeven CP_LEARNING-vermeldingen zijn vermeldingen die door de stof worden geleerd. Voor alle andere items die dynamisch of statisch zijn, moeten ze worden geregistreerd bij de control plane node.
Zodra ze door hun respectievelijke middelen geleerd zijn, verschijnen ze in de lisp database uitgangen, deze output bevat alle lokale vermeldingen op dit fabric apparaat.
FE2068#show lisp instance-id 8191 ethernet database
LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 150 (IID 8191), LSBs: 0x1
Entries total 3, no-route 0, inactive 0, do-not-register 2
0000.0c9f.f18e/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:40, Last-change: 14:56:40
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
0050.5693.8930/48, dynamic-eid Auto-L2-group-8191, inherited from default locator-set rloc_hosts
Uptime: 14:03:06, Last-change: 14:03:06
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
2416.9db4.33fd/48, dynamic-eid Auto-L2-group-8191, do not register, inherited from default locator-set rloc_hosts
Uptime: 14:56:50, Last-change: 14:56:50
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
Voor alle bekende lokale MAC-adressen die in de database worden getoond, wordt de Locator getoond.
- Dit is de locator die moet worden gebruikt om dit item te registreren bij de control plane node.
- Het heeft ook de status van de Locator aangegeven.De 2 MAC-adressen die toebehoorden aan de Switches SVI worden ook getoond, maar worden weergegeven met de "do not register"-vlag die verhindert dat ze worden geregistreerd.
- De externe ingang die werd gezien in de show mac adrestabel opdracht is geen lokaal MAC-adres en als zodanig niet verschijnen onder de lisp database.
Voor een Layer 2-instantie worden niet alleen de Layer 2 MAC-adressen als EID geleerd, er is ook een behoefte om adresresolutie-informatie te leren van ARP- en ND-frames.
- Dit zorgt ervoor dat de LISP VXLAN-fabric die frames kan doorsturen omdat ze normaal gesproken binnen het VLAN overstroomd zijn.
- Aangezien een Layer 2 Instance-ID niet altijd de mogelijkheid heeft om daar te overstromen, is er een ander mechanisme dat Endpoints in staat zou stellen om adresresolutieinformatie op te lossen voor andere endpoints in dezelfde instantie. Hiervoor leren en registreren de fabric-apparaten deze informatie die lokaal wordt geleerd door Device-Tracking.
- Dit wordt dan ook geregistreerd bij de Control Plane Nodes. Vanwege ND of ARP snooping worden die pakketten gestraft aan de CPU om een verzoek te activeren naar de Control Plane knooppunten om te zien of er een bekend MAC-adres gekoppeld.
- Als een positieve reactie terugkomt worden de ARP/ND pakketten herschreven zodat het bestemming mac-adres van uitzending of multicast wordt veranderd in het unicast mac-adres.
- Dit herschreven pakket kan vervolgens door de LISP VXLAN-fabric als unicastframe worden doorgestuurd.
Om de informatie van de Resolutie van het Adres te zien die op de switch bekend is toont het bevel apparaat-volgende gegevensbestand kan worden gebruikt.
- Dit toont alle toewijzingen die bekend zijn bij het volgen van het apparaat.
- De eigen IP-adressen van de switches worden aangeduid als L(Local) en moeten aanwezig zijn in de database voor apparaattracering.
De verre ingangen worden ook getoond in deze output.
- Aangezien zij worden opgelost nadat het het ND of ARP verzoek is gesnooped worden zij gezet in het apparaat-volgende gegevensbestand met een Adres van de Laag van de Link van 000.000.00fd.
- Op het moment dat ze worden opgelost, verandert de informatie in de richting van het afgehandelde mac-adres en verandert de poort in Tu0.
Geef de database voor apparaattracering weer
FE2068#show device-tracking database vlanid 150
vlanDB has 6 entries for vlan 150, 3 dynamic
Codes: L - Local, S - Static, ND - Neighbor Discovery, ARP - Address Resolution Protocol, DH4 - IPv4 DHCP, DH6 - IPv6 DHCP, PKT - Other Packet, API - API created
Preflevel flags (prlvl):
0001:MAC and LLA match 0002:Orig trunk 0004:Orig access
0008:Orig trusted trunk 0010:Orig trusted access 0020:DHCP assigned
0040:Cga authenticated 0080:Cert authenticated 0100:Statically assigned
Network Layer Address Link Layer Address Interface vlan prlvl age state Time left
ARP 172.24.1.3 0050.5693.8930 Gi1/0/1 150 0005 31s REACHABLE 213 s try 0
RMT 172.24.1.4 0050.5693.3120 Tu0 150 0005 51s REACHABLE
API 172.24.1.99 0000.0000.00fd Gi1/0/1 150 0000 5s UNKNOWN try 0 (25 s)
ND FE80::1AE4:8804:5B8F:50F6 0050.5693.8930 Gi1/0/1 150 0005 127s REACHABLE 115 s try 0
ND 2001:DB8::E70B:E8E1:E368:BDB7 0050.5693.8930 Gi1/0/1 150 0005 137s REACHABLE 110 s try 0
L 172.24.1.254 0000.0c9f.f18e Vl150 150 0100 1078mn REACHABLE
L 2001:DB8::1 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
L FE80::200:CFF:FE9F:F18E 0000.0c9f.f18e Vl150 150 0100 1077mn REACHABLE
Geef de lokaal geregistreerde toewijzingen weer met de opdracht 'toon lisp instantie-id <instance> Ethernet database address-resolution'
FE2068#show lisp instance-id 8191 ethernet database address-resolution
LISP ETR Address Resolution for LISP 0 EID-table Vlan 150 (IID 8191)
(*) -> entry being deleted
Hardware Address L3 InstID Host Address
0000.0c9f.f18e 4099 FE80::200:CFF:FE9F:F18E/128
4099 2001:DB8::1/128
0050.5693.8930 4099 172.24.1.3/32
4099 2001:DB8::E70B:E8E1:E368:BDB7/128
4099 FE80::1AE4:8804:5B8F:50F6/128
1.2 Dynamische IP-adressen voor leren
Op de fabric-apparaten op een IP-laag wordt een virtueel netwerk gevormd door een LISP Instance-id te koppelen aan een VRF.
- Deze VRF wordt vervolgens geconfigureerd onder de verschillende Switch Virtual Interfaces (SVI) en maakt deel uit van Layer 3 Overlay-netwerk
- In de meeste gevallen behoren deze SVI ook tot VLAN’s die zijn geregistreerd met hun respectieve Layer 2-instanties.
Vind de mapping tussen VRF en LISP Instance ID met opdracht 'toon lisp instance-id <instance> ipv4'
FE2068#sh lisp instance-id 4099 ipv4
Instance ID: 4099
Router-lisp ID: 0
Locator table: default
EID table: vrf Fabric_VN_1
Ingress Tunnel Router (ITR): enabled
Egress Tunnel Router (ETR): enabled
..
ITR Map-Resolver(s): 172.30.250.19
ETR Map-Server(s): 172.30.250.19
Opmerking: deze opdracht kan ook worden gebruikt om de verschillende functies te verifiëren die voor deze instantie kunnen worden ingeschakeld en toont ook de gebruikte Control Plane-knooppunten binnen de LISP VXLAN-stof
Zodra een Layer 3 Instance is gecreëerd en gekoppeld aan een VRF, wordt een LISP 0 <instance-id> interface gemaakt en is deze zichtbaar in de actieve configuratie en onder show vrf.
- Deze interface hoeft NIET handmatig te worden gemaakt en heeft doorgaans geen configuratie nodig (behalve Multicast Configuration wanneer Underlay Multicast wordt gebruikt).
FE2068#show vrf Fabric_VN_1
Name Default RD Protocols Interfaces
Fabric_VN_1ipv4,ipv6 LI0.4099
Vl150
Vl151
Anders dan bij Ethernet-frames, waarbij alle MAC-adressen in een VLAN voor IP worden gebruikt, moeten IP-adressen binnen een dynamisch EID-bereik worden aangeleerd.
Een LISP-instantie weergeven
FE2068#sh lisp instance-id 4099 dynamic-eid
LISP Dynamic EID Information for router 0, IID 4099, EID-table VRF "Fabric_VN_1"
Dynamic-EID name: Fabric_VN_Subnet_1_IPv4
Database-mapping EID-prefix: 172.24.1.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.1.3, 21:17:45 ago
Dynamic-EID name: Fabric_VN_Subnet_1_IPv6
Database-mapping EID-prefix: 2001:DB8::/64, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 2001:DB8::E70B:E8E1:E368:BDB7, 21:17:44 ago
Dynamic-EID name: Fabric_VN_Subnet_2_IPv4
Database-mapping EID-prefix: 172.24.2.0/24, locator-set rloc_hosts
Registering more-specific dynamic-EIDs
Map-Server(s): none configured, use global Map-Server
Site-based multicast Map-Notify group: none configured
Number of roaming dynamic-EIDs discovered: 2
Last dynamic-EID discovered: 172.24.2.2, 21:55:56 ago
IP-adres dat buiten dit gedefinieerde bereik valt, wordt geacht niet in aanmerking te komen voor de stof en wordt niet in de LISP-databases geplaatst en niet geregistreerd bij de besturingsplatformknooppunten.
FE2068#show lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 4, no-route 0, inactive 0, do-not-register 2
172.24.1.3/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, inherited from default locator-set rloc_hosts
Uptime: 21:28:51, Last-change: 21:28:51
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.1.254/32, dynamic-eid Fabric_VN_Subnet_1_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.2/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, inherited from default locator-set rloc_hosts
Uptime: 22:07:03, Last-change: 22:07:03
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
172.24.2.254/32, dynamic-eid Fabric_VN_Subnet_2_IPv4, do not register, inherited from default locator-set rloc_hosts
Uptime: 22:22:35, Last-change: 22:22:35
Domain-ID: local
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.44 10/10 cfg-intf site-self, reachable
De output toont alle lokaal bekende IP adresinformatie.
- Voor hosts zijn dit meestal hostroutes (/32 of /128), maar ze kunnen ook subnetten zijn als die in de LISP-database op het grensknooppunt zijn geïmporteerd.
- De IP-adressen van de SVI zelf worden gemarkeerd als "niet registreren" . Hiermee wordt voorkomen dat alle fabric-apparaten het Anycast IP-adres met de control plane-node registreren.
CP_BN_2071#sh lisp instance-id 4099 ipv4 database
LISP ETR IPv4 Mapping Database for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), LSBs: 0x1
Entries total 2, no-route 0, inactive 0, do-not-register 0
0.0.0.0/0, locator-set rloc_border, auto-discover-rlocs, default-ETR
Uptime: 2d17h, Last-change: 2d17h
Domain-ID: local
Metric: 0
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
10.48.13.0/24, route-import, inherited from default locator-set rloc_border, auto-discover-rlocs
Uptime: 2d17h, Last-change: 2d16h
Domain-ID: local, tag: 65101
Service-Insertion: N/A
Locator Pri/Wgt Source State
172.30.250.19 10/10 cfg-intf site-self, reachable
1.3 Registratie van EID bij het controlevlak
Endpoint Registration in a LISP VXLAN based fabric is via LISP betrouwbare registratie. Dit betekent dat alle registraties worden uitgevoerd via een gevestigde TCP-sessie , de LISP-sessie. Van elk fabric-apparaat wordt een LISP-sessie ingesteld met elk van de besturingsplatformknooppunten in de stof.Door deze LISP-sessie komen alle registraties voor. Als meerdere Control Plane-knooppunten in een stof aanwezig zijn, moeten ze allemaal worden gebruikt om EID's bij te registreren.
De toestand is Omlaag als er niets te registreren is op de stof apparaat, die normaal alleen zou voorkomen aan de buitengrenzen
die geen IP-bereiken registreren met de knooppunt Control Plane of op Edge-apparaten zonder eindpunt
De registratie van EID gebeurt via LISP-registratieberichten
die worden verzonden naar alle geconfigureerde besturingsplatformknooppunten.
Om de LISP-sessie op een fabric-apparaat te zien, geeft de opdracht aan dat een lisp-sessie kan worden gebruikt.
Het toont de staat van de zitting en de tijd het omhoog is geweest.
FE2068#show lisp session
Sessions for VRF default, total: 1, established: 1
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:06:07 9791/6531 10
De LISP-sessie die als Down wordt weergegeven, kan plaatsvinden op apparaten die geen EID hebben om te registreren bij de Control Plane-knooppunt.
Dit zijn doorgaans kaderknooppunten die geen routes in de fabric of Edge-apparaten importeren zonder dat er eindpunten zijn verbonden.
Geef meer gedetailleerde informatie weer over een LISP-sessie met de opdracht 'toon lisp sessie vrf standaard' <ip adres>
FE2068#show lisp vrf default session 172.30.250.19
Peer address: 172.30.250.19:4342
Local address: 172.30.250.44:13255
Session Type: Active
Session State: Up (22:07:24)
Messages in/out: 9800/6537
Bytes in/out: 616771/757326
Fatal errors: 0
Rcvd unsupported: 0
Rcvd invalid VRF: 0
Rcvd override: 0
Rcvd malformed: 0
Sent deferred: 1
SSO redundancy: N/A
Auth Type: None
Accepting Users: 0
Users: 10
Type ID In/Out State
Policy subscription lisp 0 IID 4099 AFI IPv4 2/1 Established
Pubsub subscriber lisp 0 IID 4099 AFI IPv6 1/0 Idle
Pubsub subscriber lisp 0 IID 8191 AFI MAC 2/0 Idle
Pubsub subscriber lisp 0 IID 8192 AFI MAC 0/0 Idle
ETR Reliable Registration lisp 0 IID 4099 AFI IPv4 6/5 TCP
ETR Reliable Registration lisp 0 IID 4099 AFI IPv6 1/3 TCP
ETR Reliable Registration lisp 0 IID 8191 AFI MAC 9769/6517 TCP
ETR Reliable Registration lisp 0 IID 8192 AFI MAC 2/6 TCP
ETR Reliable Registration lisp 0 IID 16777214 AFI IPv4 4/4 TCP
Capability Exchange N/A 1/1 waiting
Deze gedetailleerde output van de sessie toont welke Instanties actief zijn met EID die zijn geregistreerd met de besturingsplatformknooppunten.
CP_BN_2071#show lisp session
Sessions for VRF default, total: 7, established: 4
Peer State Up/Down In/Out Users
172.30.250.19:4342 Up 22:10:52 1198618/1198592 4
172.30.250.19:49270 Up 22:10:52 1198592/1198618 3
172.30.250.30:25780 Up 22:10:38 6534/9805 6
172.30.250.44:13255 Up 22:10:44 6550/9820 7
Wanneer men kijkt naar het aantal sessies op een Control Plane knooppunt, laat men meestal meer sessies zien die omhoog zijn.
- Als dit een colocation Border/CP knooppunt is, wordt er ook een LISP-sessie naar zichzelf ingesteld.
- In dit geval is er een zitting van 172.30.250.19:4342 tot 172.30.250.19:49270.
- Door deze sessie registreert de Border component zijn EID bij het Control Plane Node.
1.4 Informatie over besturingsplane
Met de informatie die door de Fabric Devices via registratie wordt verstrekt, kan de control plane node een compleet beeld van de stof opbouwen. Per Instance-id houdt het een tabel bij met de aangeleerde EID’s en de bijbehorende Routing Locators.
Geef dit voor Layer 3-instanties weer en de opdracht toont lisp-site
CP_BN_2071#show lisp site
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 4097 0.0.0.0/0
never no -- 4097 172.23.255.0/24
never no -- 4097 172.24.255.0/24
never no -- 4099 0.0.0.0/0
00:00:00 yes# 172.30.250.19:49270 4099 10.48.13.0/24
never no -- 4099 172.23.1.0/24
never no -- 4099 172.24.1.0/24
21:35:06 yes# 172.30.250.44:13255 4099 172.24.1.3/32
22:11:46 yes# 172.30.250.30:25780 4099 172.24.1.4/32
never no -- 4099 172.24.2.0/24
22:11:52 yes# 172.30.250.44:13255 4099 172.24.2.2/32
Deze opdracht toont alle geregistreerde EID en de laatste die de EID heeft geregistreerd. Het is belangrijk om op te merken dat dit typisch ook de RLOC die in gebruik zijn zou zijn, maar dit kan verschillen. Ook kunnen EID's worden geregistreerd met meerdere RLOC's .
Om de volledige details weer te geven, bevat de opdracht de EID en de instantie
CP_BN_2071#show lisp site 172.24.1.3/32 instance-id 4099
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 172.24.1.3/32 instance-id 4099
First registered: 21:35:53
Last registered: 21:35:53
Routing table tag: 0
Origin: Dynamic, more specific of 172.24.1.0/24
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.44:13255, last registered 21:35:53, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x6ED7000E-0xD4C608C5
xTR-ID 0x88F15053-0x40C0253D-0xAE5EA874-0x2551DB71
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.44 yes up 10/10 IPv4 none
Opmerking: In gedetailleerde output zijn een paar dingen belangrijk om bewust te zijn van:
- Proxy, met deze set reageert de Control Plane-knooppunt direct op een Map-aanvraag. In traditionele LISP wordt een kaart-aanvraag doorgestuurd naar de XTR die de EID registreerde, maar met Proxy de control plane knooppunt reageert direct
- TTL, dit is de Time To Live van de EID-registratie. Standaard is dit 24 uur
- ETR-informatie, dit heeft betrekking op het fabric-apparaat dat de EID-registratie heeft verzonden
- RLOC informatie, dit is de RLOC die wordt gebruikt om het EID te bereiken. Dit bevat ook toestandsinformatie zoals in omhoog/omlaag. Als RLOC neer is wordt het niet gebruikt. Het bevat ook een gewicht en een prioriteit die kan worden gebruikt wanneer er meerdere RLOC's bestaan voor een EID om voorkeur te geven aan een van hen.
Om de registratiegeschiedenis op de knooppunt Control Plane te zien, toont de opdracht dat de registratiegeschiedenis van de lisp-server kan worden gebruikt.
- Het geeft een overzicht van EID die zijn geregistreerd en verwijderd.
Registratiegeschiedenis weergeven
CP_BN_2071#show lisp server registration-history last 10
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:49:51.490 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.491 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.621 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.622 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.752 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.754 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:51.884 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:51.886 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
*Mar 24 20:49:52.017 4099 TCP No No 172.30.250.19
+ 10.48.13.0/24
*Mar 24 20:49:52.019 4099 TCP No No 172.30.250.19
- 10.48.13.0/24
Geef de geregistreerde EID voor Ethernet weer als de opdracht lisp instantie-id <instance> Ethernet-server (dit geeft een soortgelijke uitvoer zoals voor Layer 3)
CP_BN_2071#show lisp instance-id 8191 ethernet server
LISP Site Registration Information
* = Some locators are down or unreachable
# = Some registrations are sourced by reliable transport
Site Name Last Up Who Last Inst EID Prefix
Register Registered ID
site_uci never no -- 8191 any-mac
00:00:04 yes# 172.30.250.44:13255 8191 0019.3052.6d7f/48
21:36:41 yes# 172.30.250.44:13255 8191 0050.5693.8930/48
22:13:20 yes# 172.30.250.30:25780 8191 0050.5693.f1b2/48
Voeg het MAC-adres toe voor meer gedetailleerde informatie over een registratie
CP_BN_2071#show lisp instance-id 8191 ethernet server 0019.3052.6d7f
LISP Site Registration Information
Site name: site_uci
Description: map-server
Allowed configured locators: any
Requested EID-prefix:
EID-prefix: 0019.3052.6d7f/48 instance-id 8191
First registered: 22:14:38
Last registered: 00:00:03
Routing table tag: 0
Origin: Dynamic, more specific of any-mac
Merge active: No
Proxy reply: Yes
Skip Publication: No
Force Withdraw: No
TTL: 1d00h
State: complete
Extranet IID: Unspecified
Registration errors:
Authentication failures: 0
Allowed locators mismatch: 0
ETR 172.30.250.30:25780, last registered 00:00:03, proxy-reply, map-notify
TTL 1d00h, no merge, hash-function sha1
state complete, no security-capability
nonce 0x0465A327-0xA3A2974C
xTR-ID 0x280403CF-0x598BAAF1-0x3E70CE52-0xE8F09E6E
site-ID unspecified
Domain-ID local
Multihoming-ID unspecified
sourced by reliable transport
Locator Local State Pri/Wgt Scope
172.30.250.30 yes up 10/10 IPv4 none
'Registratiegeschiedenis' toevoegen om de registratiegeschiedenis voor Ethernet EID te zien
Opmerking: deze opdracht is erg handig wanneer apparaten in de stof zwerven om te zien waar en wanneer het MAC-adres is geregistreerd
CP_BN_2071#show lisp instance-id 8191 ethernet server registration-history
Map-Server registration history
Roam = Did host move to a new location?
WLC = Did registration come from a Wireless Controller?
Prefix qualifier: + = Register Event, - = Deregister Event, * = AR register event
Timestamp (UTC) Instance Proto Roam WLC Source
EID prefix / Locator
*Mar 24 20:47:10.291 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:10.296 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:18.644 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:18.647 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:20.700 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:20.702 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
*Mar 24 20:47:31.914 8191 TCP Yes No 172.30.250.30
+ 0019.3052.6d7f/48
*Mar 24 20:47:31.918 8191 TCP No No 172.30.250.44
- 0019.3052.6d7f/48
*Mar 24 20:47:40.206 8191 TCP Yes No 172.30.250.44
+ 0019.3052.6d7f/48
*Mar 24 20:47:40.210 8191 TCP No No 172.30.250.30
- 0019.3052.6d7f/48
Om de geregistreerde informatie van de Resolutie van het Adres op de knoop van het Controlevliegtuig te zien wordt het bevel toegevoegd met adres-resolutie.
- Dit toont alleen de toewijzingen tussen het MAC-adres en hun Layer 3-informatie en moet voornamelijk worden gebruikt voor de Fabric-randen om Layer 2 doelMAC-adressen van broadcast/multicast naar unicast te herschrijven.
- De RLOC die overeenkomt met dat Layer 2 MAC-adres wordt afzonderlijk opgelost.
Voeg 'adresresolutie' toe aan geregistreerde adresoplossingsinformatie op het knooppunt Control Plane
CP_BN_2071#sh lisp instance-id 8191 ethernet server address-resolution
Address-resolution data for router lisp 0 instance-id 8191
L3 InstID Host Address Hardware Address
4099 172.24.1.3/32 0050.5693.8930
4099 172.24.1.4/32 0050.5693.f1b2
4099 2001:DB8::E70B:E8E1:E368:BDB7/128 0050.5693.8930
4099 2001:DB8::F304:BCCD:6BF3:BFAF/128 0050.5693.f1b2
4099 FE80::3EE:5111:BA77:E37D/128 0050.5693.f1b2
4099 FE80::1AE4:8804:5B8F:50F6/128 0050.5693.8930
Opmerking: Hoewel de link lokale IPv6-adressen niet overeenkomen met de IPv6 Dynamic EID, moeten ze worden geleerd voor adresresolutie en zou dit worden weergegeven op de Control Plane-knooppunt. Deze zouden zelf niet geregistreerd worden onder Layer 3 Instance ID, maar zijn beschikbaar voor adresresolutie.
Remote-bestemmingen oplossen
Voor verkeer dat door een LISP VXLAN-fabric moet worden doorgestuurd, moet de RLOC van een bestemming worden opgelost. Binnen een LISP VXLAN-fabric wordt dit gedaan met het gebruik van een map-cache van waaruit informatie in de Forwarding Information Base (FIB) van het Fabric-apparaat wordt gezet.
Met LISP VXLAN-fabric moeten plattegronden worden geactiveerd vanwege gegevenssignalen.
- Dit betekent dat verkeer wordt doorgestuurd naar de CPU en de CPU een kaart-aanvraag maakt naar het knooppunt Control Plane om de RLOC-informatie te zoeken naar de frames die naar dat EID moeten worden verzonden.
- Het controleplan wanneer het een kaart-verzoek ontvangt zou of de Routing Locator informatie verbonden aan dit EID verstrekken of het zou een negatief kaart-antwoord terugsturen.
- Wanneer het een negatief kaartantwoord verstuurt, zou de control plane node niet alleen aangeven dat de gevraagde EID niet bekend is, het zou het hele blok EID’s aanbieden dat deze EID zou behoren tot dat het geen registratie voor zou hebben.
Met de informatie in de map-antwoord van de control plane knooppunt wordt de kaart-cache bijgewerkt.
- De TTL voor kaartreacties is meestal 24 uur. (Voor negatieve map-antwoorden is het meestal slechts 15 minuten).
- Voor Ethernet EID worden de negatieve map-antwoorden niet in de map-cache geplaatst. (Dit wordt alleen gedaan voor Layer 3-instanties).
2.1 Ethernet map-cache
Geef de Ethernet map-cache weer met de opdrachtshow lisp instance-id <instance> map-cache
FE2067#show lisp instance-id 8191 ethernet map-cache
LISP MAC Mapping Cache for LISP 0 EID-table Vlan 150 (IID 8191), 1 entries
0019.3052.6d7f/48, uptime: 00:00:07, expires: 23:59:52, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:07 up 10/10 -
Deze opdracht toont de externe MAC-adresinvoer die zou zijn opgelost.
- Om een map-cache ingang voor een Ethernet-instantie verkeer te activeren moet worden verzonden naar een onbekende bestemming.
- Dat zou ertoe leiden dat het Fabric-apparaat het via LISP probeert op te lossen.
- Zodra het via een kaart-antwoord wordt geleerd zou het in kaart-cache worden gezet en de verdere frames naar die laag 2 bestemming rechtstreeks naar de Routing Locator worden verzonden geleerd.
Optioneel in Layer 2 Instanties is het gebruik van vloed van BUM-verkeer.
- LISP/VXLAN overspoelt verkeer niet standaard omdat het gebruik maakt van een overlay-technologie, maar een IP Multicast-groep kan worden geconfigureerd in het onderlegnetwerk (GRT) waardoor Layer 2-frames overstroomd kunnen worden.
Het adres van de onderliggroep voor de uitzending weergeven
FE2068#sh run | sec instance-id 8191
instance-id 8191
remote-rloc-probe on-route-change
service ethernet
eid-table vlan 150
broadcast-underlay 239.0.1.19
database-mapping mac locator-set rloc_hosts
exit-service-ethernet
!
exit-instance-id
2.2 IP-kaartcaches
Voor Layer 3-instanties is de kaart-cache-informatie vergelijkbaar met ethernetopbouw op basis van verkeer dat naar de CPU wordt verzonden om signalen af te geven, waardoor een map-aanvraag wordt verzonden.
- Echter, voor Layer 3-pakketten wordt alleen gepunteerd naar CPU om te signaleren wanneer dit moet worden ingesteld. Dit wordt gedaan door het map-cache commando dat is geconfigureerd. Voor IPv4 is dit 0.0.0.0/0 en ::0/0 voor IPv6.
- De configuratie van deze map-cache-ingang op de grensknooppunten moet met zorg gebeuren. Als een grensknooppunt is geconfigureerd met deze map-cache 0.0.0.0/0 of ::0/0 map-cache-ingang probeert het onbekende bestemmingen via de stof op te lossen in plaats van het te routeren buiten de stof.
Geef de map-cache configuratie weer
FE2068#sh run | sec instance-id 4099
instance-id 4099
remote-rloc-probe on-route-change
dynamic-eid Fabric_VN_Subnet_1_IPv4
database-mapping 172.24.1.0/24 locator-set rloc_hosts
exit-dynamic-eid
!
dynamic-eid Fabric_VN_Subnet_1_IPv6
database-mapping 2001:DB8::/64 locator-set rloc_hosts
exit-dynamic-eid
!
service ipv4
eid-table vrf Fabric_VN_1
map-cache 0.0.0.0/0 map-request
exit-service-ipv4
!
service ipv6
eid-table vrf Fabric_VN_1
map-cache ::/0 map-request
exit-service-ipv6
!
exit-instance-id
De map-cache 0.0.0.0/0 en ::/0 map-request zorgt ervoor dat een map-cache-ingang in de map-cache wordt geconfigureerd met de acties "send-map-request". Verkeer dat dit activeert map-request. Aangezien de map-cache ingangen in de FIB die werkt op basis van langst-match moeten worden gezet, wordt dit toegepast op alle gerouteerde IP-verkeer dat geen van de meer specifieke ingangen raakt.
- Op ondersteunde platforms om te voorkomen dat het eerste pakket dat moet worden gedropt, is de getoonde actie send-map-request + inkapselt naar proxy ETR.
Dit resulteert in het eerste pakket aan een onbekende bestemming brengt een kaart-verzoek eveneens teweeg dat het pakket aan de volmacht-router indien aanwezig door:sturen.
FE2067#show lisp instance-id 4099 ipv4 map-cache
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 6 entries
0.0.0.0/0, uptime: 22:28:18, expires: 00:13:41, via map-reply, unknown-eid-forward
action: send-map-request + Encapsulating to proxy ETR
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:18 up 10/10 - 0
10.48.13.0/24, uptime: 02:31:26, expires: 21:28:34, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.19 02:31:26 up 10/10 -
172.24.1.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.0/24, uptime: 22:31:34, expires: never, via dynamic-EID, send-map-request
Negative cache entry, action: send-map-request
172.24.2.2/32, uptime: 00:00:21, expires: 23:59:38, via map-reply, complete
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 00:00:21 up 10/10 -
172.28.0.0/14, uptime: 22:28:22, expires: 00:13:39, via map-reply, unknown-eid-forward
PETR Uptime State Pri/Wgt Encap-IID Metric
172.30.250.19 22:28:19 up 10/10 - 0
In deze output worden een aantal items weergegeven.
- 10.48.13.0/24 en 172.24.2.2/32 in deze output wordt geleerd via kaart-antwoord en worden voltooid. Het verkeer naar die bestemmingen moet worden ingekapseld en doorgestuurd naar de respectieve locatoren.
- 172.28.0.0/14 is een voorbeeld van een negatief kaartantwoord dat is ontvangen en een blok van IP-adressen dat is teruggestuurd. Het verkeer naar dit subnetje leidt geen map-aanvraag in zolang deze ingang in kaart-cachegeheugen is.
Doorsturen van verkeer via de fabric
3.1 Layer 2 of Layer 3 Forwarding
Verkeer in een LISP/VXLAN-fabric kan worden doorgestuurd via Layer 2 of Layer Instanties.
- De bepaling welke instantie wordt gebruikt hangt af van het v-doelMAC-adres van de frames.
- Kaders die worden verzonden naar een ander MAC-adres dan het adres dat is geregistreerd bij de switch van het frame dat doorgestuurd moet worden, moeten Layer 2 gebruiken. Als de bestemming van het pakket de switch is wordt het door Layer 3 doorgestuurd.
- Dit is dezelfde logica die van toepassing is op normaal doorsturen via een Catalyst 9000 Series switch.
3.2 Layer 2 Forwarding
Layer 2 Forwarding door een LISP VXLAN-fabric wordt uitgevoerd op basis van Layer 2-doelMAC-adres. De afstandsbestemming wordt ingevoegd in de MAC-adrestabel met uitgangsinterface L2LI0.
Geeft de lokale en externe Layer 2-interfaces weer
FE2068#show mac address-table vlan 150
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
150 0000.0c9f.f18e STATIC Vl150
150 0050.5693.8930 DYNAMIC Gi1/0/1
150 2416.9db4.33fd STATIC Vl150 <- Local
150 0019.3052.6d7f CP_LEARN L2LI0 <- Remote
Total Mac Addresses for this criterion: 3
Total Mac Addresses installed by LISP: REMOTE: 1
Voor onbekende bestemmingen wordt het verkeer, indien geconfigureerd, verzonden via de geconfigureerde IP-multicast groep in de onderlaag.
- Om ervoor te zorgen dat het verkeer met de juiste snelheden van Broadcast, Unknown Unicast en Multicast (Selective Multicast flood only) correct verloopt, is een correct operationele multicast-omgeving in de ondergrond nodig.
- Verkeer dat door deze multicast-onderliggroep wordt verzonden, moet in VXLAN worden ingekapseld.
- Alle andere randen moeten zich bij de multicast groep aansluiten en verkeer ontvangen en het verkeer voor bekende Layer 2-instanties inkapselen.
De onderliggende IP-multicast groep weergeven
FE2068#sh ip mroute 239.0.19.1
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
L - Local, P - Pruned, R - RP-bit set, F - Register flag,
T - SPT-bit set, J - Join SPT, M - MSDP created entry, E - Extranet,
X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
U - URD, I - Received Source Specific Host Report,
Z - Multicast Tunnel, z - MDT-data group sender,
Y - Joined MDT-data group, y - Sending to MDT-data group,
G - Received BGP C-Mroute, g - Sent BGP C-Mroute,
N - Received BGP Shared-Tree Prune, n - BGP C-Mroute suppressed,
Q - Received BGP S-A Route, q - Sent BGP S-A Route,
V - RD & Vector, v - Vector, p - PIM Joins on route,
x - VxLAN group, c - PFP-SA cache created entry,
* - determined by Assert, # - iif-starg configured on rpf intf,
e - encap-helper tunnel flag, l - LISP decap ref count contributor
Outgoing interface flags: H - Hardware switched, A - Assert winner, p - PIM Join
t - LISP transit group
Timers: Uptime/Expires
Interface state: Interface, Next-Hop or VCD, State/Mode
(*, 239.0.1.19), 00:02:36/stopped, RP 172.31.255.1, flags: SJCF
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:35/00:00:24, flags:
(172.30.250.44, 239.0.1.19), 00:02:03/00:00:56, flags: FT
Incoming interface: Null0, RPF nbr 0.0.0.0
Outgoing interface list:
GigabitEthernet1/0/23, Forward/Sparse, 00:02:03/00:03:23, flags:
(172.30.250.30, 239.0.1.19), 00:02:29/00:00:30, flags: JT
Incoming interface: GigabitEthernet1/0/23, RPF nbr 172.30.250.42
Outgoing interface list:
L2LISP0.8191, Forward/Sparse-Dense, 00:02:29/00:00:30, flags:
Deze uitvoer toont een S,G ingang voor alle andere Randen in de stof waar de cliënten worden gevormd die overstroomd verkeer zouden verzenden. Het toont ook een S,G-ingang met de Loopback0 van dit Edge-apparaat als bron.
Voor de ontvangerzijde van het verkeer door de onderliggende multicast groep toont het showip routebevel ook L2LISP0.<instance>
dit zou aangeven voor welke Layer 2-instanties dit randapparaat overstroomd verkeer zou kunnen deencapsuleren en doorsturen naar zijn
relevante interfaces.
3.3 Layer 3-doorstuurinformatie
Om te bepalen hoe verkeer wordt doorgestuurd wanneer een LISP VXLAN-fabric wordt geïmplementeerd, is het belangrijk om CEF te verifiëren.
- LISP in tegenstelling tot traditionele routeringsprotocollen voegt de routeringsrichting niet in de Routing Table in, maar werkt rechtstreeks samen met CEF om het FIB bij te werken.
Voor een gegeven externe bestemming bevat de kaart-cache-informatie de locatorinformatie die moet worden gebruikt.
Informatie over de locator weergeven
FE2067#sh lisp instance-id 4099 ipv4 map-cache 172.24.2.2
LISP IPv4 Mapping Cache for LISP 0 EID-table vrf Fabric_VN_1 (IID 4099), 1 entries
172.24.2.2/32, uptime: 11:19:02, expires: 12:40:57, via map-reply, complete
Sources: map-reply
State: complete, last modified: 11:19:02, map-source: 172.30.250.44
Idle, Packets out: 2(1152 bytes), counters are not accurate (~ 11:18:35 ago)
Encapsulating dynamic-EID traffic
Locator Uptime State Pri/Wgt Encap-IID
172.30.250.44 11:19:02 up 10/10 -
Last up-down state change: 11:19:02, state change count: 1
Last route reachability change: 11:19:02, state change count: 1
Last priority / weight change: never/never
RLOC-probing loc-status algorithm:
Last RLOC-probe sent: 11:19:02 (rtt 2ms)
Vanaf de kaart-cache is de locator die voor dit EID wordt gebruikt 172.30.250.44. Het verkeer naar deze bestemming moet dus worden ingekapseld en de buitenste IP-header heeft een IP-doeladres van 172.30.250.44.
In de routeringstabel voor de VRF die voor deze instantie wordt gebruikt, wordt deze vermelding niet weergegeven.
FE2067#show ip route vrf Fabric_VN_1
Routing Table: Fabric_VN_1
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type
E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP
n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
H - NHRP, G - NHRP registered, g - NHRP registration summary
o - ODR, P - periodic downloaded static route, l - LISP
a - application route
+ - replicated route, % - next hop override, p - overrides from PfR
& - replicated local route overrides by connected
Gateway of last resort is not set
172.24.0.0/16 is variably subnetted, 5 subnets, 2 masks
C 172.24.1.0/24 is directly connected, Vlan150
l 172.24.1.4/32 [10/1] via 172.24.1.4, 06:11:02, Vlan150
L 172.24.1.254/32 is directly connected, Vlan150
C 172.24.2.0/24 is directly connected, Vlan151
L 172.24.2.254/32 is directly connected, Vlan151
CEF-outputs geven meer informatie over het doorsturen door de LISP VXLAN-stof.
- Wanneer het detailsleutelwoord aan de show ip cef opdracht wordt toegevoegd geeft het niet alleen de bestemming voor het ingekapselde frame te verzenden.
- De uitgaande interface met deze uitvoer is LISP 0.<instantie> geeft aan dat het verkeer ingesloten wordt verzonden.
FE2067#sh ip cef vrf Fabric_VN_1 172.24.2.2 detail
172.24.2.2/32, epoch 1, flags [subtree context, check lisp eligibility]
SC owned,sourced: LISP remote EID - locator status bits 0x00000001
LISP remote EID: 2 packets 1152 bytes fwd action encap, dynamic EID need encap
SC inherited: LISP cfg dyn-EID - LISP configured dynamic-EID
LISP EID attributes: localEID No, c-dynEID Yes, d-dynEID No, a-dynEID No
SC inherited: LISP generalised SMR - [enabled, inheriting, 0x7FF95B3E0BE8 locks: 5]
LISP source path list
nexthop 172.30.250.44 LISP0.4099
2 IPL sources [no flags]
nexthop 172.30.250.44 LISP0.4099
Aangezien het verkeer naar de volgende hop wordt ingekapseld, is de volgende stap een show ip cef <volgende hop> in werking te stellen om de uitgangsinterface te zien waar het pakket ook zou worden verstuurd.
Draaien om de uitgangsinterface te zien
FE2067#sh ip cef 172.30.250.44
172.30.250.44/32
nexthop 172.30.250.38 GigabitEthernet1/0/23
Opmerking: er zijn 2 verschillende niveaus van ‘equal cost multiple path’ (ECMP)-routing mogelijk.
- Het verkeer kan in de overlay worden gebalanceerd als er 2 geadverteerde RLOC's zijn en kan in het onderlegnetwerk worden gebalanceerd als er redundante paden zijn om een RLOC IP-adres te bereiken.
- Aangezien de UDP-bestemmingshaven is vastgesteld op 4789 en de IP-adressen van de bron en de bestemming voor alle stromen tussen twee fabric-apparaten hetzelfde zijn, moet een antipolarisatiemechanisme worden toegepast om te voorkomen dat alle pakketten over hetzelfde pad worden gerouteerd.
- Met LISP VXLAN is dit de UDP-bronpoort in de buitenheader die anders zou zijn voor verschillende stromen in het overflow-netwerk.
3.4 Packet Format
- Binnen LISP VXLAN-stoffen is al het verkeer volledig ingekapseld in VXLAN. Dit omvat het gehele Layer 2-frame om zowel Layer 2- als Layer 3-bedekkingen te kunnen ondersteunen.
Voor Layer 2-frames is de oorspronkelijke header ingekapseld. Voor frames die door een Layer 3-instantie worden verzonden, wordt een dummy Layer 2-header gebruikt.
Ethernet II, Src: 24:16:9d:3d:56:67 (24:16:9d:3d:56:67), Dst: 6c:31:0e:f6:21:c7 (6c:31:0e:f6:21:c7)
Internet Protocol Version 4, Src: 172.30.250.30, Dst: 172.30.250.44
User Datagram Protocol, Src Port: 65288, Dst Port: 4789
Virtual eXtensible Local Area Network
Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)
1... .... .... .... = GBP Extension: Defined
.... .... .0.. .... = Don't Learn: False
.... 1... .... .... = VXLAN Network ID (VNI): True
.... .... .... 0... = Policy Applied: False
.000 .000 0.00 .000 = Reserved(R): 0x0000
Group Policy ID: 16
VXLAN Network Identifier (VNI): 4099
Reserved: 0
Ethernet II, Src: 00:00:00:00:80:a3 (00:00:00:00:80:a3), Dst: ba:25:cd:f4:ad:38 (ba:25:cd:f4:ad:38)
Internet Protocol Version 4, Src: 172.24.1.4, Dst: 172.24.2.2
Internet Control Message Protocol
Zoals te zien is bij de voorbeeldopname van een frame dat door een LISP VXLAN-fabric wordt gedragen, is er het volledig ingekapselde frame in het VLAN-pakket. Als zijn een laag 3 frame is de Ethernet-header een dummy header.
In de VXLAN-header wordt in het veld VLAN Network Identifier de LISP-instantie weergegeven die het frame toebehoort.
- Via het veld Groepsbeleid-ID worden de frames-SGT-tag gedragen.
- Dit is gericht op ingress in de structuur en wordt uitgevoerd naar de structuur totdat op groep gebaseerde beleidshandhaving moet worden gedaan.
Verificatie en handhaving van beveiliging
4.1 Switch-poortverificatie
Om dynamisch endpoints toe te wijzen aan hun respectievelijke VLAN’s en hen een SGT-tag-verificatie toe te wijzen, kan worden gebruikt.
- Verificatieprotocollen als Dot1x/MAB/central webauth kunnen worden geïmplementeerd om gebruikers en endpoints te verifiëren en te autoriseren op een Radius-server die kenmerken terugstuurt naar de switch om netwerktoegang te verlenen tot de client/het eindpunt in de juiste pool en met de juiste netwerktoegangsautorisatie.
Voor LISP VXLAN-fabric zijn er weinig gebruikelijke radiuskenmerken:
- VLAN-toewijzing: deze eigenschap wordt ingesteld op VLAN-id of naam van de radiusserver naar de switches en een eindpunt kan worden toegewezen aan een specifieke Layer 2/Layer 3 LISP-instantie.
- SGT-waarde: Met deze eigenschap wordt een SGT aan dit SGT toegewezen. Dit zou worden gebruikt voor groepsgewijs beleid naar dit eindpunt en wijst een SGT-waarde toe aan alle frames die door de stof worden verzonden die door dit eindpunt zijn ontstaan.
- Spraakautorisatie: spraakapparaten werken op het spraak-VLAN. Dit plaatst stemvergunning het eindpunt zou worden toegestaan om verkeer in de stem VLAN te verzenden en te ontvangen die op een haven wordt gevormd. Hiermee kunt u spraak- en gegevensverkeer in hun respectievelijke VLAN’s scheiden
- Sessietime-out: Verschillende eindpunten hebben hun eigen time-outs voor de sessies. Er kan een time-out worden verzonden vanaf de radiusserver om aan te geven hoe vaak een client opnieuw moet worden geverifieerd
- Sjabloon: Voor sommige eindpunten moet een andere sjabloon op een poort worden toegepast om correct te werken. Er kan een sjabloonnaam worden verzonden vanaf de Radius-server die aangeeft wat er moet worden toegepast op de poort
Controleer het resultaat van de verificatie op een poort en gebruik de opdracht toon toegangssessie
FE2067#show access-session interface Gi1/0/1 details
Interface: GigabitEthernet1/0/1
IIF-ID: 0x1FF97CF7
MAC Address: 0050.5693.f1b2
IPv6 Address: FE80::3EE:5111:BA77:E37D
IPv4 Address: 172.24.1.4
User-Name: 00-50-56-93-F1-B2
Device-type: Microsoft-Workstation
Device-name: W7180-PC
Status: Authorized
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Session timeout: N/A
Acct update timeout: 172800s (local), Remaining: 172678s
Common Session ID: 9256300A000057B8376D924C
Acct Session ID: 0x00016d77
Handle: 0x85000594
Current Policy: PMAP_DefaultWiredDot1xClosedAuth_1X_MAB
Local Policies:
Server Policies:
Vlan Group: Vlan: 150
SGT Value: 16
Method status list:
Method State
dot1x Stopped
mab Authc Success
Let op deze belangrijke velden:
- IPv4- en IPv6-adressen: Meestal geleerd door het bijhouden van apparaten.
- Gebruikersnaam: Dit is de gebruikersnaam die wordt gebruikt voor verificatie.
- Voor Dot1x is dit meestal de gebruiker die authenticeert.
- Als MAB wordt gebruikt, is dit het MAC-adres van het station dat naar Radius wordt verzonden als gebruikersnaam en wachtwoord voor verificatie.
- Status: Dit geeft de status van de verificatie en het verificatieresultaat aan.
- Domein: Voor normale eindpunten zou dit het Gegevensdomein zijn, zodat zou het verkeer worden verzonden/ontvangen untagged op de haven. (Voor spraakapparaten kan dit worden ingesteld op Voice)
- Serverbeleid: dit is de plaats waar de informatie van de Radius-server zoals VLAN-toewijzing en SGT-toewijzing
- Methode status lijst: Dit toont een overzicht van de uitgevoerde methoden.
- Standaard dot1x loopt voor MAB.
- Als een eindpunt niet op EAPOL-frames zou reageren, zou de methode niet overgaan op mab.
- Dit zou dan aantonen dat dot1x gefaald heeft.
- MAB toont authentiek succes wijst erop het erin slaagde om voor authentiek te verklaren, weerspiegelt het niet als het authentificatieresultaat toegang-goedkeurt of verwerpt zou zijn.
4.2 Traffic Policy & Group Based Policies (CTS)
Binnen een LISP VXLAN-fabric wordt CTS gebruikt om verkeersbeleid af te dwingen:
- De Group Based Policy-architectuur is gebaseerd op Secure Group Tags.
- Al het verkeer binnen de stof wordt toegewezen aan toegang en SGT-tag die door de stof in elk frame wordt gedragen.
- Wanneer dit verkeer de stof zou verlaten wordt het verkeersbeleid gehandhaafd.
- Dit wordt gedaan in Group Based Policies dat de bron- en doelgroeptags van het pakket controleert op basis van de matrix die bestaat uit Source-Destination SGT’s waar het resultaat een SGACL is die bepaalt welk verkeer al dan niet is toegestaan.
- Wanneer er geen specifieke overeenkomst binnen de matrix voor de bron-bestemming SGT is de standaardactie die is gedefinieerd van toepassing.
4.3 GTS-omgeving
Om te werken met groepsgewijs beleid is het eerste wat nodig is voor een Fabric-apparaat om een CTS-pakket te krijgen.
- Dit pakket moet binnen straalframes worden gebruikt om de RADIUS-frames op Cisco ISE te autoriseren. Dit wordt gebruikt om het kts-pac-ondoorzichtige veld in de straalframes in te stellen.
De pakketinformatie van CTS weergeven
FE2067#sh cts pacs
AID: C7105D0DA108B6AE0FB00499233B9C6A
PAC-Info:
PAC-type = Cisco Trustsec
AID: C7105D0DA108B6AE0FB00499233B9C6A
I-ID: FOC2410L1ZZ
A-ID-Info: Identity Services Engine
Credential Lifetime: 18:05:51 UTC Sat Jun 24 2023
PAC-Opaque: 000200B80003000100040010C7105D0DA108B6AE0FB00499233B9C6A0006009C00030100C5C0B998FB5E8C106F6882A088D5041300000013641F061A00093A80BA05A1608225843FBAAFD6C3BCD673353B18A6C68149AFAE24A060CBCAFC783E1E6C483AA1A32ADDB8C8EA5E739FB65DB7747ABAEDA59C48F4D1A4F9C8342C36E6D28725A440C1FE4BDB34207081E93CD79367AB19811E323F5882FE20EF831B7A5C2F339C3F35EFC0DBF346C77404F206F5B2171A4C0AAC187F74C5
Refresh timer is set for 12w0d
Het is belangrijk om ervoor te zorgen dat het CTS-pakket is geconfigureerd en geldig is. Dit wordt automatisch ververst door het Fabric-apparaat.
Opmerking: om handmatig een vernieuwing te starten kan de opdracht "cts refresh pack" worden uitgegeven.
Voor op groep gebaseerd beleid om het te gebruiken downloadt het milieugegevens evenals het downloadt de vereiste beleidsinformatie.
- Deze omgevingsgegevens bevatten zowel de CTS-tag die de switch zelf gebruikt als de tabel van alle op groep gebaseerde beleidsgroepen die bekend zijn op de Radius-server downloaden.
Weergave van kts-milieugegevens
FE2067#sh cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = Successful
Service Info Table:
Local Device SGT:
SGT tag = 2-00:TrustSec_Devices
Server List Info:
Installed list: CTSServerList1-0001, 1 server(s):
*Server: 10.48.13.221, port 1812, A-ID C7105D0DA108B6AE0FB00499233B9C6A
Status = ALIVE
auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
Security Group Name Table:
0-00:Unknown
2-00:TrustSec_Devices
3-00:Network_Services
4-00:Employees
5-00:Contractors
6-00:Guests
7-00:Production_Users
8-00:Developers
9-00:Auditors
10-00:Point_of_Sale_Systems
11-00:Production_Servers
12-00:Development_Servers
13-00:Test_Servers
14-00:PCI_Servers
15-00:BYOD
16-00:Fabric_Client_1
17-00:Fabric_Client_2
255-00:Quarantined_Systems
Environment Data Lifetime = 86400 secs
Last update time = 11:46:41 UTC Fri Mar 31 2023
Env-data expires in 0:19:17:04 (dd:hr:mm:sec)
Env-data refreshes in 0:19:17:04 (dd:hr:mm:sec)
Cache data applied = NONE
State Machine is running
Retry_timer (60 secs) is not running
Wanneer op groep gebaseerd beleid wordt gebruikt, is het enige beleid dat wordt gedownload de CTS-tags die het apparaat heeft lokale endpoints waarmee het moet afdwingen.
- Om de afbeelding van IP-adres (of subnetnummer) naar een op groep gebaseerde beleidsgroep te kunnen controleren, kan de opdracht "toont cts op rollen gebaseerde sgt-map vrf <vrf> all" worden gebruikt.
Geef alle bekende IP-naar-SGT informatie voor een VRF weer
FE2067#sh cts role-based sgt-map vrf Fabric_VN_1 all
Active IPv4-SGT Bindings Information
IP Address SGT Source
============================================
172.24.1.4 17 LOCAL
172.24.1.254 2 INTERNAL
172.24.2.254 2 INTERNAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 2
Total number of active bindings = 3
Active IPv6-SGT Bindings Information
IP Address SGT Source
================================================================
2001:DB8::1 2 INTERNAL
2001:DB8::F304:BCCD:6BF3:BFAF 17 LOCAL
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL bindings = 1
Total number of INTERNAL bindings = 1
Total number of active bindings = 2
Deze output toont alle bekende IP-adressen (en subnetten) voor een gegeven VRF en hun op groepen gebaseerde beleidsassociaties.
- Zoals hier te zien is, is er één IP-adres van een eindpunt dat aan groep-gebaseerde beleidsgroep 17 is toegewezen en dat lokaal afkomstig is.
- Dit is het resultaat van de authenticatie die op de poort plaatsvindt en waarbij de resultaten aangeven dat de tag gekoppeld is aan dat eindpunt.
- Het benadrukt ook de switches eigen IP-adressen die de device-sgt-tag als sourced internal toegewezen krijgen.
- Groepsgebaseerde beleidstags kunnen ook via configuratie of via een SXP-sessie aan ISE worden toegewezen.
Wanneer een apparaat een SGT-tag leert, probeert het de bijbehorende beleidsregels van de ISE-server te downloaden.
- De opdrachtshow toont cts autorisatiegegevens geeft een overzicht van de pogingen om die te downloaden en of ze al dan niet opeenvolgend zijn gedownload.
Toelichting: De gedragslijnen dienen bij beleidswijzigingen periodiek te worden aangepast. ISE kan ook een CoA commando drukken zodat de switch wordt geactiveerd om nieuw beleid te downloaden wanneer wijzigingen worden aangebracht. Om het beleid handmatig te vernieuwen wordt de opdracht "cts refresh policy" uitgegeven.
Geef een overzicht van het beleid dat getracht is te downloaden en of ze al dan niet achtereenvolgens zijn gedownload
FE2067#show cts authorization entries
Authorization Entries Info
==========================
Peer name = Unknown-0
Peer SGT = 0-00:Unknown
Entry State = COMPLETE
Entry last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy last refresh = 22:14:46 UTC Thu Mar 30 2023
SGT policy refresh time = 86400
Policy expires in 0:05:23:44 (dd:hr:mm:sec)
Policy refreshes in 0:05:23:44 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 11
Peer name = Unknown-17
Peer SGT = 17-01:Fabric_Client_2
Entry State = COMPLETE
Entry last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy last refresh = 11:47:31 UTC Fri Mar 31 2023
SGT policy refresh time = 86400
Policy expires in 0:18:56:29 (dd:hr:mm:sec)
Policy refreshes in 0:18:56:29 (dd:hr:mm:sec)
Retry_timer = not running
Cache data applied = NONE
Entry status = SUCCEEDED
AAA Unique-ID = 4031
Als er beleid is gedownload, kunnen ze worden weergegeven met de opdracht "tonen cts Rol gebaseerd beleid".
FE2067#sh cts role-based permissions
IPv4 Role-based permissions default:
Permit IP-00
IPv4 Role-based permissions from group 17:Fabric_Client_2 to group 16:Fabric_Client_1:
PermitWeb-02
RBACL Monitor All for Dynamic Policies : FALSE
RBACL Monitor All for Configured Policies : FALSE
Deze opdracht toont alle beleid het apparaat heeft geleerd. Op de ISE-server is er mogelijk meer beleid aanwezig voor verschillende groepen, maar het apparaat probeert alleen beleid te downloaden waarvoor het eindpunten kent. Dit bespaart waardevolle hardwarebronnen.
Deze opdracht toont ook de standaardactie die moet worden toegepast op verkeer waarvoor geen specifiekere vermeldingen bekend zijn. In dit geval zijn Permit IP, dus al het verkeer dat niet overeenkomt met een specifieke vermelding in de tabel moet worden toegestaan om door te gaan.
Start show cts rbl <name>om meer details te krijgen over de exacte inhoud van de RBACL die is gedownload
FE2067#sh cts rbacl permitssh
CTS RBACL Policy
================
RBACL IP Version Supported: IPv4 & IPv6
name = permitssh-03
IP protocol version = IPV4
refcnt = 2
flag = 0x41000000
stale = FALSE
RBACL ACEs:
permit tcp dst eq 22
permit tcp dst eq 23
deny ip
In dit geval is het enige verkeer dat naar het eindpunt mag worden verzonden terwijl dit RBACL op dit verkeer is toegepast, TCP-pakketten naar 22 (SSH) en 23 (Telnet).
Opmerking: RBACL werkt alleen in één richting. Tenzij er een beleid in het terugkeerverkeer is wordt het afgedwongen met het standaardbeleid. Verkeer dat de stof binnendringt, wordt niet afgedwongen, het stuurt door de stof met de SGT-tag die op de toegangsknooppunt bekend is. Het wordt alleen afgedwongen als het de stof verlaat en het moet worden afgedwongen op het beleid dat op dat apparaat aanwezig is. Meestal zou dat beleid hetzelfde zijn, maar het is mogelijk om het CTS-domein uit te breiden, bijvoorbeeld met een firewall waar ander beleid gedefinieerd had kunnen worden, afhankelijk van het gebruikte beveiligingsbeleid.
Voer 'cts op rollen gebaseerde tellers tonen' om te bevestigen of frames worden of niet worden gedropt
- Deze opdracht toont de cumulatieve tellers voor de gehele switch. Er is geen equivelant opdracht voor per interface.
FE2067#sh cts role-based counters
Role-based IPv4 counters
From To SW-Denied HW-Denied SW-Permitt HW-Permitt SW-Monitor HW-Monitor
* * 0 0 3565235 7777106 0 0
17 16 0 3 0 3412 0 0
16 17 0 5812 0 871231 0 0
Dit overzicht toont alle bekende ingangen die de switch in dit geval kent om verkeer van 17 tot 16 en van 16 tot 17 te kunnen aanpassen.
- Elke andere match die onder de * * valt en de standaard actie wordt toegepast, zodat als er bijvoorbeeld van 18 tot 16 verkeer zou komen, het niet overeenkomt met de matrix die bekend is op de switch en de standaard actie is toegepast.
Hoewel de tellers cumulatief zijn, geven ze wel een goede indicatie als het verkeer wordt weggelaten.
- Om te bepalen welk verkeer een ingang zou raken zou het logboeksleutelwoord op de server van ISE aan het respectieve beleid kunnen worden toegevoegd, dat in de switch resulteert verstrekt logboekberichten wanneer deze ingang wordt geraakt.
- Dit kan voor zowel de standaardactie (* *) als een van de meer specifieke items in de matrix worden gedaan.
Gerelateerde informatie
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
06-Apr-2023 |
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)