Rota L4-L7 que espreita com procedimento da configuração de fábrica do trânsito

Introdução

Este documento descreve o procedimento da configuração do gráfico do serviço L4-L7 com a rota que espreita, onde o consumidor e o fornecedor são externos à tela céntrica da infraestrutura do aplicativo (ACI).   

Contribuído por Zahid Hassan, coordenador dos Serviços avançados de Cisco.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Associações estáticas VLAN que serão usadas para o encapsulamento VLAN entre os dispositivos externos e a tela ACI
  
  
• Exame externo e domínios roteado que amarrarão junto o lugar (nó de chapa/trajeto) dos dispositivos externos e do pool VLAN
  
  
• Conexão da camada 3 a uma rede externa (L3Out)

As etapas das configurações precedentes do acesso e L3Out da tela não são cobertas neste documento e foram supostas que estes têm sido terminados já.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• Controlador da infraestrutura da política do aplicativo Cisco (Cisco APIC) - 1.2(1m) 
• Pacote do dispositivo adaptável da ferramenta de segurança (ASA) - 1.2.4.8
• ASA 5585 - 9.5(1)
  
• Nexo 3064 - 6.0(2)U3(7)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Informações de Apoio

Espreitar da rota é uma característica que permita um dispositivo do serviço tal como um equilibrador da carga ou um Firewall do anunciar? alcançabilidade s através da tela ACI a toda a maneira a uma rede externa.

O exemplo do uso apresentado aqui é um Firewall físico que seja distribuído como um gráfico do serviço do dois-braço, entre dois L3Outs ou grupos externos do ponto final (EPGs). O gráfico do serviço é associado com um contrato entre o EPG externo na folha 101 (N3K-1) e o EPG externo na folha 102 (N3K-2). A tela ACI está fornecendo um ervice do trânsito para o Roteadores (N3K-1 e N3K-2) e espreitar da rota é usado, com o Open Shortest Path First (OSPF) como o protocolo de roteamento, às rotas de intercâmbio entre o Firewall e a tela ACI.

Configurar

Diagrama de Rede

As seguintes mostras da imagem como trabalhos espreitando da rota fim-a-fim:

Configurar

Etapa 1. Configurar o roteamento virtual e o Forwarding1 (VRF1), o VRF2, a ponte Domain1 (BD1) e o BD2. Associe BD1 a VRF1 e a BD2 a VRF2, segundo as indicações da imagem:

Etapa 2. Transfira arquivos pela rede o pacote do dispositivo ASA sob o dispositivo L4-L7, segundo as indicações da imagem:

Configurar o dispositivo L4-L7 para ASA físico 5585 (distribuído), segundo as indicações da imagem:

Etapa 3. Configurar L3Out para N3K-1 e associe-o com o BD1 e o VRF1.

A rede roteada externo é usada para especificar a configuração de roteamento na tela ACI para a rota que espreita, segundo as indicações da imagem:

Nota: Todas as relações L3Out que são usadas para a rota que espreita, são exigidas ser configuradas como uma interface virtual do interruptor (SVI) com o encap VLAN em conformidade.

Configurar o controle da importação/rota de exportação em sub-redes para N3K-1 L3Out EPG externo, segundo as indicações da imagem:

Configurar L3Out para a relação ASA-externo e associe-o com o BD1 e o VRF1, segundo as indicações da imagem:

Configurar o controle da importação/rota de exportação em sub-redes para L3Out ASA-externo EPG externo, segundo as indicações da imagem:

Configurar L3out para ASA-interno e associe-o com o BD2 e o VRF2, segundo as indicações da imagem:

Configurar o controle da importação/rota de exportação em sub-redes para L3Out ASA-interno EPG externo, segundo as indicações da imagem:

Configurar L3Out para N3K-2 e associe-o com o BD2 e o VRF2, segundo as indicações da imagem:

Configurar o controle da importação/rota de exportação em sub-redes para N3K-2 L3Out para EPG externo, segundo as indicações da imagem:

Etapa 4. Crie o grupo do perfil da função e configurar o perfil da função de molde existente, segundo as indicações da imagem:

Etapa 5. Crie um contrato e altere o campo do espaço ao inquilino, segundo as indicações da imagem:

Etapa 6. Segundo as indicações da imagem, crie o molde do gráfico do serviço L4-L7 onde a associação do gráfico do serviço envolve a associação de uma política e de uma configuração de roteador externos da rede roteada com uma política da seleção do dispositivo.

 :

Configuração de roteador para especificar o Router ID que será usado no dispositivo do serviço (ASA 5585), segundo as indicações da imagem:

Mude o tipo adjacente do L2 ao L3, segundo as indicações da imagem:

Aplique o molde do gráfico do serviço, segundo as indicações da imagem:

 Anexe o gráfico do serviço para contratar, segundo as indicações da imagem:

Adicionar/parâmetro da mudança L4-L7 se necessário, segundo as indicações da imagem:

Passo 7: a política da Rota-etiqueta, configura a política da Rota-etiqueta para VRF1 (Tag:100), segundo as indicações da imagem:

Configurar a política da Rota-etiqueta para VRF2 (Tag:200), segundo as indicações da imagem:

Passo 8: Verifique o estado e verifique a política da seleção do dispositivo, segundo as indicações da imagem:

Verifique o exemplo distribuído do gráfico, segundo as indicações da imagem:

Verificar e solucionar problemas

Configuração APIC para o inquilino:

apic1# sh running-config tenant T1# Command: show running-config tenant T1# Time: Thu Feb 25 16:05:14 2016  tenant T1    access-list PERMIT_ALL      match ip      exit    contract PERMIT_ALL      scope tenant      subject PERMIT_ALL        access-group PERMIT_ALL both        l4l7 graph ASA5585_SGT        exit      exit    vrf context VRF1      exit    vrf context VRF2      exit    l3out ASA_IN_L3OUT      vrf member VRF2      exit    l3out ASA_OUT_L3OUT      vrf member VRF1      exit    l3out N3K-1_L3OUT      vrf member VRF1      exit    l3out N3K-2_L3OUT      vrf member VRF2      exit    bridge-domain BD1      vrf member VRF1      exit    bridge-domain BD2      vrf member VRF2      exit    application AP1      epg EPG1        bridge-domain member BD1        exit      epg EPG2        bridge-domain member BD2        exit      exit    external-l3 epg ASA_IN_EXT_NET l3out ASA_IN_L3OUT      vrf member VRF2      match ip 10.10.10.0/24      exit    external-l3 epg ASA_OUT_EXT_NET l3out ASA_OUT_L3OUT      vrf member VRF1      match ip 20.20.20.0/24      exit    external-l3 epg N3K-1_EXT_NET l3out N3K-1_L3OUT      vrf member VRF1      match ip 10.10.10.0/24      contract consumer PERMIT_ALL      exit    external-l3 epg N3K-2_EXT_NET l3out N3K-2_L3OUT      vrf member VRF2      match ip 20.20.20.0/24      contract provider PERMIT_ALL      exit    interface bridge-domain BD1      exit    interface bridge-domain BD2      exit    l4l7 cluster name ASA5585 type physical vlan-domain T1_PHY service FW function go-to      cluster-device ASA5585_Device_1      cluster-interface inside        member device ASA5585_Device_1 device-interface GigabitEthernet0/1          interface ethernet 1/2 leaf 106          exit        exit      cluster-interface outside        member device ASA5585_Device_1 device-interface GigabitEthernet0/0          interface ethernet 1/2 leaf 105          exit        exit      exit    l4l7 graph ASA5585_SGT contract PERMIT_ALL      service N1 device-cluster-tenant T1 device-cluster ASA5585 mode FW_ROUTED        connector consumer cluster-interface outside          l4l7-peer tenant T1 out ASA_OUT_L3OUT epg ASA_OUT_EXT_NET redistribute bgp,ospf          exit        connector provider cluster-interface inside          l4l7-peer tenant T1 out ASA_IN_L3OUT epg ASA_IN_EXT_NET redistribute bgp,ospf          exit        rtr-cfg ASA5585        exit      connection C1 terminal consumer service N1 connector consumer      connection C2 terminal provider service N1 connector provider      exit    rtr-cfg ASA5585      router-id 3.3.3.3      exit    exitapic1# 

Verifique o relacionamento e a tabela de roteamento do vizinho de OSPF na folha 101:

leaf101# show ip ospf neighbors vrf T1:VRF1 OSPF Process ID default VRF T1:VRF1 Total number of neighbors: 2 Neighbor ID     Pri State            Up Time  Address         Interface 1.1.1.1           1 FULL/BDR         02:07:19 192.168.1.1     Vlan8 3.3.3.3           1 FULL/BDR         00:38:35 192.168.1.5     Vlan9

leaf101# show ip route vrf T1:VRF1
IP Route Table for VRF "T1:VRF1"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>

10.10.10.0/24, ubest/mbest: 1/0
    *via 192.168.1.1, vlan8, [110/8], 01:59:50, ospf-default, intra
20.20.20.0/24, ubest/mbest: 1/0
    *via 192.168.1.5, vlan9, [110/22], 00:30:20, ospf-default, inter
100.100.100.100/32, ubest/mbest: 2/0, attached, direct
    *via 100.100.100.100, lo1, [1/0], 02:21:22, local, local
    *via 100.100.100.100, lo1, [1/0], 02:21:22, direct
192.168.1.0/30, ubest/mbest: 1/0, attached, direct
    *via 192.168.1.2, vlan8, [1/0], 02:35:53, direct
192.168.1.2/32, ubest/mbest: 1/0, attached
    *via 192.168.1.2, vlan8, [1/0], 02:35:53, local, local
192.168.1.4/30, ubest/mbest: 1/0, attached, direct
    *via 192.168.1.6, vlan9, [1/0], 02:20:53, direct
192.168.1.6/32, ubest/mbest: 1/0, attached
    *via 192.168.1.6, vlan9, [1/0], 02:20:53, local, local
192.168.1.8/30, ubest/mbest: 1/0
    *via 192.168.1.5, vlan9, [110/14], 00:30:20, ospf-default, intra
200.200.200.200/32, ubest/mbest: 1/0
    *via 192.168.1.5, vlan9, [110/15], 00:30:20, ospf-default, intra

Verifique o relacionamento e a tabela de roteamento do vizinho de OSPF na folha 102:

leaf102# show ip ospf neighbors vrf T1:VRF2 OSPF Process ID default VRF T1:VRF2 Total number of neighbors: 2 Neighbor ID     Pri State            Up Time  Address         Interface 3.3.3.3           1 FULL/BDR         00:37:07 192.168.1.9     Vlan14 2.2.2.2           1 FULL/BDR         02:09:59 192.168.1.13    Vlan15leaf102# show ip route vrf T1:VRF2IP Route Table for VRF "T1:VRF2"'*' denotes best ucast next-hop'**' denotes best mcast next-hop'[x/y]' denotes [preference/metric]'%<string>' in via output denotes VRF <string>10.10.10.0/24, ubest/mbest: 1/0    *via 192.168.1.9, vlan14, [110/22], 00:35:22, ospf-default, inter20.20.20.0/24, ubest/mbest: 1/0    *via 192.168.1.13, vlan15, [110/8], 02:08:13, ospf-default, intra192.168.1.4/30, ubest/mbest: 1/0    *via 192.168.1.9, vlan14, [110/14], 00:35:22, ospf-default, intra192.168.1.8/30, ubest/mbest: 1/0, attached, direct    *via 192.168.1.10, vlan14, [1/0], 02:14:29, direct192.168.1.10/32, ubest/mbest: 1/0, attached    *via 192.168.1.10, vlan14, [1/0], 02:14:29, local, local192.168.1.12/30, ubest/mbest: 1/0, attached, direct    *via 192.168.1.14, vlan15, [1/0], 02:09:04, direct192.168.1.14/32, ubest/mbest: 1/0, attached    *via 192.168.1.14, vlan15, [1/0], 02:09:04, local, local200.200.200.200/32, ubest/mbest: 2/0, attached, direct    *via 200.200.200.200, lo4, [1/0], 02:10:02, local, local    *via 200.200.200.200, lo4, [1/0], 02:10:02, direct

Verifique a configuração, o relacionamento do vizinho de OSPF e a tabela de roteamento em ASA 5585:

ASA5585# sh run interface !interface GigabitEthernet0/0 no nameif security-level 0 no ip address!interface GigabitEthernet0/0.101 nameif externalIf security-level 50 ip address 192.168.1.5 255.255.255.252 !interface GigabitEthernet0/1 no nameif security-level 100 no ip address!interface GigabitEthernet0/1.102 nameif internalIf security-level 100 ip address 192.168.1.9 255.255.255.252 !interface Management0/0 management-only nameif management security-level 0 ip address 172.23.97.1 255.255.254.0 ASA5585# sh run router router ospf 1 router-id 3.3.3.3 network 192.168.1.4 255.255.255.252 area 0 network 192.168.1.8 255.255.255.252 area 0 area 0 log-adj-changes!ASA5585# sh ospf neighbor Neighbor ID     Pri   State           Dead Time   Address         Interface100.100.100.100   1   FULL/DR         0:00:38    192.168.1.6     externalIf200.200.200.200   1   FULL/DR         0:00:33    192.168.1.10    internalIfASA5585# sh route ospf Routing Table: T1Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area        N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2       E1 - OSPF external type 1, E2 - OSPF external type 2       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2       ia - IS-IS inter area, * - candidate default, U - per-user static route       o - ODR, P - periodic downloaded static route, + - replicated routeGateway of last resort is not setO IA     10.10.10.0 255.255.255.0            [110/18] via 192.168.1.6, 00:22:57, externalIfO IA     20.20.20.0 255.255.255.0            [110/18] via 192.168.1.10, 00:22:47, internalIfO        200.200.200.200 255.255.255.255            [110/11] via 192.168.1.10, 00:22:47, internalIfASA5585# sh access-list access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096)            alert-interval 300access-list access-list-inbound; 3 elements; name hash: 0xcb5bd6c7access-list access-list-inbound line 1 extended permit tcp any any eq www (hitcnt=0) 0xc873a747 access-list access-list-inbound line 2 extended permit tcp any any eq https (hitcnt=0) 0x48bedbdd     

access-list access-list-inbound line 3 extended permit icmp any any (hitcnt=6) 0xe4b5a75d

Verifique a configuração, o relacionamento do vizinho de OSPF e a tabela de roteamento em N3K-1:

N3K-1# sh run ospf !Command: show running-config ospf!Time: Thu Feb 25 15:40:55 2016version 6.0(2)U3(7)feature ospfrouter ospf 1  router-id 1.1.1.1interface Ethernet1/21  ip router ospf 1 area 0.0.0.1interface Ethernet1/47  ip router ospf 1 area 0.0.0.1N3K-1# sh ip ospf neighbors  OSPF Process ID 1 VRF default Total number of neighbors: 1 Neighbor ID     Pri State            Up Time  Address         Interface 100.100.100.100   1 FULL/DR          01:36:24 192.168.1.2     Eth1/47 N3K-1# sh ip ospf route OSPF Process ID 1 VRF default, Routing Table  (D) denotes route is directly attached      (R) denotes route is in RIB10.10.10.0/24 (intra)(D) area 0.0.0.1     via 10.10.10.0/Eth1/21* , cost 420.20.20.0/24 (inter)(R) area 0.0.0.1     via 192.168.1.2/Eth1/47 , cost 62100.100.100.100/32 (intra)(R) area 0.0.0.1     via 192.168.1.2/Eth1/47 , cost 41192.168.1.0/30 (intra)(D) area 0.0.0.1     via 192.168.1.1/Eth1/47* , cost 40

Verifique a configuração, o relacionamento do vizinho de OSPF e a tabela de roteamento em N3K-2:

N3K-2# sh run ospf !Command: show running-config ospf!Time: Thu Feb 25 15:44:47 2016version 6.0(2)U3(7)feature ospfrouter ospf 1  router-id 2.2.2.2interface loopback0  ip ospf network point-to-point  ip router ospf 1 area 0.0.0.0interface Ethernet1/21  ip router ospf 1 area 0.0.0.1interface Ethernet1/47  ip router ospf 1 area 0.0.0.1N3K-2# sh ip ospf neighbors  OSPF Process ID 1 VRF default Total number of neighbors: 1 Neighbor ID     Pri State            Up Time  Address         Interface 200.200.200.200   1 FULL/DR          01:43:50 192.168.1.14    Eth1/47 N3K-2# sh ip ospf route OSPF Process ID 1 VRF default, Routing Table  (D) denotes route is directly attached      (R) denotes route is in RIB2.2.2.0/30 (intra)(D) area 0.0.0.0     via 2.2.2.0/Lo0* , cost 110.10.10.0/24 (inter)(R) area 0.0.0.1     via 192.168.1.14/Eth1/47 , cost 6220.20.20.0/24 (intra)(D) area 0.0.0.1     via 20.20.20.0/Eth1/21* , cost 4192.168.1.12/30 (intra)(D) area 0.0.0.1     via 192.168.1.13/Eth1/47* , cost 40

Verifique regras de filtro do contrato na folha e nas contagens da batida do pacote:.  

leaf101# show system internal policy-mgr stats Requested Rule Statistics[CUT]Rule (4107) DN (sys/actrl/scope-3112964/rule-3112964-s-32773-d-49158-f-33)     Ingress: 1316, Egress: 0, Pkts: 0  RevPkts: 0Rule (4108) DN (sys/actrl/scope-3112964/rule-3112964-s-49158-d-32773-f-33)     Ingress: 1317, Egress: 0, Pkts: 0  RevPkts: 0leaf101# show system internal policy-mgr stats Requested Rule Statistics[CUT]Rule (4107) DN (sys/actrl/scope-3112964/rule-3112964-s-32773-d-49158-f-33)     Ingress: 2317, Egress: 0, Pkts: 0  RevPkts: 0Rule (4108) DN (sys/actrl/scope-3112964/rule-3112964-s-49158-d-32773-f-33)     Ingress: 2317, Egress: 0, Pkts: 0  RevPkts: 0


leaf102# show system internal policy-mgr stats Requested Rule Statistics[CUT]Rule (4103) DN (sys/actrl/scope-2752520/rule-2752520-s-49156-d-6019-f-default)     Ingress: 3394, Egress: 0, Pkts: 0  RevPkts: 0Rule (4104) DN (sys/actrl/scope-2752520/rule-2752520-s-6019-d-49156-f-default)     Ingress: 3394, Egress: 0, Pkts: 0  RevPkts: 0[CUT]leaf102# show system internal policy-mgr stats Requested Rule Statistics[CUT]Rule (4103) DN (sys/actrl/scope-2752520/rule-2752520-s-49156-d-6019-f-default)     Ingress: 4392, Egress: 0, Pkts: 0  RevPkts: 0Rule (4104) DN (sys/actrl/scope-2752520/rule-2752520-s-6019-d-49156-f-default)     Ingress: 4392, Egress: 0, Pkts: 0  RevPkts: 0[CUT]

Teste da alcançabilidade entre N3K-1 e N3K-2:

    N3K-1# ping 20.20.20.1 source 10.10.10.1PING 20.20.20.1 (20.20.20.1) from 10.10.10.1: 56 data bytes64 bytes from 20.20.20.1: icmp_seq=0 ttl=250 time=2.098 ms64 bytes from 20.20.20.1: icmp_seq=1 ttl=250 time=0.922 ms64 bytes from 20.20.20.1: icmp_seq=2 ttl=250 time=0.926 ms64 bytes from 20.20.20.1: icmp_seq=3 ttl=250 time=0.893 ms64 bytes from 20.20.20.1: icmp_seq=4 ttl=250 time=0.941 ms--- 20.20.20.1 ping statistics ---5 packets transmitted, 5 packets received, 0.00% packet lossround-trip min/avg/max = 0.893/1.156/2.098 msN3K-2# ping 10.10.10.1 source 20.20.20.1PING 10.10.10.1 (10.10.10.1) from 20.20.20.1: 56 data bytes64 bytes from 10.10.10.1: icmp_seq=0 ttl=250 time=2.075 ms64 bytes from 10.10.10.1: icmp_seq=1 ttl=250 time=0.915 ms64 bytes from 10.10.10.1: icmp_seq=2 ttl=250 time=0.888 ms64 bytes from 10.10.10.1: icmp_seq=3 ttl=250 time=1.747 ms64 bytes from 10.10.10.1: icmp_seq=4 ttl=250 time=0.828 ms--- 10.10.10.1 ping statistics ---5 packets transmitted, 5 packets received, 0.00% packet lossround-trip min/avg/max = 0.828/1.29/2.075 ms

É anexado o arquivo de configuração XML para o inquilino e o perfil da função ASA, usado para esta demonstração.