Nexus 7000: Understand "hardware ip glean throttle" Feature

Introduction

Este documento descreve como o recurso acelerador de glean de ip de hardware funciona com exemplos e a intenção deste recurso.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento básico da configuração dos switches Nexus 7000 Series.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Nexus 7000 com versão 6.2.x e posterior
• Placa de linha F2e series

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

Quando você encaminha um pacote IP recebido em uma placa de linha, se a solicitação ARP (Address Resolution Protocol) para o próximo salto não for resolvida, a placa de linha encaminha os pacotes ao supervisor para gerar uma solicitação ARP. Quando a solicitação ARP responde ao supervisor, ela resolve o endereço MAC para o próximo salto e programa o hardware.

Se o supervisor não puder resolver a entrada ARP, a placa de linha enviará todos os pacotes destinados a esse endereço ao supervisor. O supervisor gera solicitações ARP indefinidamente até que a entrada ARP seja resolvida. Há um limitador de taxa de hardware chamado glean colocado para proteger o processador do supervisor (CPU) do tráfego excessivo. 

Um problema que pode surgir é um único destino IP cair da rede devido à manutenção ou um problema de hardware, e de repente todo o tráfego destinado a ele está sendo enviado para a CPU.  Como o limitador de taxa está estabelecido, a CPU não fica alta, mas esse IP de destino único pode consumir todo o limitador de taxa e não dar a outros IP legítimos acesso à CPU. É para esse cenário que o acelerador ip glean do hardware foi criado.

Com a configuração do acelerador de glean de IP de hardware, o tráfego roteado para cada IP de destino desconhecido alcança a ação de CPU post Hardware Rate Limiter (HWRL) para a resolução ARP. Um destino inalcançável resultará na criação de uma adjacência de queda /32 no hardware. Isso evita que pacotes adicionais para o mesmo endereço IP do próximo salto sejam encaminhados ao supervisor. Enquanto essa adjacência de queda é adicionada, os pacotes subsequentes são descartados, mas o supervisor continua a gerar solicitações ARP até que o próximo salto seja resolvido. A adjacência de queda é instalada por um curto período, que é configurável. Quando o temporizador expira, um pacote é enviado novamente para a CPU e o processo se repete. O número de entradas instaladas dessa forma é limitado a 1000 por padrão, mas é configurável para um número maior de servidores desejados. Isso serve para limitar o impacto no tamanho da tabela da RIB (Routing Information Base). 

Teste de laboratório

Nesse caso, você tem um servidor, 172.28.191.200, que está inoperante devido a uma falha de hardware e não está disponível para tráfego de serviço no momento.

Note: Não há entrada ARP para o host e nenhuma adjacência é criada.

N7K# show ip route vrf VRF_ABC 172.28.191.200
IP Route Table for VRF "VRF_ABC"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>

172.28.191.192/28, ubest/mbest: 1/0, attached   >>> There is no /32 entry
    *via 172.28.191.195, Vlan1601, [0/0], 02:01:17, direct

O tráfego é enviado ao supervisor para gerar uma solicitação ARP:

N7K# show system internal forwarding vrf VRF_ABC ipv4 route 172.28.191.200 detail
slot  1
=======
 RPF Flags legend:
           S - Directly attached route (S_Star)
           V - RPF valid
           M - SMAC IP check enabled
           G - SGT valid
           E - RPF External table valid
         172.28.191.192/28  ,  sup-eth2 
         Dev: 0 , Idx: 0x65fb  , Prio: 0x8487  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x5a   , LIFB: 0   , LIF: sup-eth2    (0x1fe1  ), DI: 0xc01   
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.192/28  ,  sup-eth2 
         Dev: 1 , Idx: 0x65fb  , Prio: 0x8487  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x5a   , LIFB: 0   , LIF: sup-eth2    (0x1fe1  ), DI: 0xc01   
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.192/28  ,  sup-eth2  
         Dev: 2 , Idx: 0x65fb  , Prio: 0x8487  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x5a   , LIFB: 0   , LIF: sup-eth2    (0x1fe1  ), DI: 0xc01   
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.192/28  ,  sup-eth2 
         Dev: 5 , Idx: 0x65f1  , Prio: 0x84f2  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x5a   , LIFB: 0   , LIF: sup-eth2    (0x1fe1  ), DI: 0xc01   
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000 

O limitador de taxa de limpeza para o módulo específico acelera o tráfego para 100 pacotes por segundo, por módulo. Você pode ver que alguns dos pacotes são descartados. 

N7K# show hardware rate-limiter 
Units for Config: packets per second
Allowed, Dropped & Total: aggregated since last clear counters
rl-1: STP and Fabricpath-ISIS
rl-2: L3-ISIS and OTV-ISIS
rl-3: UDLD, LACP, CDP and LLDP
rl-4: Q-in-Q and ARP request
rl-5: IGMP, NTP, DHCP-Snoop, Port-Security, Mgmt and Copy traffic

Module: 1
  R-L Class           Config           Allowed         Dropped            Total
 +------------------+--------+---------------+---------------+-----------------+
  L3 mtu                   500               0               0                 0
  L3 ttl                   500               0               0                 0
  L3 control             10000               0               0                 0
  L3 glean                 100            3326            3190              6516
  L3 mcast dirconn        3000               0               0                 0
  L3 mcast loc-grp        3000               0               0                 0
  L3 mcast rpf-leak        500               0               0                 0
  L2 storm-ctrl       Disable
  access-list-log          100               0               0                 0
  copy                   30000            1877               0              1877
  receive                30000             318               0               318

Quando o comando hardware ip glean throttle é configurado:

N7K(config)#hardware ip glean throttle

Uma adjacência é instalada no RIB:

N7K# show ip route 172.28.191.200 vrf VRF-ABC
IP Route Table for VRF "VRF-ABC"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>

172.28.191.200/32, ubest/mbest: 1/0, attached
    *via 172.28.191.200, Vlan1601, [250/0], 00:01:37, am

Quando você observa a programação de hardware, um índice drop é instalado:

N7K# show system internal forwarding vrf VRF_ABC ipv4 route 172.28.191.200 detail

slot  1
=======

 RPF Flags legend:
           S - Directly attached route (S_Star)
           V - RPF valid
           M - SMAC IP check enabled
           G - SGT valid
           E - RPF External table valid
         172.28.191.200/32  ,  Drop      
         Dev: 0 , Idx: 0x1a5   , Prio: 0x8b61  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x8913 , LIFB: 0   , LIF: Drop        (0x0     ), DI: 0x0     
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.200/32  ,  Drop      
         Dev: 1 , Idx: 0x1a5   , Prio: 0x8b61  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x8913 , LIFB: 0   , LIF: Drop       (0x0     ), DI: 0x0     
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.200/32  ,  Drop      
         Dev: 2 , Idx: 0x1a5   , Prio: 0x8b61  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x8913 , LIFB: 0   , LIF: Drop        (0x0     ), DI: 0x0     
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000  
         172.28.191.200/32  ,  Drop      
         Dev: 5 , Idx: 0x1e1   , Prio: 0x88ee  , RPF Flags: VS    , DGT: 0 , VPN: 9 
         RPF_Intf_5:   Vlan1601    (0x19    )
         AdjIdx: 0x8914 , LIFB: 0   , LIF: Drop        (0x0     ), DI: 0x0     
         DMAC: 0000.0000.0000 SMAC: 0000.0000.0000 

Agora você pode ver que o limitador de taxa de hardware não vê quedas.

N7K# show hardware rate-limiter 

Units for Config: packets per second
Allowed, Dropped & Total: aggregated since last clear counters
rl-1: STP and Fabricpath-ISIS
rl-2: L3-ISIS and OTV-ISIS
rl-3: UDLD, LACP, CDP and LLDP
rl-4: Q-in-Q and ARP request
rl-5: IGMP, NTP, DHCP-Snoop, Port-Security, Mgmt and Copy traffic


Module: 1
  R-L Class           Config           Allowed         Dropped            Total
 +------------------+--------+---------------+---------------+-----------------+
  L3 mtu                   500               0               0                 0
  L3 ttl                   500               0               0                 0
  L3 control             10000               0               0                 0
  L3 glean                 100            0            0               0
  L3 mcast dirconn        3000               0               0                 0
  L3 mcast loc-grp        3000               0               0                 0
  L3 mcast rpf-leak        500               0               0                 0
  L2 storm-ctrl       Disable
  access-list-log          100               0               0                 0
  copy                   30000            1877               0              1877
  receive                30000             318               0               318

Informações Relacionadas

• Configurando a limitação de IP Glean
• Suporte Técnico e Documentação - Cisco Systems