IntroductionEste documento descreve as etapas para entender e solucionar problemas de encaminhamento de camada 2 na ACI Show
Informações de ApoioO material deste documento foi extraído do Solução de problemas da Cisco Application Centric Infrastructure, segunda edição livro, especificamente o Encaminhamento dentro da estrutura - encaminhamento L2: dois pontos finais no mesmo BD - sem roteamento unicast capítulo. OverviewEsta seção explica um exemplo de Troubleshooting em que os pontos finais no mesmo domínio de bridge e na mesma sub-rede não podem se comunicar. A figura abaixo ilustra a topologia em que o BD não tem nenhuma sub-rede e tem o roteamento unicast desabilitado. Normalmente, ao solucionar problemas de fluxos de tráfego com conectividade de endpoint, a sugestão é começar a identificar um par de endpoints. Consulte a topologia abaixo com os EPs A e B. Eles terão, respectivamente, os endereços IP 10.1.1.1/24 e 10.1.1.2/24. Os endereços MAC serão, respectivamente, 00:00:10:01:01:01 e 00:00:10:01:01:02. Topologia
Nesta seção, há três cenários:
Os fluxos de Troubleshooting que serão seguidos podem ser resumidos pelo seguinte esquema:
verificação de GUIO primeiro nível de solução de problemas é validar pela GUI que o MAC do endpoint foi aprendido corretamente. Isso pode ser feito na guia operacional do EPG onde o endpoint está localizado. 'Guia EPG Operacional > Pontos de extremidade do cliente'
Neste cenário, os endpoints A e B são mostrados na GUI. A GUI mostra seus endereços MAC, a interface na qual eles estão conectados à estrutura e o encapsulamento — nesse caso, ambos estão na VLAN 2501 de encapsulamento. Espera-se que o endereço IP não seja aprendido da estrutura da ACI, pois o roteamento unicast foi desabilitado no nível BD. Consulte a coluna fonte de aprendizagem na captura de tela acima. Se ele denota "aprendido", o switch leaf da ACI recebeu pelo menos um pacote do endpoint. Como nesse caso os endpoints são aprendidos da estrutura da ACI, vá para o próximo caso de solução de problemas para o tráfego unicast da camada 2 conhecido. Troubleshooting de fluxo de trabalho para tráfego unicast de Camada 2 conhecidoAprendizado MAC EP de origem de folha de entradaNo caso de encaminhamento de Camada 2 no mesmo BD, a ACI só aprenderá o MAC origem e o encaminhamento com base no MAC destino. Os endereços MAC são aprendidos no escopo do BD. Primeiro, verifique se o endpoint foi aprendido: leaf1# show endpoint mac 0000.1001.0101 A saída acima fornece as seguintes informações:
Pesquisa de ponto de extremidade MAC de destino de folha de entradaSuponha que o MAC destino seja conhecido (unicast conhecido). leaf1# show endpoint mac 0000.1001.0102 A saída acima fornece as seguintes informações:
Em seguida, verifique o destino da interface túnel usando o comando 'show interface tunnel <x>' leaf1# show interface tunnel 4 Assim, o pacote será encapsulado em VXLAN com o IP de origem TEP 10.0.88.95 (atribuído a loopback0) e enviado para o IP de destino TEP 10.0.96.66. Confirme o IP de origem: leaf1# show ip interface loopback 0 vrf overlay-1 O destino TEP IP 10.0.96.66 pode ser um dos seguintes:
Grupos de Proteção VPC Explícitos
Switch leaf de entrada enviando para switch spineA folha de ingresso agora encapsulará o quadro na VXLAN com o IP de destino externo definido como 10.0.96.66, que é o IP de destino do túnel listado no comando anterior 'show interface tunnel 4'. Ele o encapsulará em VXLAN com o VNID do domínio de bridge - vxlan-16351141 - como mostrado na saída anterior do comando 'show endpoint mac 0000.1001.0102'. Com base na rota IS-IS na sobreposição VRF-1, determine para onde enviá-la: leaf1# show ip route 10.0.96.66 vrf overlay-1 Portanto, há roteamento ECMP (multipath de custo igual) para o destino usando eth2/49 e 1/50, que são os uplinks de estrutura para os switches spine. Encaminhamento spineA tabela de roteamento overlay-1 do VRF na coluna mostra que a rota de host 10.0.96.66 pode ser alcançada através da folha3 ou da folha4. Isso é esperado porque 10.0.96.66 é o VPC VIP dos switches de folha 103 e 104: spine1# show ip route 10.0.96.66 vrf overlay-1 Aprendizado MAC EP remoto de folha de saídaNesse caso, o TEP de destino é um par VPC, de modo que o pacote chegará em leaf3 ou leaf4. Consulte as saídas do comando abaixo. Leaf4 deve mostrar saída semelhante. Como fazem parte do mesmo par de VPCs, todos os endpoints são sincronizados entre os dois switches leaf. O aprendizado de endpoint para tráfego de Camada 2 na folha de saída é baseado no endereço MAC origem que é aprendido no BD correspondente ao VNID no pacote recebido. Isso pode ser verificado na tabela de endpoint. O endereço MAC origem está atrás do túnel 26 no VXLAN-16351141. O túnel 26 vai para o IP TEP 10.0.88.95 que é leaf1: leaf3# show endpoint mac 0000.1001.0101 leaf3# show interface tunnel 26 Pesquisa MAC de destino de folha de saídaO comando 'show endpoint' confirma que o MAC de destino é aprendido por trás do canal de porta 1 e usa o encapsulamento VLAN-2501 leaf3# show endpoint mac 0000.1001.0102 Isso indica que o quadro está deixando a estrutura da ACI no canal de porta 1 da interface leaf3 com a ID de VLAN de encapsulamento 2501. Você pode encontrar o BD VNID na guia Tenant Operational na GUI. Valide se os dois endpoints foram aprendidos corretamente no repositório COOP EP do switch spineO repositório COOP EP deve ser sincronizado em todos os nós spine. o repositório COOP EP pode ser verificado usando o BD VNID como uma chave e inserindo o endereço MAC EP. O endereço MAC origem desse fluxo é aprendido do próximo salto do túnel 10.0.88.95, que é o IP TEP do leaf1. Além disso, a saída do comando mostra 16351141 VNID que corresponde ao domínio de bridge correto. spine1# show coop internal info repo ep key 16351141 00:00:10:01:01:01 O MAC destino desse fluxo é aprendido no VPC VIP 10.0.96.66 da folha3 e da folha4. O 16351141 VNID EP BD também é listado, o que corresponde ao BD correto. spine1# show coop internal info repo ep key 15302583 00:00:10:01:01:02 Saída do ELAM usando o Assistente do ELAMO ELAM Assistant é um poderoso aplicativo da ACI que pode simplificar a execução de capturas do ELAM em uma estrutura da ACI. Os acionadores do Assistente do ELAM podem ser iniciados simultaneamente em vários nós de folha. Como resultado, pacotes específicos podem ser verificados em paralelo em leaf1, leaf3 e leaf4. A captura ELAM configurada será exibida conforme mostrado abaixo. Como observado, o pacote é visto em leaf1 (nó-101) e leaf3 (nó-103). Assistente do ELAM — parâmetros
O relatório do leaf1 (nó-101) mostra o seguinte:
Assistente do ELAM — leaf1 (nó-101) — Informações do pacote capturado
Assistente ELAM — leaf1 (nó-101) — Informações de encaminhamento de pacotes
Na folha 3 (nó 103) na folha de saída, observa-se o seguinte: Nas Informações do Pacote Capturado em leaf3, ele entra a partir de eth2/49. O endereço IP externo confirma o seguinte:
ELAM Assistant — leaf3 (nó-103) — informações do pacote capturado
As informações de encaminhamento de pacotes mostram que o tráfego é encaminhado no canal de porta 1 e especificamente na ethernet 1/12.
ELAM de folha de entrada usando CLIÉ recomendável usar o ELAM Assistant, pois ele simplifica a operação de execução de capturas do ELAM. No entanto, também é possível usar comandos CLI em switches ACI para gerar um relatório ELAM. Veja a seguir um exemplo de como isso seria feito. Use a sequência de gatilho mostrada para capturar o pacote na folha de entrada. Consulte a seção "Ferramentas" para obter mais informações sobre as opções do ELAM.
module-1# debug platform internal tah elam asic 0 Para ver se o pacote foi recebido, verifique o status do ELAM. Se houver um disparador, significa que um pacote correspondente às condições foi capturado. module-1(DBG-elam-insel6)# status A próxima saída mostra que o relatório é exibido com o comando 'report'. A saída é muito longa, então somente o início é colado aqui. Mas observe que o relatório completo é salvo para análise posterior em um local no sistema de arquivos leaf. O nome do arquivo também contém os timestamps de quando o ELAM foi obtido. leaf1# ls -al /var/log/dme/log/elam_2019-09-30-03m-23h-14s.txt O "relatório" valida se o pacote foi recebido e se as informações são as esperadas (MAC origem e destino, IP origem e destino, etc.) module-1(DBG-elam-insel6)# ereport Usando Triagem para seguir o fluxoA triagem é executada a partir de uma CLI do APIC e pode ser usada para seguir o caminho completo pela estrutura da ACI. Especifique pelo menos a folha de entrada (nó-101), o IP de origem e o IP de destino. Neste caso específico, é um fluxo interligado (Camada 2), portanto, a opção de ponte Triagem deve ser usada. Observe que a Triagem gera um arquivo de log no diretório atual. Esse arquivo de log conterá todos os logs e relatórios ELAM coletados. Isso permite que o pacote seja capturado a cada salto. A versão curta da saída está abaixo: apic1# ftriage bridge -ii LEAF:101 -sip 10.1.1.1 -dip 10.1.1.2 Troubleshooting de fluxo de trabalho para tráfego unicast de Camada 2 desconhecido — BD em modo de inundaçãoNeste exemplo, o MAC destino é desconhecido. A pesquisa MAC de destino na folha de entrada não mostra nenhuma saída. leaf1# show endpoint mac 0000.1001.0102 Considerando que o BD está definido como 'Flood' para L2 unicast desconhecido, eis o que acontecerá em um nível alto:
Esta seção destacará o que pode ser verificado. Localizando BD GIPoA GUI identifica o grupo multicast 225.1.5.48 usado pelo BD para tráfego multidestino. BD GIPo
ELAM — folha de entrada — tráfego inundadoUsando o Assistente do ELAM, o relatório do ELAM na folha de entrada é verificado. Isso mostra que o quadro foi inundado no BD e está saindo de todos os uplinks de estrutura (aqui eth2/49, 1/50,1/51 e 1/52). Assistente ELAM - folha de entrada - Informações de encaminhamento de pacotes
Para localizar o valor FTAG selecionado pela folha de entrada, vá para o relatório bruto do Assistente do ELAM. sug_lu2ba_sb_info.mc_info.mc_info_nopad.ftag: 0xC Ao converter o valor hexadecimal de 0xC em decimal, isso resulta em FTAG 12. Desenhando a topologia FTAGA topologia FTAG é calculada pelo IS-IS. Uma topologia em árvore é criada para cada valor FTAG, com uma lista de interface de raiz e saída que permite uma topologia de distribuição de carga ideal. Exiba a topologia FTAG local usando o seguinte comando. No exemplo abaixo, estamos usando a topologia FTAG ID 12 em spine1. spine1# show isis internal mcast routes ftag Desenhar a topologia FTAG completa em uma grande estrutura da ACI pode ser uma tarefa longa e complexa. O script Python 'aci-ftag-viewer' (https://github.com/agccie/aci-ftag-viewer) pode ser copiado em um APIC. Gera a topologia FTAG completa da estrutura em uma única passagem. A saída abaixo exibe a árvore FTAG 12 no Pod1 de uma estrutura Multi-Pod e inclui a topologia FTAG nos dispositivos IPN. Isso mostra que, se o tráfego entrar na estrutura da ACI a partir do leaf101, ele passará pelos seguintes caminhos, conforme listado na saída do script abaixo. admin@apic1:tmp> python aci_ftag_viewer.py --ftag 12 --pod 1 ELAM — folha de saída — tráfego inundadoNesse caso, o tráfego inundado atinge todas as folhas da estrutura da ACI. Assim, ele alcançará ambos leaf3 e leaf4, que são o par VPC. Ambos os nós de folha têm um VPC para o destino. Para evitar pacotes duplicados, o par VPC escolhe apenas uma folha para encaminhar o tráfego inundado para o destino. A folha selecionada é chamada de folha VPC DF (folha de encaminhador designada VPC). Isso pode ser verificado no ELAM usando o seguinte gatilho em ambos os nós de folha. module-1# debug platform internal tah elam asic 0 saída leaf3: module-1(DBG-elam-insel14)# ereport | egrep vpc.*df saída leaf4: module-1(DBG-elam-insel14)# ereport | egrep vpc.*df Na saída acima, leaf3 tem o valor '0x1' definido para o campo 'vpc_df', enquanto leaf4 tem '0x0' definido para o campo 'vpc_df'. Portanto, o encaminhador designado será leaf3. O leaf3 encaminhará o pacote inundado em seu link VPC para o EP de destino. Troubleshooting de fluxo de trabalho para tráfego unicast de Camada 2 desconhecido — BD no proxy de hardwareO cenário atual listado é aquele para o tráfego unicast desconhecido da camada 2 com o BD no modo proxy de hardware. Nesse cenário, como a folha de entrada não sabe o endereço MAC destino, ela encaminhará o pacote para o endereço proxy-mac anycast spine. O spine realizará uma pesquisa COOP no MAC de destino. Se a pesquisa for bem-sucedida, como mostrado abaixo, o spine regravará o IP de destino externo no destino do túnel (aqui 10.0.96.66) e o enviará ao par VPC leaf3-leaf4. spine1# show coop internal info repo ep key 15302583 00:00:10:01:01:02 Se a pesquisa falhar (o endpoint é desconhecido na estrutura da ACI), o spine descartará o unicast desconhecido. spine1# show coop internal info repo ep key 15302583 00:00:10:01:01:02 Resumo de encaminhamento de camada 2O diagrama a seguir resume o possível comportamento de encaminhamento do tráfego da Camada 2 na estrutura da ACI. Comportamento de encaminhamento da camada 2 da estrutura da ACI
Quais são as duas características dos ACLs?Explicação: Os dois tipos de ACLs são padrão e estendidos. Ambos os tipos podem ser nomeados ou numerados, mas as ACLs estendidas oferecem maior flexibilidade.
Quais são os dois protocolos que são usados pelo AAA para autenticar usuários em um banco de dados central de nomes de usuário e senha?Explicação: Usando TACACS + ou RADIUS, o AAA pode autenticar usuários de um banco de dados de nomes de usuário e senhas armazenados centralmente em um servidor, como um servidor Cisco ACS.
Qual o impacto da adição de um switch de camada 2 em uma rede?Qual é o impacto da adição de um switch de Camada 2 em uma rede? Explicação: Adicionar um switch da Camada 2 a uma rede aumenta o número de domínios de colisão e aumenta o tamanho do domínio de broadcast.
Qual declaração descreve uma VPN?Qual afirmação descreve uma VPN? VPNs usam conexões físicas dedicadas para transferir dados entre usuários remotos. VPNs usam conexões lógicas para criar redes públicas por meio da Internet. VPNs usam software de virtualização de código aberto para criar o túnel através da Internet.
|
Módulos 13 14 da segurança de rede 1.0 exame de grupo de segurança de camada 2 e endpoint
Postagens relacionadas
direito autoral © 2024 toptenid.com Inc.
