Verifica ACI Shared Services - Codice di matricola consumer del servizio condiviso 14
Sommario
Introduzione
In questo documento viene descritto come configurare e verificare la configurazione di Shared Services con Shared BD in ACI.
Premesse
Una configurazione di Shared Services consente la comunicazione tra EPG su VRF diverse all'interno di un'infrastruttura ACI.
Shared Services sfrutta al meglio le 3 categorie PcTag:
| Nome categoria | Intervallo PcTag |
| Sistema | 1-15 |
| Globale | 16 - 16385 |
| Locale | 16386 - 65535 |
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Configurazione
Esempio di rete
Caratteristiche principali della configurazione
- È necessario che l'ambito della subnet "Condiviso tra VRF" sia incluso nella subnet,192.168.10.1/24
- L'ambito del contratto deve essere almeno 'Tenant' poiché gli EPG si trovano nello stesso tenant.
- Se gli EPG si trovano in tenant diversi, il contratto deve avere ambito "globale"
- Se la subnet condivisa è definita dal provider EPG, il contratto deve essere fornito solo sull'EPG per essere condiviso e utilizzato sull'EPG per l'utilizzo.
O
- Se la subnet condivisa è definita dal provider BD, il contratto deve essere fornito sia da EPG che da EPG e subnet solo in BD. Questo utilizza più spazio TCAM mentre vengono programmate più regole di zoning.
Verifica
Scenario 1 - Da EPG a EPG: subnet condivisa definita nel provider EPG
In questo scenario di esempio, la subnet condivisa è configurata in EPG-2.
Questa opzione consente di ottimizzare l'utilizzo di TCAM e di eseguire la configurazione di Shared Services. Il TCAM è ottimizzato in quanto le regole di zoning devono essere programmate solo nel VRF consumer. In questo scenario, il VRF consumer è solo su Leaf 101.
Traccia di flusso da EPG-1 a EPG-2
Foglia consumer 101
Le informazioni di instradamento su Leaf 101 Consumer VRF PJ:VRF-1 mostrano l'instradamento per 192.168.10.10 tramite VNID 2260992, ovvero il provider VRF PJ:VRF-2:
leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1 IP Route Table for VRF "PJ:VRF-1" '*' denotes best ucast next-hop '**' denotes best mcast next-hop '[x/y]' denotes [preference/metric] '%' in via output denotes VRF
192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive *via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992 recursive next hop: 10.0.240.33/32%overlay-1
Il flusso del traffico può essere convalidato con un ELAM su Consumer Leaf 101 sulla base della richiesta ICMP dall'origine 10.10.10.10 alla destinazione 192.168.10.1
leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
-----------------------------------------------------------------------------------------------------------------------------------
Outer L3 Header
-----------------------------------------------------------------------------------------------------------------------------------
...
IP Protocol Number : ICMP
IP CheckSum : 37262( 0x918E )
Destination IP : 192.168.10.10
Source IP : 10.10.10.10
-----------------------------------------------------------------------------------------------------------------------------------
Contract Lookup Key
-----------------------------------------------------------------------------------------------------------------------------------
IP Protocol : ICMP( 0x1 )
L4 Src Port : 2048( 0x800 )
L4 Dst Port : 16568( 0x40B8 )
sclass (src pcTag) : 16388( 0x4004 )
dclass (dst pcTag) : 10930( 0x2AB2 )
src pcTag is from local table : yes
derived from a local table on this node by the lookup of src IP or MAC
Unknown Unicast / Flood Packet : no
If yes, Contract is not applied here because it is flooded
-----------------------------------------------------------------------------------------------------------------------------------
Contract Result
-----------------------------------------------------------------------------------------------------------------------------------
Contract Drop : no
Contract Logging : no
Contract Applied : yes
Contract Hit : yes
Contract Aclqos Stats Index : 81874
( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Il rapporto indica che il contratto viene applicato a Consumer Leaf 101 e che Src pcTag 16388 (EPG-1) e Dst PcTAG 10930 (EPG-2) sono stati assegnati.
Questi valori possono essere confrontati con le regole di zoning programmate in Consumer VRF PJ:VRF-1 (VNID 3080192) per identificare gli ID regola raggiunti:
leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4108 | 10930 | 16388 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4118 | 16388 | 10930 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+
Traccia di flusso da EPG-2 a EPG-1
Foglia provider 102
Le informazioni di route su Leaf 102 per il provider VRF PJ:VRF-2 mostrano il percorso per 10.10.10.10 tramite VNID 3080192, ovvero consumer VRF PJ:VRF-1:
leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2
IP Route Table for VRF "PJ:VRF-2"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%' in via output denotes VRF
10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive
*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192
recursive next hop: 10.0.240.33/32%overlay-1
Il flusso del traffico può essere convalidato con un ELAM sul provider Leaf 101 sulla base della richiesta ICMP dall'origine 192.168.10.10 alla destinazione 10.10.10.10:
leaf102# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 37262( 0x918E ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 18616( 0x48B8 ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
In questo rapporto, tenere presente che la classe e la classe sono entrambi valori non locali.
EPG-2, il provider di servizi condivisi, ora gestisce un PcTag globale di 10930.
La dclass assegnata a questo pacchetto è Shared Service Consumer PcTag 14. PcTag 14 è il PcTag di sistema riservato al traffico tra VRF.
Si noti che una speciale regola di zoning è programmata su Provider Leaf 102 tra Provider EPG2 PcTag 10930 e Shared Service Consumer System PcTag 14 con "Action" impostato su "allow_override". Questa regola consente l'inoltro dei flussi corrispondenti alla pagina Foglia consumer per la ricerca finale dei criteri:
leaf102# show zoning-rule +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+
Scenario 2 - Da BD a BD: subnet condivisa definita nel provider BD.
In questo scenario di esempio, la subnet condivisa è configurata solo in BD-2.
Per completare la configurazione di Shared Services, i contratti devono essere sia consumati che forniti su EPG-1 e EPG-2.
Traccia di flusso da EPG-1 a EPG-2
Poiché un contratto di servizio condiviso viene fornito e utilizzato su entrambi gli EPG, un flusso di pacchetto tra EPG-1 (foglia 101) ed EPG-2 (foglia 102) osserva queste proprietà:
- EPG-1 è considerato il provider
- L'EPG-2 è considerato il
- La foglia 102 è la foglia Consumatore, quindi qui viene applicata la politica finale.
Le informazioni sul percorso sono uguali a quelle dello Scenario 1.
"Provider" Foglia 101:
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# status
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23304( 0x5B08 ) Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 59074( 0xE6C2 ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Si noti che la classe 14 è assegnata. Questo significa che il traffico può continuare tramite la regola "allow_override" in modo che l'elemento Foglia consumer possa guidare la ricerca finale dei criteri.
Foglia "Consumatore" 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 14 out-select 1
module-1# set inner ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 26203( 0x665B ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 10930( 0x2AB2 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Sia EPG-1 che EPG-2 hanno ora PcTags globali; EPG-1 è PcTag 18 ed EPG-2 è PcTag 10938.
Traccia di flusso da EPG-2 a EPG-1
Poiché un contratto di servizio condiviso viene fornito e utilizzato su entrambi gli EPG, un flusso di pacchetti tra EPG-2 (foglia 102) ed EPG-1 (foglia 101) osserva queste proprietà:
- EPG-2 è considerato il provider
- EPG-1 è considerato il consumer
- La foglia 101 è la foglia del consumatore, e quindi la politica finale viene applicata qui.
Le informazioni sul percorso sono uguali a quelle dello Scenario 1.
Foglia "Fornitore" 102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23308( 0x5B0C ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 56682( 0xDD6A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
Si noti che la classe 14 è assegnata. Questo significa che il traffico può continuare tramite la regola "allow_override" in modo che l'elemento Foglia consumer possa guidare la ricerca finale dei criteri.
Foglia "Consumatore" 101
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- L3 Type : IPv4 DSCP : 0 Don't Fragment Bit : 0x0 TTL : 254 IP Protocol Number : ICMP Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 22874( 0x595A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 18( 0x12 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
Evidenziazione utilizzo TCAM
Nello scenario da BD a BD, osservare che le regole di zoning sono raddoppiate poiché sia EPG-1 che EPG-2 sono utenti con contratto di servizi condivisi:
Leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4129 | 18 | 14 | implicit | uni-dir | enabled | 3080192 | | permit_override | src_dst_any(9) | | 4128 | 10930 | 18 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4127 | 18 | 10930 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Leaf102# show zoning-rule scope 2260992 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | | 4123 | 18 | 10930 | 8 | bi-dir | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4124 | 18 | 0 | implicit | uni-dir | enabled | 2260992 | | deny,log | shsrc_any_any_deny(12) | | 4122 | 10930 | 18 | 8 | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Conclusioni
Entrambi gli scenari di configurazione consentono di utilizzare le funzionalità di Shared Services, tuttavia il metodo BD-to-BD prevede un consumo aggiuntivo di TCAM.
Riferimenti e link utili
Comprensione e risoluzione dei problemi di ACI Shared Services - DGTL-TSCDCN-305
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
2.0 |
19-Oct-2022 |
Fixed Cisco Live Link |
1.0 |
13-Sep-2022 |
Versione iniziale |
Feedback