ACI Shared Services - Shared ServiceコンシューマPcTag 14の確認
内容
概要
このドキュメントでは、ACIでShared BDを使用してShared Services構成を構成および確認する手順について説明します。
背景説明
Shared Servicesの構成により、ACIファブリック内の異なるVRF間でEPG間の通信が可能になります。
Shared Servicesは、次の3つのPcTagカテゴリを最大限に活用します。
| カテゴリ名 | PcTag範囲 |
| システム | 1 ～ 15 |
| グローバル | 16 ～ 16385 |
| Local | 16386 ～ 65535 |
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
設定
ネットワーク図
構成の概要
- 漏出されるサブネットには、「Shared between VRFs」サブネットスコープが必要です,192.168.10.1/24
- EPGは同じテナントにあるため、コントラクトには少なくとも「テナント」のスコープが必要です。
- EPGが異なるテナントにある場合は、契約に「グローバル」スコープが必要です。
- 共有サブネットがプロバイダーEPGで定義されている場合、コントラクトはEPGで提供される必要があり、EPGで共有および消費される必要があります。
または
- 共有サブネットがプロバイダーBDで定義されている場合、契約は両方のEPGによって提供され、BD上の両方のEPGとサブネットによって消費される必要があります。これにより、より多くのゾーン分割ルールがプログラムされるため、より多くのTCAMスペースが使用されます。
確認
シナリオ1:EPGからEPG：プロバイダーEPGで定義された共有サブネット
このシナリオ例では、EPG-2の下に共有サブネットが設定されています。
このオプションは、TCAMの使用率を最適化し、Shared Servicesの構成を実現します。ゾーン分割ルールはコンシューマVRFでのみプログラムする必要があるため、TCAMは最適化されています。このシナリオでは、コンシューマVRFはリーフ101上にのみ存在します。
EPG-1からEPG-2へのフロートレース
コンシューマリーフ101
リーフ101コンシューマVRF PJ:VRF-1のルート情報は、VNID 2260992（プロバイダーVRF PJ:VRF-2）を介した192.168.10.10のルートを示します。
leaf101# show ip route 192.168.10.10 vrf PJ:VRF-1 IP Route Table for VRF "PJ:VRF-1" '*' denotes best ucast next-hop '**' denotes best mcast next-hop '[x/y]' denotes [preference/metric] '%' in via output denotes VRF
192.168.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive *via 10.0.240.33%overlay-1, [1/0], 23:06:11, static, tag 4294967294, rwVnid: vxlan-2260992 recursive next hop: 10.0.240.33/32%overlay-1
送信元10.10.10.10から宛先192.168.10.1へのICMP要求に対して、コンシューマリーフ101のELAMを使用してトラフィックフローを検証できます
leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
-----------------------------------------------------------------------------------------------------------------------------------
Outer L3 Header
-----------------------------------------------------------------------------------------------------------------------------------
...
IP Protocol Number : ICMP
IP CheckSum : 37262( 0x918E )
Destination IP : 192.168.10.10
Source IP : 10.10.10.10
-----------------------------------------------------------------------------------------------------------------------------------
Contract Lookup Key
-----------------------------------------------------------------------------------------------------------------------------------
IP Protocol : ICMP( 0x1 )
L4 Src Port : 2048( 0x800 )
L4 Dst Port : 16568( 0x40B8 )
sclass (src pcTag) : 16388( 0x4004 )
dclass (dst pcTag) : 10930( 0x2AB2 )
src pcTag is from local table : yes
derived from a local table on this node by the lookup of src IP or MAC
Unknown Unicast / Flood Packet : no
If yes, Contract is not applied here because it is flooded
-----------------------------------------------------------------------------------------------------------------------------------
Contract Result
-----------------------------------------------------------------------------------------------------------------------------------
Contract Drop : no
Contract Logging : no
Contract Applied : yes
Contract Hit : yes
Contract Aclqos Stats Index : 81874
( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
このレポートには、契約がコンシューマリーフ101に適用され、Src pcTag 16388(EPG-1)とDst PcTAG 10930(EPG-2)が割り当てられていることが示されています。
次の値をコンシューマVRF PJ:VRF-1(VNID 3080192)のプログラムされたゾーン分割ルールと比較して、どのルールIDがヒットしたかを特定できます。
leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4108 | 10930 | 16388 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4118 | 16388 | 10930 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+----------+------------------------+
EPG-2からEPG-1へのフロートレース
Provider Leaf 102
プロバイダーVRF PJ:VRF-2のリーフ102のルート情報は、VNID 3080192（コンシューマVRF PJ:VRF-1）を介した10.10.10.10のルートを示します。
leaf102# show ip route 10.10.10.10 vrf PJ:VRF-2
IP Route Table for VRF "PJ:VRF-2"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%' in via output denotes VRF
10.10.10.0/24, ubest/mbest: 1/0, attached, direct, pervasive
*via 10.0.240.33%overlay-1, [1/0], 1d22h, static, tag 4294967294, rwVnid: vxlan-3080192
recursive next hop: 10.0.240.33/32%overlay-1
トラフィックフローは、送信元192.168.10.10から宛先10.10.10.10へのICMP要求に対して、Provider Leaf 101のELAMで検証できます。
leaf102# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 37262( 0x918E ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 18616( 0x48B8 ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
このレポートでは、sclassとdclassの両方が非ローカル値であることを確認します。
共有サービスプロバイダーであるEPG-2は、10930のグローバルPcTagを駆動するようになりました。
このパケットに割り当てられているdclassはShared Service Consumer PcTag 14です。PcTag 14は、VRF間トラフィック用に予約されたシステムPcTagです。
プロバイダーEPG2 PcTag 10930とShared Service Consumer System PcTag 14の間のProvider Leaf 102に、「Action」を「permit_override」に設定した特別なゾーン分割ルールがプログラムされていることに注意してください。 このルールでは、最終的なポリシールックアップのために、一致したフローをコンシューマリーフに転送できます。
leaf102# show zoning-rule +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | +---------+--------+--------+----------+---------+---------+----------+------+-----------------+----------------------+
シナリオ2:BD間：プロバイダーBDで定義された共有サブネット。
この例のシナリオでは、共有サブネットはBD-2でのみ設定されています。
Shared Servicesの構成を完了するには、契約が両方のEPG（EPG-1とEPG-2）で消費および提供されている必要があります。
EPG-1からEPG-2へのフロートレース
共有サービス契約が両方のEPGで提供および消費されるため、EPG-1(Leaf 101)とEPG-2(Leaf 102)の間のパケットフローは次のプロパティを順守します。
- EPG-1はプロバイダーと見なされる
- EPG-2はコンシューマと見なされる
- リーフ102はコンシューマリーフであるため、ここでは最終的なポリシーが適用されます。
ルート情報はシナリオ1と同じです。
「プロバイダー」リーフ101:
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# status
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23304( 0x5B08 ) Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 59074( 0xE6C2 ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
dclass 14が割り当てられていることを確認します。これは、トラフィックが「permit_override」ルールを介して継続することを許可され、コンシューマリーフが最終的なポリシールックアップを実行できることを意味します。
「コンシューマ」リーフ102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 14 out-select 1
module-1# set inner ipv4 src_ip 10.10.10.10 dst_ip 192.168.10.10
module-1# start
module-1# ereport
...
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP Destination IP : 192.168.10.10 Source IP : 10.10.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 2048( 0x800 ) L4 Dst Port : 26203( 0x665B ) sclass (src pcTag) : 18( 0x12 ) dclass (dst pcTag) : 10930( 0x2AB2 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
EPG-1とEPG-2の両方にグローバルPcTagが設定され、EPG-1はPcTag 18、EPG-2はPcTag 10938になっています。
EPG-2からEPG-1へのフロートレース
共有サービス契約が両方のEPGで提供および消費されるため、EPG-2(Leaf 102)とEPG-1(Leaf 101)の間のパケットフローは次のプロパティを順守します。
- EPG-2はプロバイダーと見なされる
- EPG-1はコンシューマと見なされる
- リーフ101はコンシューマリーフであるため、ここでは最終的なポリシーが適用されます。
ルート情報はシナリオ1と同じです。
「プロバイダー」リーフ102
Leaf102# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
... ----------------------------------------------------------------------------------------------------------------------------------- Outer L3 Header ----------------------------------------------------------------------------------------------------------------------------------- ... IP Protocol Number : ICMP IP CheckSum : 23308( 0x5B0C ) Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 56682( 0xDD6A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 14( 0xE ) src pcTag is from local table : yes derived from a local table on this node by the lookup of src IP or MAC Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : no Contract Hit : yes Contract Aclqos Stats Index : 81873 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81873" )
dclass 14が割り当てられていることを確認します。これは、トラフィックが「permit_override」ルールを介して継続することを許可され、コンシューマリーフが最終的なポリシールックアップを実行できることを意味します。
「コンシューマ」リーフ101
Leaf101# vsh_lc
module-1# trigger reset
module-1# trigger init in-select 6 out-select 1
module-1# set outer ipv4 src_ip 192.168.10.10 dst_ip 10.10.10.10
module-1# start
module-1# ereport
----------------------------------------------------------------------------------------------------------------------------------- Inner L3 Header ----------------------------------------------------------------------------------------------------------------------------------- L3 Type : IPv4 DSCP : 0 Don't Fragment Bit : 0x0 TTL : 254 IP Protocol Number : ICMP Destination IP : 10.10.10.10 Source IP : 192.168.10.10 ----------------------------------------------------------------------------------------------------------------------------------- ----------------------------------------------------------------------------------------------------------------------------------- Contract Lookup Key ----------------------------------------------------------------------------------------------------------------------------------- IP Protocol : ICMP( 0x1 ) L4 Src Port : 0( 0x0 ) L4 Dst Port : 22874( 0x595A ) sclass (src pcTag) : 10930( 0x2AB2 ) dclass (dst pcTag) : 18( 0x12 ) src pcTag is from local table : no derived from group-id in iVxLAN header of incoming packet Unknown Unicast / Flood Packet : no If yes, Contract is not applied here because it is flooded ----------------------------------------------------------------------------------------------------------------------------------- Contract Result ----------------------------------------------------------------------------------------------------------------------------------- Contract Drop : no Contract Logging : no Contract Applied : yes Contract Hit : yes Contract Aclqos Stats Index : 81874 ( show sys int aclqos zoning-rules | grep -B 9 "Idx: 81874" )
TCAMの使用の概要
BDからBDへのシナリオでは、EPG-1とEPG-2の両方がShared Services Contract Consumerであるため、ゾーン分割ルールが2倍になっていることに注意してください。
Leaf101# show zoning-rule scope 3080192 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4117 | 10930 | 0 | implicit | uni-dir | enabled | 3080192 | | deny,log | shsrc_any_any_deny(12) | | 4129 | 18 | 14 | implicit | uni-dir | enabled | 3080192 | | permit_override | src_dst_any(9) | | 4128 | 10930 | 18 | 8 | bi-dir | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4127 | 18 | 10930 | 8 | uni-dir-ignore | enabled | 3080192 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
Leaf102# show zoning-rule scope 2260992 +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | Rule ID | SrcEPG | DstEPG | FilterID | Dir | operSt | Scope | Name | Action | Priority | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+ | 4113 | 10930 | 14 | implicit | uni-dir | enabled | 2260992 | | permit_override | src_dst_any(9) | | 4123 | 18 | 10930 | 8 | bi-dir | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | | 4124 | 18 | 0 | implicit | uni-dir | enabled | 2260992 | | deny,log | shsrc_any_any_deny(12) | | 4122 | 10930 | 18 | 8 | uni-dir-ignore | enabled | 2260992 | PJ:EPG1-EPG2 | permit | fully_qual(7) | +---------+--------+--------+----------+----------------+---------+---------+--------------+-----------------+------------------------+
結論
どちらの構成シナリオもShared Services機能を実現しますが、BDからBDへの方式は追加のTCAM消費を犠牲にします。
参考資料と役立つリンク
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
19-Oct-2022 |
固定Cisco Live Link |
1.0 |
13-Sep-2022 |
初版 |
フィードバック