Redistribuir o OSPF entre diferentes processos do OSPF

Introdução

Este documento descreve as diretrizes para a redistribuição do Open Shortest Path First (OSPF) entre diferentes processos. 

Informações de Apoio

A redistribuição entre diferentes processos é difícil e medidas especiais são necessárias para a operação apropriada da rede. Este documento também destaca algumas alterações introduzidas no software Cisco IOS®.

Por que redistribuir entre dois processos OSPF?

Pode haver vários motivos para a redistribuição entre vários processos. Estes são alguns exemplos:

• Filtrar uma rota OSPF de parte do domínio

• Domínios OSPF diferentes separados

• Migrar entre domínios separados

Embora a redistribuição entre diferentes processos possa ser necessária em certos casos, uma solução de projeto alternativa (se possível) é uma escolha mais apropriada e é discutida nas subseções desta seção.

Filtrar a rota OSPF

Rotas intra-área

No OSPF, os prefixos IP dentro de uma área não são trocados diretamente entre os roteadores. Eles fazem parte do anúncio de estado de link (LSA) que também anuncia a topologia da rede; portanto, não há como filtrar rotas dentro de uma área.

Observação: a filtragem local em um roteador (que pode ser feita para impedir que algumas rotas sejam instaladas em um determinado roteador) não é considerada uma filtragem de rota real. Isso normalmente é feito com o comando distribute-list no roteador OSPF.

Uma solução seria usar um processo diferente e filtrar as rotas desejadas nos roteadores de redistribuição; no entanto, isso realmente separa a área em dois domínios. Um projeto melhor seria separar a área em áreas diferentes e usar o recurso de filtragem do Cisco IOS tipo 3, que será explicado mais adiante.

Rotas entre áreas

No OSPF, todos os roteadores dentro de uma área têm exatamente a mesma topologia. Uma área não tem conhecimento da topologia de outra área; portanto, ela se baseia nas informações anunciadas pelos roteadores de borda de área (ABRs) conectados.

As informações anunciadas dentro de uma área por um ABR (como um LSA tipo 3) são, na verdade, os prefixos IP que são aprendidos de áreas remotas ou que são calculados para outras áreas conectadas.

Um ABR origina estas rotas:

• Rotas intra-área sem backbone no backbone

• Rotas intra-área de backbone e inter-área em área não backbone

Portanto, entre áreas, há um comportamento de vetor de distância que pode ser aproveitado para filtrar rotas entre áreas.

O software Cisco IOS® implementou um recurso de filtragem entre áreas. Para obter mais informações sobre esse recurso, consulte Filtragem LSA Tipo 3 do ABR do OSPF.

Filtragem de rota externa

Como as rotas externas são anunciadas como LSAs tipo 5 e são inundadas em todo o domínio, exceto em áreas de stub e em NSSAs (not-so-stubby areas), não há atualmente nenhuma maneira de filtrar um LSA tipo 5. Uma solução é ter um processo diferente e filtrar entre processos durante a redistribuição.

Manter domínios OSPF diferentes separados

É visto como uma prática comum usar diferentes processos OSPF para separar diferentes domínios de roteamento IP, para fins administrativos ou para segmentar o domínio de roteamento e controlar as informações de roteamento no ponto de redistribuição.

Pode-se notar, no entanto, que a instabilidade em um domínio pode afetar o outro domínio. Por exemplo, se houver uma alteração na rede OSPF (tipos 1 e 2) onde um roteador de limite de sistema autônomo (ASBR) reside entre os dois domínios, todos os LSAs tipo 5 são reoriginados e inundados em todo o domínio remoto. Assim, se houver uma instabilidade constante em uma rede, isso pode levar a uma injeção e retirada constantes de LSAs tipo 5 no outro domínio.

Uma opção de design melhor é usar o Border Gateway Protocol (BGP) entre domínios diferentes. Nesse caso, a troca de OSPF entre domínios diferentes passa pelo BGP; e, como o BGP tem a capacidade de amortecimento, a instabilidade em um domínio pode ser menos visível no outro domínio.

Redistribuir entre diferentes processos do OSPF

Como mencionado anteriormente, pode haver uma solução alternativa para a redistribuição entre vários processos. A seção mostra como a redistribuição entre diferentes processos pode ser planejada cuidadosamente, dependendo do número de pontos de redistribuição.

Regra de preferência de rota OSPF

A regra de seleção de rotas OSPF é que as rotas intra-área têm preferência sobre as rotas inter-área, que têm preferência sobre as rotas externas. No entanto, essa regra pode ser aplicada a rotas aprendidas por meio do mesmo processo. Em outras palavras, não há preferência entre rotas externas de um processo em comparação com rotas internas de outro processo.

A regra de preferência entre um determinado processo OSPF e qualquer outro processo (seja ele OSPF ou outro protocolo de roteamento) pode usar a regra de distância administrativa. No entanto, como processos OSPF diferentes têm a mesma distância administrativa por padrão, a distância OSPF pode ser configurada explicitamente para processos OSPF diferentes a fim de alcançar o comportamento desejado.

Observação: antes do bug da Cisco ID CSCdi7001 - corrigido no Cisco IOS Software Release 11.1 e posterior - a distância administrativa entre os processos não funcionava corretamente, e as rotas internas de um processo eram preferíveis às rotas externas de outro processo.

Um único ponto de redistribuição

Quando há um único ponto de redistribuição, toda a troca entre os domínios ocorre em um único ponto e não há como formar um loop de redistribuição. Este é um exemplo de configuração:

Imagem 1

router ospf 1
redistribute ospf 2 subnet

router ospf 2
redistribute ospf 1 subnet

Dois pontos de redistribuição

É mais complicado quando há dois pontos de redistribuição. Se a redistribuição for feita em ambos os pontos de uma rede sem nenhum cuidado especial, poderão ocorrer resultados inesperados.

Considere a próxima topologia, em que os Roteadores A e B se redistribuem mutuamente entre os dois domínios. Essa configuração não funciona e é demonstrada mais adiante nesta seção.

Imagem 2

router ospf 1
redistribute ospf 2 subnet

router ospf 2
redistribute ospf 1 subnet

Dada uma Rede N no Domínio 1, os Roteadores A e B aprendem a Rede N como uma rota interna no Domínio 1. Como redistribuem o processo 1 no processo 2, a mesma Rede N é aprendida no Domínio 2 como uma rota externa.

Agora, em cada roteador, a rede interna aprendida por um processo compete com a rede externa de outro processo. Como mencionado anteriormente, não há regra de preferência entre diferentes processos; portanto, o resultado seria indeterminístico, pois ambos os processos têm a mesma distância administrativa.

Nota: Isto pode levar a uma injeção constante e retirada de um tipo 5 de um processo para o outro.

Antes do bug da Cisco ID CSCdw10987 (somente clientes registrados e integrados no Cisco IOS® Software Releases 12.2(07.04)S, 12.2(07.04)T e posteriores), o último processo para criar um SPF (shortest path first algorithm) teria vencido, e os dois processos sobrescrevem outras rotas na tabela de roteamento. Agora, se uma rota é instalada através de um processo, ela não é substituída por outro processo OSPF com o mesmo domínio administrativo (AD), a menos que a rota seja excluída primeiro da tabela de roteamento pelo processo que instalou inicialmente a rota na tabela de roteamento.

Distância administrativa

Ao usar a redistribuição entre vários processos, você pode usar a distância administrativa para preferir um processo em vez de outro, pois as preferências de rota OSPF se aplicam somente dentro do mesmo processo. No entanto, isso não é suficiente para uma operação adequada na rede, como explicado mais adiante nesta seção.

Imagem 3

router ospf 1
redistribute ospf 2 subnet
distance ospf external 200

router ospf 2
redistribute ospf 1 subnet
distance ospf external 200

Operação de rede sem falha de rede

Considere uma Rede N no Domínio 1, onde N é conhecida como uma rota interna no Domínio 1 e é redistribuída pelo Roteador A e pelo Roteador B. Como a distância administrativa das rotas externas foi aumentada, os Roteadores A e B escolheram o processo 1 do OSPF para acessar a Rede N.

De forma mais geral, todas as redes internas ao Domínio 1 são alcançadas pelo Domínio 1 e todas as redes internas ao Domínio 2 são alcançadas pelo Domínio 2, tanto pelo Roteador A quanto pelo Roteador B. Outros roteadores em cada domínio escolhem o ASBR mais próximo (se o tipo de métrica 2 for usado) ou o caminho mais curto através de um dos ASBRs (se o tipo de métrica 1 for usado).

Se houver prefixos externos para ambos os domínios (que vêm de alguns outros pontos de redistribuição), o mesmo problema ainda ocorre porque a distância administrativa para essas rotas externas é a mesma em ambos os processos. Se você fizer com que a distância administrativa dos processos externos seja diferente, isso não resolverá o problema. Este é um exemplo:

Imagem 4

O roteador C (ASBR) anuncia o N externo no Domínio 1. Esse prefixo é redistribuído pelos Roteadores A e B no Domínio 2 e atinge cada um dos roteadores; portanto, N é externo em ambos os domínios. Para ter operações adequadas, a distância administrativa das rotas externas precisa ser diferente para os dois processos, de modo que um domínio seja preferível ao outro. Suponha que a distância administrativa para o Domínio 1 esteja definida como inferior ao Domínio 2.

Agora, se o Roteador D (ASBR) anunciar M externo no Domínio 2, esse prefixo será redistribuído pelos Roteadores A e B no Domínio 1 e alcançará cada um dos roteadores. Assim, M pode ser externo em ambos os domínios e, como a distância administrativa é menor para o Domínio 1, M pode ser alcançado através do Domínio 1. Esta sequência de eventos pode ocorrer:

1. O Roteador A (Roteador B) redistribui M no Domínio 1 e o M externo pode acessar o Roteador B (Roteador A).

2. Como a distância administrativa do Domínio 1 é menor que a do Domínio 2, o Roteador A (Roteador B) instala M através do Domínio 1 e define para maximizar seu LSA originado anteriormente (evento 1) no Domínio 1.

3. Como M foi definido para o máximo no Domínio 2, o Roteador A (Roteador B) instala M pelo Domínio 2 e, portanto, redistribui M no Domínio 2.

4. Idêntico ao evento 1.

Esse ciclo continua, e a maneira de corrigi-lo é ter o prefixo do Domínio 2 acessível por meio do Domínio 2. No entanto, se a distância administrativa for definida como menor para o Domínio 2, o mesmo problema ocorrerá para o Domínio 1 e para o prefixo N.

A solução é definir a distância administrativa com base no prefixo. Consulte as seções Filtragem Baseada em Prefixo e Filtragem Baseada em Prefixo e Distância Administrativa Baseada em Prefixo para obter mais informações.

Operação de Rede com Falha de Rede

Você deseja que um domínio faça backup do outro domínio, caso um domínio esteja inacessível.

Por exemplo, considere o caso em que o Roteador A perdeu a conectividade com a Rede N através do Domínio 1. Uma vez que o Roteador A perde sua conectividade através do Domínio 1, ele libera seu LSA gerado anteriormente anunciando a Rede N no Domínio 2 e instala o caminho para a Rede N através do Domínio 2 através da rede externa recebida de B. Como o processo 2 é redistribuído no processo 1, o roteador A também injeta uma Rede N externa no Domínio 1.

Observação: quando o Roteador A tinha conectividade com a Rede N, ele usava o processo 1 devido à melhor distância administrativa, e o processo 2 era mantido para informações de backup. Quando o caminho através do processo 1 se tornar inalcançável, o processo 2 é usado para conectividade.

Imagem 5

Agora, todos os roteadores no Domínio 2 usam o Roteador B para acessar a Rede N; e o Roteador A (ou a parte do Domínio 1 que perdeu a conectividade com a Rede N através do Domínio 1) usa o Domínio 2 para a conectividade com a Rede N. Esse cenário permanecerá válido se o Roteador B tiver perdido a conectividade com a Rede N, em vez do Roteador A.

Se o Roteador A e o Roteador B perderem conectividade com a Rede N (por exemplo, se o Roteador C ficar inativo), esta sequência de eventos poderá ocorrer:

1. Antes que a Rede N se torne inalcançável, os Roteadores A e B aprenderam a Rede N através do processo 1 e a redistribuíram no processo 2 como externa.

2. Os Roteadores A e B detectam (quase ao mesmo tempo) que a Rede N está inacessível através do Domínio 1; portanto, eles descarregam seu N externo anteriormente no Domínio 2.

3. Antes de o Roteador A (Roteador B) receber o LSA liberado do Roteador B (Roteador A), ele instala o N externo através do Domínio 2 (uma distância administrativa maior) como a rota de backup.

4. Como o Roteador A (Roteador B) instalou N através do processo 2, ele gera um N externo no Domínio 1.

5. O Roteador A (Roteador B) recebe o LSA liberado (evento 1) do Roteador B (Roteador A). Ele remove a Rede N através do processo 2 e, portanto, descarrega o N externo no Domínio 1. A Rede N foi aprendida pelo Domínio 2 e redistribuída no Domínio 1.

6. Antes de o Roteador A (Roteador B) receber o LSA liberado do Roteador B (Roteador A), ele instala a Rede N externa através do Domínio 1, porque N foi liberado através do Domínio 2.

7. Como o Roteador A (Roteador B) instalou a Rede N através do processo 1, ele gera um N externo no Domínio 2.

Você pode ver que há uma condição de corrida que pode aparecer de um domínio para o outro. Nos eventos 1, 4 e 7, o Roteador A gera uma Rede N externa no Domínio 2 e, nos eventos 2 e 5, o Roteador A retira o prefixo. O problema ocorre porque as rotas aprendidas por meio de um domínio são redistribuídas de volta para o mesmo domínio.

Solução proposta

Esta seção mostra como impedir que uma rota que pertence a um domínio seja redistribuída de volta ao mesmo domínio para evitar loops de roteamento.

Usar o comando Distance 255

A seção anterior mostra como um loop de roteamento é criado se os prefixos aprendidos de um domínio forem redistribuídos de volta para o mesmo domínio. Como a redistribuição ocorre a partir de uma tabela de roteamento, você pode impedir que uma rota que pertence ao Domínio 1, e que é aprendida do roteador remoto sobre o Domínio 2, seja instalada na tabela de roteamento. Portanto, o roteador não redistribui essas rotas de volta ao Domínio 1.

Para fazer isso, insira o comando distance 255 router_ID inverse_mask access-list. Esse comando diz ao roteador para negar todos os prefixos recebidos por um roteador remoto com o ID de roteador especificado e que correspondam à lista de controle de acesso (ACL) da tabela de roteamento.

Observação: o comando distance 255 dá uma distância de 255 a essas rotas e, portanto, impede sua instalação na tabela de roteamento.

Na Imagem 6, o Roteador A usa o comando access-list 1 para corresponder todas as rotas no Domínio 1 e usa o comando distance 255 no processo 1 para negar as rotas recebidas do Roteador B que correspondem aos prefixos que pertencem ao Domínio 1.

Quando você usa o comando distance 255, ele nega qualquer rota recebida do Roteador B que pertença ao Domínio 1. Como o Roteador B redistribui todas as rotas no Domínio 1 no Domínio 2, o Roteador A não instala essas rotas e, portanto, não redistribui novamente no Domínio 1.

Observação: a interface conectada do Roteador B no Domínio 1 pode ser excluída da ACL.

Imagem 6

router ospf 1
redistribute ospf 2 subnet
distance 255 <Router B> 0.0.0.0 2
!
access-list 1

!--- Matches the router in Domain 2.


router ospf 2
redistribute ospf 1 subnet
distance 255 <Router B> 0.0.0.0 1
!
access-list 2

!--- Matches the route in Domain 1.

router ospf 1
redistribute ospf 2 subnet
distance 255 <Router A> 0.0.0.0 2
!
access-list 1

!--- Matches the router in Domain 2.


router ospf 2
redistribute ospf 1 subnet
distance 255 <Router A> 0.0.0.0 1
!
access-list 2

!--- Matches the route in Domain 1.

O comando anterior distance ospf external 200 não é mais necessário porque as rotas aprendidas do roteador remoto através de um dos processos não estão instaladas.

Essa configuração funciona corretamente nos casos em que ambos os roteadores perdem conectividade com a rede (conforme descrito em Operação de Rede sem Falha de Rede e Operação de Rede com Falha de Rede). No entanto, como os prefixos são negados da tabela de roteamento, os domínios não podem fazer backup um do outro.

Observação: você deve listar explicitamente todos os prefixos de cada domínio em uma ACL. A manutenção dessa ACL pode ser muito difícil.

Filtrar rotas com base em marcas

Há um novo recurso no software Cisco IOS (do bug da Cisco ID CSCdt43016 (somente clientes registrados) ) que permite filtrar rotas com base na tag. Para evitar a redistribuição de rotas de um domínio de volta para o mesmo domínio, um roteador pode marcar uma rota que pertença a um domínio enquanto está sendo redistribuída e você pode filtrar essas rotas no roteador remoto com base na mesma marca. Como as rotas não são instaladas na tabela de roteamento, elas não são redistribuídas de volta no mesmo domínio.

Imagem 7

router ospf 1
redistribute ospf 2 subnet tag 1
distribute-list 1 route-map filter_domain2 in
!
route-map filter_domain2 deny 10
match tag 2
route-map filter_domain2 permit 20

router ospf 2
redistribute ospf 1 subnet tag 2
distribute-list 1 route-map filter_domain1 in
!
route-map filter_domain1 deny 10
match tag 1
route-map filter_domain1 permit 20

Quando você estiver redistribuindo a partir do Domínio 1, as rotas serão marcadas com a tag 1 e filtradas no roteador remoto com base na mesma tag. Quando você estiver redistribuindo a partir do Domínio 2, as rotas serão marcadas com a tag 2 e serão filtradas no roteador remoto com base na mesma tag.

Observação: o comando anterior distance ospf external 200 não é mais necessário porque a rota aprendida do roteador remoto através de um dos processos não está instalada.

Essa configuração funciona corretamente nos casos em que ambos os roteadores perdem conectividade com a rede (conforme descrito em Operação de Rede sem Falha de Rede e Operação de Rede com Falha de Rede). No entanto, como os prefixos são negados da tabela de roteamento, os domínios não podem fazer backup um do outro.

Usar a palavra-chave interna Match durante a redistribuição

Ao redistribuir a partir de um domínio, você pode usar a palavra-chave match internal para redistribuir apenas as rotas internas que pertencem a um domínio em outro domínio. Isso evita a redistribuição de prefixos que já são externos de volta ao mesmo domínio.

Imagem 8

router ospf 1
redistribute ospf 2 subnet match internal
distance ospf external 200
!

router ospf 2
redistribute ospf 1 subnet match internal
distance ospf external 200
!

Essa configuração funciona corretamente nos casos em que ambos os roteadores perdem conectividade com a rede (conforme descrito em Operação de Rede sem Falha de Rede e Operação de Rede com Falha de Rede). Um domínio pode fazer backup do outro domínio.

Se já houver prefixos externos em qualquer um dos domínios (como prefixos externos que foram redistribuídos por meio de outro protocolo), esses prefixos não serão redistribuídos para outros domínios, pois somente os prefixos internos serão redistribuídos. Além disso, não há controle sobre os prefixos externos, e todos os prefixos externos podem ser bloqueados.

Filtragem com base em prefixo

Quando você está redistribuindo de um domínio, os prefixos podem ser comparados com uma ACL para evitar a redistribuição de prefixos que pertencem a um domínio de volta para o mesmo domínio.

Imagem 9

router ospf 1
redistribute ospf 2 subnet route-map filter_domain2
distance ospf external 200
!
route-map filter_domain2 permit 10
match ip address 1
!
access-list 1

!--- Matches the prefix in Domain 1.


router ospf 2
redistribute ospf 1 subnet route-map filter_domain1
distance ospf external 200
!
route-map filter_domain1 permit 20
match ip address 2
!
access-list 2

!--- Matches the prefix in Domain 2.

Essa configuração funciona corretamente nos casos em que ambos os roteadores perdem conectividade com a rede (conforme descrito em Operação de Rede sem Falha de Rede e Operação de Rede com Falha de Rede). Um domínio pode fazer backup do outro domínio.

Observação: você deve listar explicitamente todos os prefixos de cada domínio em uma ACL. A manutenção dessa ACL pode ser muito difícil. Outra solução é marcar prefixos durante a distribuição e filtrar as marcas correspondentes.

Imagem 10  

router ospf 1
redistribute ospf 2 subnet tag 1 route-map filter_domain2
distance ospf 2 external 200
!
route-map filter_domain2 deny 10
match tag 2
route-map filter_domain2 permit 20

router ospf 2
redistribute ospf 1 subnet tag 2 route-map filter_domain1
distance ospf 1 external 200
!
route-map filter_domain1 deny 10
match tag 1
route-map filter_domain1 permit 20

Filtragem com base em prefixo e distância administrativa com base em prefixo

Como mencionado na seção Distância Administrativa, há necessidade de uma distância administrativa baseada em prefixo onde há prefixos externos originados por outros ASBRs em cada domínio. No próximo exemplo de topologia, ASBR1 e ASBR2 redistribuem as redes X e Y no domínio 1 e no domínio 2, respectivamente.

Este exemplo usa uma ACL para corresponder todos os prefixos (internos e externos) que pertencem a um domínio e usa o comando distance para aumentar a distância administrativa de prefixos que não pertencem inicialmente ao domínio correspondente.

Imagem 11

router ospf 1
redistribute ospf 2 subnet route-map filter_domain2
distance 200 0.0.0.0 255.255.255.255 2
!
route-map filter_domain2 permit 10
match ip address 2
!
access-list 1

!--- Matches the prefixes in Domain 1.

access-list 2

!--- Matches the prefixes in Domain 2.


router ospf 2
redistribute ospf 1 subnet route-map filter_domain1
distance 200 0.0.0.0 255.255.255.255 1
!
route-map filter_domain1 permit 10
match ip address 1
!
access-list 1

!--- Matches the prefixes in Domain 1.

access-list 2

!--- Matches the prefixes in Domain 2.

O comando distance 200 0.0.0.0 255.255.255.255 2 no processo 1 define a distância administrativa de todos os prefixos que pertencem ao Domínio 2 como 200; portanto, os Roteadores A e B usam o Domínio 1 para acessar prefixos que pertencem ao Domínio 1.

Observação: você deve listar explicitamente todos os prefixos externos de cada domínio em uma ACL. A manutenção dessa ACL pode ser muito difícil.

Summary

Quando há mais de um ponto de redistribuição entre domínios OSPF, os loops de roteamento podem ocorrer facilmente. Para evitar loops de roteamento, os prefixos que pertencem a um domínio não podem ser redistribuídos de volta para o mesmo domínio. Além disso, as distâncias administrativas dos processos OSPF podem ser definidas corretamente. Estes cinco métodos foram propostos neste documento:

• Use o comando distance 255.

• Filtrar com base em marcas.

• Use a palavra-chave match internal durante a redistribuição.

• Use a filtragem baseada em prefixo durante a redistribuição.

• Use a filtragem baseada em prefixo e a distância administrativa baseada em prefixo.

As duas primeiras soluções impedem que as rotas que pertencem a um domínio sejam instaladas na tabela de roteamento, o que impede a redistribuição delas de volta para o mesmo domínio.

Observação: como os prefixos são negados da tabela de roteamento, os domínios não podem fazer backup um do outro.

Você pode usar as três últimas soluções para fazer backup de um domínio com outro domínio, se necessário. No entanto, você pode observar estas advertências:

• A solução interna de correspondência não permite que você tenha controle sobre os prefixos, e todos os prefixos externos são bloqueados para redistribuição. Em outras palavras, se houver prefixos externos de outros ASBRs, esses LSAs não serão redistribuídos de um domínio para o outro.

• A solução de filtragem baseada em prefixo de uso durante a redistribuição permite que um domínio faça backup de outro domínio. No entanto, o backup só funciona corretamente quando não há rotas externas do outro ASBR.

• A solução de filtragem baseada em prefixo e de distância administrativa baseada em prefixo é a única solução que permite que um domínio faça backup de outro domínio na presença de rotas externas de outros ASBRs.

Este documento se refere repetidamente ao uso de um domínio para fazer backup de outro domínio. Pode-se observar que o backup significa que o Roteador A pode perder sua conexão com parte do domínio por meio de um determinado domínio (como o Domínio 1) e, em seguida, pode usar o outro domínio (Domínio 2) para rotear corretamente para os destinos que não podem ser acessados por meio do Domínio 1.

No entanto, se um domínio for particionado porque os prefixos não são redistribuídos de volta para o domínio original, o outro domínio não poderá fazer backup do domínio particionado, a menos que os prefixos sejam redistribuídos de volta para o domínio original. No entanto, como observado nas seções Distância Administrativa e Operação de Rede com Falha de Rede, isso pode introduzir outros problemas.

Informações Relacionadas

• Página de suporte de OSPF
• Suporte Técnico e Documentação - Cisco Systems