Como configurar o espelhamento remoto de portas para malhas EVPN-VXLAN

Neste exemplo, habilitamos o espelhamento remoto de porta em um switch spine enxuto. O tráfego espelhado é enviado através de um túnel GRE para a estação de monitoramento remoto. Este caso de uso é baseado no método de instância de espelhamento de porta.

Este exemplo usa uma arquitetura EVPN-VXLAN ERB na qual ocorre o roteamento de identificador de rede inter-virtual (VNI) unicast nos dispositivos leaf. Os dispositivos lean spine não terminam nenhum túnel VXLAN. Eles fornecem encaminhamento ip e, no caso de um overlay baseado em IBGP, recursos de reflexão de rotas. Nosso overlay é baseado em EBGP, por isso não usamos o reflexão de rotas.

Essa configuração espelha todo o tráfego enviado entre os dispositivos leaf. A estação de monitoramento captura tráfego intra-VLAN (ponte) e inter-VLAN (roteado) para todas as VLANs nas folhas. As informações específicas do locatário não são fornecidas nos dispositivos lean spine, mas você pode habilitar as sessões de espelhamento no lean spine.

Esteja ciente da capacidade da porta do analisador. Uma grande quantidade de tráfego passa pela porta do analisador porque você está espelhando todo o tráfego de overlay enviado entre o pareamento leaf. Os dispositivos leaf são conectados à spine com duas interfaces 40GE, de modo que eles têm a capacidade de transportar grandes volumes de tráfego. Os switches têm recursos de buffer limitados. As quedas de quadro ocorrem se você espelhar mais tráfego do que a estação de monitoramento suporta.

Para adicionar capacidade, use uma interface Ethernet agregada com vários membros do link. Reduza a carga de tráfego realizando espelhamento nos dispositivos leaf e espelhando seletivamente o tráfego para apenas determinados locatários.

Este exemplo de configuração usa os componentes de hardware e software mostrados nos Requisitos. Os dispositivos da topologia começam com suas configurações de linha de base conforme fornecido no Apêndice: Configurações completas de dispositivos.

Como mostrado na Figura 2, o Spine 1 espelha o tráfego de overlay de entrada e saída que flui entre Leaf 1 e Leaf 4 por meio de um filtro de firewall aplicado à sua interface et-0/0/7. Essa interface se conecta ao servidor Leaf 1. O tráfego de overlay é gerado pelo envio de tráfego de ping entre o Servidor 1 e o Servidor 2. O tráfego espelhado é enviado pelo Spine 1 para a estação de monitoramento remoto conectada à interface xe-0/33:1 na borda Leaf 3.

Figura 2: topologia da espelhamento remoto de portas por dispositivo spine

A spine usa um túnel GRE para enviar o tráfego espelhado para a estação de monitoramento. O GRE é necessário, pois o tráfego espelhado pode ser a Camada 2 ou a Camada 3 de sobreposição e, portanto, não pode ser direcionado roteado sobre a camada inferior da malha. O túnel GRE se forma automaticamente quando a acessibilidade de IP em direção à sub-rede de monitoramento 172.16.1.0/24 é estabelecida por meio da subjacência.

O servidor 1 é um único lar do Leaf 1 neste cenário.

Use este exemplo para espelhar o tráfego que passa pelo Spine 1. Para espelhar todo o tráfego, repita a configuração no Spine 2. Quando o espelhamento de porta é configurado nos Spines 1 e 2, o tráfego é espelhado independentemente de qual malha ECMP next hop é selecionada pelo leaf.

1. (Opcional) Desativar o BGP no Spine 2. Para nossos fins de teste, desativamos a estrofe BGP no Spine 2. Dessa forma, podemos nos concentrar apenas no Spine 1 e garantir que todo o tráfego entre Leaf 1 e Leaf 4 seja espelhado.

   Depois de desativar o BGP no Spine 2, o Leaf 1 tem um único próximo salto para chegar ao loopback do Leaf 4. Isso é através do Spine 1 por meio de sua interface et-0/0/48.

2. Crie uma instância de espelhamento no Spine 1 para enviar o tráfego espelhado para a estação de monitoramento remota.

3. Spines enxutos não são conscientes de sobreposição em uma malha ERB. Todo o tráfego encapsulado por VXLAN enviado entre dispositivos leaf usa o endereço VTEP local. O endereço VTEP normalmente combina com o endereço de loopback do dispositivo. Isso significa que podemos usar um filtro nos dispositivos spine para combinar nos endereços de loopback dos dispositivos leaf relacionados para direcionar o tráfego para a instância de espelhamento da porta.

   No Spine 1, crie filtros de firewall que correspondam aos endereços IP de origem e destino do Leaf 1 e Leaf 4. Ao combinar o IP de origem e destino, todo o tráfego de sobreposição enviado entre essas folhas é espelhado no túnel GRE.

   Nota:

   Como os spines enxutos não têm reconhecimento de VXLAN, esse método espelha todo o tráfego de overlay enviado pelo dispositivo leaf. Por exemplo, se o leaf tiver 100 VLAN ou VXLAN VNIs definidos, o tráfego para todas as 100 VNIs será espelhado. Se você quiser se espelhar em um nível mais fino de granularidade, veja Exemplo: solução de ingresso para um dispositivo EVPN-VXLAN ERB Fabric Leaf. Nesse exemplo, a função espelhada ocorre no dispositivo leaf com reconhecimento de VXLAN.

   Defina um filtro de firewall para tráfego enviado do Leaf 1. Em nosso exemplo, todo o tráfego VXLAN enviado pelo Leaf 1 (pelos spines) tem um endereço de origem de 10.1.255.11. Todo o tráfego VXLAN enviado pelo Leaf 4 tem um endereço de origem de 10.1.255.14.

   Defina um filtro de firewall para tráfego enviado do Leaf 4.

4. Aplique os filtros de firewall nas interfaces de malha voltadas para Leaf 1 e Leaf 4 no Spine 1.

   Observe a direcionalidade da aplicação do filtro. Nossos filtros acomodam uma plataforma QFX5110, que oferece suporte apenas a filtros de entrada para espelhamento de porta, conforme a Tabela 2. Ao usar filtros de entrada compatíveis com o VTEP da folha local como endereço de origem e o VTEP da folha remota como endereço de destino, garantimos que apenas o tráfego de sobreposição entre essas duas folhas seja espelhado. Se você quiser espelhar todo o tráfego VXLAN enviado por uma folha, independentemente da folha de destino, basta combinar com o endereço de origem da folha local em seu filtro.

5. (Opcional) Adicione quaisquer filtros adicionais.

   Neste exemplo, até agora, assumimos que o Servidor 1 é de casa única apenas para o Leaf 1. Se o servidor for multihomed para Leaf 1 e Leaf 2, você precisa adaptar os filtros mostrados para também pegar o tráfego enviado do Leaf 2 para o Leaf 4, e vice-versa.

   Como exemplo, essas declarações criam um filtro de entrada para a interface voltada para o Leaf 2 do Spine 1:

   Uma rápida modificação no filtro existente port-mirror-from-leaf4 também é necessária para combinar com o endereço de destino do 2 VTEP do Leaf.

6. Comprometa as mudanças na Spine 1.

   As alterações da linha de base EVPN-VXLAN inicial são mostradas:

7. Modifique a configuração no Leaf 3 para configurar a interface xe-0/0/33:1 conectada à estação de monitoramento.

   O dispositivo leaf conectado à estação de monitoramento não precisa de configuração GRE explícita. Isso ocorre porque o túnel GRE termina na estação de monitoramento. Você deve garantir que o endereço IP da estação de monitoramento seja alcançável na camada inferior da malha. De forma diferente, a spine não pode enviar o tráfego encapsulado gre para a estação de monitor se não tiver acessibilidade subjacente à estação de monitoramento.

8. Modifique a política de exportação de underlay na borda Leaf 3 para anunciar o prefixo da estação de monitoramento. Nossa topologia usa um underlay EBGP. Nós simplesmente adicionamos um novo termo à política de exportação subjacente existente.

9. Comprometa as mudanças no Leaf 3 da borda.

   As alterações na linha de base inicial são mostradas:

1. Verifique a conectividade subjacente desde o Spine 1 até a estação de monitoramento.

   Na Spine 1, exibir a rota para 172.16.1.0/24.

   Nota:

   Estritamente falando, é necessária apenas uma conectividade simples entre a spine e a estação de monitoramento. Configuramos uma rota estática na estação de monitoramento para permitir que ela chegue à camada inferior da malha. Isso permite o teste de ping para isolamento de falhas.

   Ping na estação de monitoramento para confirmar a conectividade.

   A saída confirma a capacidade de alcance do underlay esperada da spine até a estação de monitoramento.

2. Confirme as instâncias de espelhamento de porta no Spine 1. Na Spine 1, verifique se o estado de espelhamento remoto da porta é up.

   A saída confirma a definição correta da instância de espelhamento de porta. O estado indica up que a spine tem uma rota subjacente até a estação de monitoramento. Lembre-se que o GRE é um protocolo stateless. É por isso que é uma boa ideia verificar a conectividade entre a spine e a estação de monitoramento, como fizemos na etapa anterior.

3. Verifique se os filtros aplicados ao Spine 1 refletem corretamente o tráfego de teste.

   Libere os contadores pouco antes de gerar pings.

   Inicie pings entre o Servidor 1 e o Servidor 2 na malha.

   Agora exibir os contadores de firewall no Spine 1. Verifique se os filtros aplicados ao Spine 1 refletem corretamente o tráfego de teste. Nossa topologia de exemplo tem apenas um VLAN e um par de servidores. Isso torna mais fácil correlacionar o tráfego de teste para filtrar correspondências. Qualquer contagem não zero é um bom sinal de que o filtro está funcionando.

   Os contadores de firewall refletem corretamente o tráfego de teste entre os dois servidores.

4. Confirme que o tráfego enviado entre o Servidor 1 e o Servidor 2 é espelhado na Spine 1 e enviado para a estação de monitoramento.

   Mais uma vez, gere tráfego entre o Servidor 1 e 2 (não mostrado para brevidade). Use a opção rapid em seu comando de ping para gerar um volume maior de tráfego de teste que facilita a correlação.

   O tráfego de interface de monitor conta com a interface na borda leaf 3 que se conecta à estação de monitoramento. Confirme que a contagem de pacotes de saída reflete o tráfego de teste gerado.

   A saída confirma que o tráfego é espelhado na estação de monitoramento. A falta de pacotes de entrada é esperada, pois a estação de monitor não gera respostas ao tráfego GRE recebido.

5. Use Wireshark ou um aplicativo de analisador equivalente para capturar e decodificar o tráfego espelhado.

   Figura 3: Análise de tráfego espelhado

   A captura mostra que o Servidor 1 envia tráfego de ping para o Servidor 2, e que o Servidor 2 responde. Isso confirma que o tráfego de sobreposição enviado entre a combinação Leaf 1 e Leaf 4 é corretamente espelhado no Spine 1. Observe que o tráfego encapsulado VXLAN (porta UDP 4789) está, por sua vez, encapsulado em GRE (protocolo IP 47). O tipo de protocolo do cabeçalho GRE é "ERSPAN" (comparável ao espelhamento remoto de portas) e todas as outras bandeiras estão definidas para zero.

   O decódigo permite que você veja o VTEP leaf ou endereços de loopback usados na camada inferior (10.1.255.x). Também está presente o quadro de Camada 2 original enviado pelos servidores, agora mostrado como encapsulado no VXLAN usando o VNI 101. O pacote IP enviado pelos servidores também é decodificado. Os endereços IP usados pelos servidores na sobreposição são visíveis (10.1.100.x/24), assim como os detalhes dos pacotes IP/ICMP que geraram.

   Você configurou com sucesso o espelhamento de porta em sua topologia.

Use o exemplo a seguir para espelhar o tráfego que flui por um dispositivo leaf em uma malha EVPN-VXLAN ERB. Ao contrário do cenário de espelhamento de porta com base em spine enxuto coberto pelo primeiro exemplo, o leaf tem reconhecimento de tenant e VLAN em um design ERB. Isso significa que podemos espelhar tráfego específico enviado entre nossos dispositivos leaf em vez de todo o tráfego overlay. Os fluxos de locatário que correspondem aos critérios de filtragem no dispositivo leaf ERB são espelhados em um túnel GRE que termina na estação de monitoramento anexada à borda leaf 3.

Este exemplo de configuração usa os componentes de hardware e software mostrados nos Requisitos. Os dispositivos da topologia começam com suas configurações de linha de base conforme fornecido no Apêndice: Configurações completas de dispositivos.

A Figura 4 mostra a topologia para espelhamento remoto de portas com recursos de filtragem de fluxo de tenant.

Figura 4: topologia do espelhamento remoto de portas através do dispositivo Leaf

Observe que o Servidor 1 ainda é exclusivo do Leaf 1. A diferença é que os filtros e a instância de espelhamento de porta agora são definidos no dispositivo leaf. O objetivo é combinar todo o tráfego enviado pelo Servidor 1 à sub-rede 10.1.101.0/24 associada ao VLAN 101. O tráfego enviado dos destinos do Servidor 1 para VLAN 101 é compatível e enviado para a estação de espelhamento de portas na borda Leaf 3.

1. Configure uma instância de espelhamento de porta no Leaf 1. Use o endereço IP 172.16.1.2 para a estação de monitoramento.

2. Em seguida, crie um filtro de firewall que corresponda à sub-rede atribuída ao VLAN 101. O objetivo é espelhar todo o tráfego intra-VLAN 101 enviado pelo Servidor 1 até o Leaf 1. Para pegar o tráfego inter-VLAN, especifique a sub-rede do VLAN alvo para o endereço de destino.

   Nota:

   Se você quiser espelhar apenas o tráfego roteado (inter-VLAN), use um family inet filtro aplicado à interface IRB da VLAN. Apenas uma interface IRB é definida para cada VLAN. Um filtro aplicado à interface IRB da VLAN captura todo o tráfego inter-VLAN para o VLAN associado, independentemente de qual porta do painel frontal o tráfego chega.

   O método aqui mostrado funciona para tráfego inter-VLAN e intra-VLAN, mas exige que os filtros sejam aplicados a interfaces voltadas para servidores com base em sua assinatura VLAN. Um inet filtro aplicado a uma interface IRB não vê tráfego em ponte (intra-VLAN).

3. Aplique o filtro de firewall de espelhamento de porta remota na porta de acesso anexada ao Servidor 1 na direção da entrada.

   Nota:

   Nos switches QFX5110 e QFX5120, o filtro de firewall não pode ser aplicado na direção de saída ou usado nas interfaces de malha conectadas aos dispositivos spine.

4. O Leaf 3 de borda não precisa ser configurado para realizar o des encapsulamento GRE, já que o túnel GRE termina na estação de monitoramento. No entanto, o Leaf 3 precisa anunciar a alcance da sub-rede da estação de monitoramento na subjacência da malha. Configure o seguinte no Leaf 3 para estabelecer a alcance da estação de monitoramento.

   Comece configurando a interface xe-0/0/33:1 conectada à estação de monitoramento.

5. Modifique a política de exportação de underlay na borda Leaf 3 para anunciar o prefixo da estação de monitoramento. Nossa topologia usa um underlay EBGP. Nós simplesmente adicionamos um novo termo à política de exportação subjacente existente.

6. Confirmar a configuração.

   As mudanças da linha de base inicial são mostradas no Leaf 1.

   Você configurou com sucesso o espelhamento remoto de porta através de um dispositivo leaf em uma malha EVPN-VXLAN ERB.

Um identificador de segmento de Ethernet (ESI) é o número exclusivo de 10 byte que identifica um segmento Ethernet em uma malha EVPN-VXLAN conectada ao servidor. A ESI está configurada na interface que se conecta ao servidor. Quando vários links formam um grupo de agregação de enlace (LAG) e são conectados ao servidor, isso forma uma interface ESI-LAG, também conhecida como EVPN LAG. Em alguns casos, você precisará habilitar o espelhamento de porta para todo ou parte do tráfego que entra ou sai da interface ESI-LAG.

Use esta seção para permitir o espelhamento remoto de portas no nível ESI-LAG de uma malha EVPN-VXLAN ERB.

Este exemplo de configuração usa os componentes de hardware e software mostrados nos Requisitos. Os dispositivos da topologia começam com suas configurações de linha de base conforme fornecido no Apêndice: Configurações completas de dispositivos.

Nesse caso, modificamos a malha EVPN para oferecer suporte a multihoming do Servidor 1 para as folhas 1 e 2. Fazemos isso usando interfaces ESI-LAG, também conhecidas como EVPN LAG. Consulte as melhores práticas de configuração de EVPN LAG para melhores práticas.

A Figura 6 mostra a topologia para este exemplo. Ambos os spines estão operacionais nesta topologia. O ECMP significa que o Leaf 1 e o Leaf 2 podem enviar tráfego por qualquer dispositivo spine. Para simplificar a ilustração, mostramos o tráfego e os caminhos espelhados com o Spine 1 como foco.

Figura 6: topologia do espelhamento remoto de portas na interface ESI-LAG

Interface ae0.0 é a interface ESI-LAG conectada ao Servidor 1. O servidor 1 é atribuído endereço IP 10.1.101.10/24, e está associado à VLAN 101. O objetivo é filtrar, depois espelhar, o tráfego enviado do Servidor 1 conforme ele passa pelo ae0.0 em cada leaf. O tráfego espelhado é colocado em um túnel GRE e enviado para a estação de monitoramento. Como antes, você deve garantir que a sub-rede da estação de monitoramento seja alcançável na subjacência do EBGP.

Se você estiver começando a partir da configuração de linha de base mostrada no Apêndice: Configurações completas do dispositivo, siga essas etapas para modificar sua topologia antes de começar.

1. Modifique a configuração do Leaf 1 e leaf 2 para oferecer suporte a um anexo multihomed do Servidor 1. Comece renomeando a interface xe-0/0/0/0 existente para se tornar a nova interface ae0.0. Isso se preocupa com qualquer configuração da interface xe-0/0/0 para economizar algum tempo.

2. As especificidades de configuração para a interface Ethernet agregada do servidor, muitas vezes chamada de interface vinculada no Linux, estão além do escopo deste NCE. Observe que, para o servidor, existe apenas uma configuração Ethernet agregada padrão. As declarações relacionadas ao ESI-LAG são aplicadas apenas aos dispositivos leaf.

   Nota:

   A configuração inicial da linha de base permite uma interface Ethernet agregada por meio da declaração de set chassis aggregated-devices ethernet device-count 1 configuração. Você deve habilitar o suporte do chassi para dispositivos agregados ou a interface agregada não é criada.

3. Após aplicar e comprometer essas alterações em dispositivos leaf e servidor, confirme que a interface ae0 está ativa em ambas as folhas. A saída de exemplo abaixo foi abreviada para clareza.

   Verifique também se o Servidor 1 é capaz de pingar servidor 2 (não mostrado para brevidade).

Este exemplo mostra como habilitar o espelhamento remoto de portas no nível ESI-LAG usando uma instância de espelhamento de porta remota. Esse método oferece suporte a critérios de correspondência específicos de locatários (dentro de um VLAN overlay) para espelhar seletivamente o tráfego.

1. Configure uma instância de espelhamento de porta tanto no Leaf 1 quanto no Leaf 2. O servidor 1 pode enviar tráfego para vLAN 101 em qualquer uma de suas interfaces de membro LAG. ECMP significa que o tráfego pode chegar em qualquer leaf. O endereço IP 172.16.1.2 é a estação de monitoramento.

2. Em seguida, crie um filtro de firewall que corresponda à sub-rede atribuída ao VLAN 101 em ambas as folhas. O objetivo é espelhar todo o tráfego intra-VLAN 101 enviado pelo Servidor 1 através do Leaf 1 ou Leaf 2. Para pegar o tráfego inter-VLAN, especifique a sub-rede do VLAN alvo para o endereço de destino.

   Se você precisar filtrar vários endereços IP de origem ou destino, considere usar um source-prefix-list e/ou um destination-prefix-list em seu filtro. Dessa forma, você pode fazer alterações na lista de prefixo sem precisar modificar a definição do filtro.

   Nota:

   Se você quiser espelhar apenas o tráfego roteado (inter-VLAN), use um family inet filtro aplicado à interface IRB da VLAN. Apenas uma interface IRB é definida para cada VLAN. Um filtro aplicado à interface IRB da VLAN captura, portanto, todo o tráfego inter-VLAN para o VLAN associado, independentemente de qual painel frontal a porta do tráfego esteja ingressada.

   O método mostrado neste exemplo funciona para tráfego inter-VLAN e intra-VLAN, mas exige que os filtros sejam aplicados a interfaces voltadas para o servidor com base em sua assinatura VLAN. Um inet filtro aplicado a uma interface IRB não vê tráfego em ponte (intra-VLAN).

3. Aplique o filtro de firewall de espelhamento de porta remota na interface ae0.0 como um filtro de entrada em ambas as folhas.

   Nota:

   Nos switches QFX5110 e QFX5120, o filtro de firewall não pode ser habilitado na direção de saída ou usado nas interfaces conectadas aos dispositivos spine.

4. O Leaf 3 de borda não precisa ser configurado para realizar o des encapsulamento GRE, já que o túnel GRE termina na estação de monitoramento. No entanto, o Leaf 3 precisa anunciar a alcance da sub-rede da estação de monitoramento na subjacência da malha. Configure a interface xe-0/0/33:1 que se conecta à estação de monitoramento.

   Modifique a política de exportação de underlay na borda Leaf 3 para anunciar o prefixo da estação de monitoramento. Nossa topologia usa um underlay EBGP. Nós simplesmente adicionamos um novo termo à política de exportação subjacente existente.

5. As mudanças na linha de base inicial são mostradas no Leaf 1.

   Você configurou com sucesso o espelhamento remoto de porta através de um dispositivo leaf em uma malha EVPN-VXLAN ERB.

1. Verifique a conectividade underlay do Leaf 1 até a estação de monitoramento.

   No Leaf 1, exibir a rota para 172.16.1.0/24.

   Nota:

   Estritamente falando, apenas a conectividade simples é necessária entre a leaf e a estação de monitoramento. Configuramos uma rota estática na estação de monitoramento para permitir que ela chegue à camada inferior da malha. Isso permite o teste de ping como uma ferramenta de isolamento de falhas.

   Ping na estação de monitoramento para confirmar a conectividade.

   A saída confirma a capacidade de alcance de underlay esperada do Leaf 1 até a estação de monitoramento. Precisamos obter o ping do endereço de loopback da leaf porque nossa política de exportação de underlay anuncia apenas a alcance do endereço de loopback. A aquisição do endereço de loopback não é necessária no caso lean spine. Isso ocorre porque o spine e o leaf de borda compartilham um enlace de malha diretamente conectado.

2. Confirme a instância de espelhamento de porta no Leaf 1.

   No Leaf 1, verifique se o estado de espelhamento remoto da porta é up.

   A saída confirma a definição correta da instância de espelhamento de porta. O estado indica up que a leaf tem uma rota subjacente até a estação de monitoramento. Lembre-se que o GRE é um protocolo stateless. É por isso que é uma boa ideia verificar a conectividade entre a folha e a estação de monitoramento, como fizemos na etapa anterior.

3. Verifique se o filtro aplicado ao Leaf 1 e leaf 2 reflete corretamente o tráfego de teste. Inicie pings entre o Servidor 1 e o Servidor 2 na malha.

   Verifique se o filtro aplicado ao Leaf 1 e leaf 2 reflete corretamente o tráfego. Nossa topologia de exemplo tem apenas um VLAN e um par de servidores. Isso torna mais fácil correlacionar o tráfego de teste para filtrar correspondências. Qualquer contagem não zero é um bom sinal de que o filtro está funcionando.

   Devido ao comportamento do ECMP, o fluxo de ping único chega a apenas um dos links de membros da interface Ethernet agregada. Isso significa que espera-se que o tráfego de teste seja enviado para uma folha, ou outra, mas não para ambas. Se o Servidor 1 gerar inúmeros fluxos, espere ver pacotes encaminhados para ambas as folhas usando ambas as interfaces de membro.

   Libere os contadores pouco antes de gerar pings.

   Agora exibir os contadores de firewall no Leaf 1 e Leaf 2.

   A saída mostra que nenhum pacote é visto no Leaf 1. Isso indica que, para esse fluxo, o servidor está acelerando para o Leaf 2.

   Verifique os contadores de firewall no Leaf 2:

   O contador de firewall do Leaf 2 reflete corretamente o tráfego de teste gerado.

4. Confirme que o tráfego enviado entre o Servidor 1 e o Servidor 2 é espelhado no Leaf 1 e/ou Leaf 2 para transmissão à estação de monitoramento.

   Mais uma vez, gere tráfego entre o Servidor 1 e 2 (não mostrado para brevidade). Use a opção rápida para o comando de ping para gerar um volume maior de pacotes para facilitar a detecção.

   Monitore contadores de tráfego de interface na borda Leaf 3 para verificar se o tráfego de teste chega à estação de monitoramento.

   A saída confirma que o tráfego é enviado para a estação de monitoramento. A falta de pacotes de entrada é esperada porque a estação de monitor não gera respostas ao tráfego GRE que recebe.

5. Use Wireshark ou um aplicativo de analisador equivalente para capturar e decodificar o tráfego espelhado.

   Figura 7: Análise de tráfego espelhado

   A captura mostra que o Servidor 1 envia tráfego de ping para o Servidor 2. O tráfego de resposta não é espelhado porque aplicamos nosso filtro no Leaf 1 e Leaf 2 apenas na direção de entrada. Aplique uma instância espelhada de porta semelhante e uma configuração de filtro no Leaf 4 para espelhar o tráfego de retorno. Lembre-se que, no caso da spine enxuta, o tráfego espelhado mostrou encapsulamento VXLAN. Neste caso de leaf ERB, espelhamos o tráfego de Camada 2 antes de ser encapsulado no VXLAN. O filtro usado para espelhar o tráfego é aplicado como um filtro de entrada na interface ae0.0 voltada para o servidor. Não há encapsulamento VXLAN na entrada.

   Isso é semelhante ao caso de aplicar um filtro na interface IRB da VLAN. No caso de filtragem de IRB, o tráfego espelhado também não contém encapsulamento VXLAN. A IRB filtra apenas o tráfego inter-VLAN na camada IP. Assim, para o caso do filtro IRB, apenas o tráfego IP de Camada 3 é espelhado.

   O decodificado mostra que o túnel GRE está entre o Leaf 2 e a estação de monitoramento através da camada inferior. O quadro Ethernet e o pacote IP enviados pelo Servidor 1 também são decodificados. Os endereços IP atribuídos aos servidores são visíveis (10.1.100.x/24), assim como os detalhes do pacote IP/ICMP gerado pelo Servidor 1.

   Você configurou com sucesso o espelhamento de porta em sua topologia.

Um identificador de segmento de Ethernet (ESI) é o número exclusivo de 10 byte que identifica um segmento de Ethernet. A ESI é habilitada na interface conectada ao servidor. Quando vários links formam um grupo de agregação de enlaces (LAG), o resultado é uma interface ESI-LAG, também conhecida como EVPN LAG. Em alguns casos, você precisará habilitar o espelhamento de porta diretamente para todo ou parte do tráfego que entra ou sai da interface ESI-LAG.

Ambas as instâncias de análise de saída e entrada são suportadas para interfaces ESI-LAG em dispositivos leaf em uma malha EVPN-VXLAN. Isso é útil em um data center onde o administrador precisa enviar todo o tráfego entrando ou saindo de uma determinada porta ESI-LAG para, ou de um host remoto. Use esta seção para habilitar uma instância de analisador no nível ESI-LAG de uma malha EVPN-VXLAN ERB.

Uma instância do analisador difere de uma instância de espelhamento de porta na qual o analisador trabalha na entrada, na saída ou em ambas as direções. Além disso, ele espelha todo o tráfego na interface. Por exemplo, se o Servidor 1 tiver 10 VLANs usando uma interface de tronco, o tráfego de todas as 10 VLANs é enviado para a estação de monitoramento. No exemplo de espelhamento de porta anterior, um filtro é usado para permitir espelhamento seletivo de tráfego de um VLAN ou de endereços IP específicos em uma VLAN.

As instâncias do analisador não usam filtros de firewall para correspondência granular. Todo o tráfego na direção especificada na interface especificada é espelhado.

Este exemplo de configuração usa os componentes de hardware e software mostrados nos Requisitos. Os dispositivos da topologia começam com suas configurações de linha de base conforme fornecido no Apêndice: Configurações completas de dispositivos.

Neste exemplo, uma interface ESI-LAG, também conhecida como EVPN LAG, é usada entre o Servidor 1 e o Leaf 1 e o Leaf 2. Consulte as melhores práticas de configuração de EVPN LAG para melhores práticas.

A Figura 8 mostra a topologia para este exemplo.

Figura 8: topologia do analisador remoto em uma interface ESI-LAG

Interface ae0.0 é a interface ESI-LAG conectada ao Servidor 1. O servidor 1 é atribuído endereço IP 10.1.101.10/24, e está associado à VLAN 101. O objetivo é configurar uma instância de analisador para encaminhar todo o tráfego enviado e recebido na interface ae0.0 tanto no Leaf 1 quanto no Leaf 2. O tráfego espelhado é colocado em um túnel GRE e enviado para a estação de monitoramento. Como antes, você deve garantir que a sub-rede da estação de monitoramento seja alcançável na subjacência do EBGP.

Se você estiver começando a partir da configuração de linha de base mostrada no Apêndice: Configurações completas do dispositivo, siga essas etapas para modificar sua topologia antes de começar.

1. Modifique a configuração do Leaf 1 e leaf 2 para oferecer suporte a um anexo multihomed do Servidor 1. Começamos renomeando a interface xe-0/0/0/0 existente para se tornar a nova interface ae0.0. Isso se preocupa com qualquer configuração da interface xe-0/0/0 para economizar algum tempo.

   As especificidades de configuração para a interface Ethernet agregada do servidor, muitas vezes chamada de interface vinculada no Linux, estão além do escopo deste NCE. Observe que, para o servidor, existe apenas uma configuração Ethernet agregada padrão. As declarações relacionadas ao ESI-LAG são aplicadas apenas aos dispositivos leaf.

   Nota:

   A configuração inicial da linha de base permite um dispositivo Ethernet agregado usando a declaração de set chassis aggregated-devices ethernet device-count 1 configuração. Você deve habilitar o suporte do chassi para dispositivos agregados ou a interface agregada não é criada.

2. Após aplicar e comprometer essas alterações em dispositivos leaf e servidor, confirme que a interface ae0 está ativa em ambas as folhas. A saída de exemplo abaixo foi abreviada para clareza.

   Verifique se o servidor 1 é capaz de pingar servidor 2 (não mostrado para brevidade).

Este exemplo mostra como habilitar o espelhamento remoto de portas no nível ESI-LAG usando uma instância de analisador remoto.

1. A interface ae0.0 é a interface ESI-LAG onde o tenant Server 1 se conecta. Este ESI-LAG termina tanto no Leaf 1 quanto no Leaf 2. Configure a instância do analisador em ambas as folhas para a interface ae0.0. Observe que você configura um analisador remoto para as direções de entrada e saída.

2. O Leaf 3 de borda não precisa ser configurado para realizar a descapsulação gre, já que o túnel GRE termina na estação de monitoramento. No entanto, o Leaf 3 precisa anunciar a alcance da sub-rede da estação de monitoramento na subjacência da malha.

   Configure a interface xe-0/0/33:1 que se conecta à estação de monitoramento.

   Modifique a política de exportação de underlay na borda Leaf 3 para anunciar o prefixo da estação de monitoramento. Nossa topologia usa um underlay EBGP. Nós simplesmente adicionamos um novo termo à política de exportação subjacente existente.

3. As mudanças da linha de base inicial são mostradas no Leaf 1.

   Você configurou com sucesso o espelhamento remoto de porta através de um dispositivo leaf em uma malha EVPN-VXLAN ERB.

1. Verifique a conectividade underlay do Leaf 1 e leaf 2 até a estação de monitoramento.

   No Leaf 1, exibir a rota para 172.16.1.0/24.

   Nota:

   Estritamente falando, apenas a conectividade simples é necessária entre a leaf e a estação de monitoramento. Configuramos uma rota estática na estação de monitoramento para permitir que ela chegue à camada inferior da malha. Isso permite o teste de ping como uma ferramenta de isolamento de falhas.

   Ping na estação de monitoramento para confirmar a conectividade.

   A saída confirma a capacidade de alcance de underlay esperada do Leaf 1 até a estação de monitoramento. Precisamos obter o ping do endereço de loopback da leaf porque nossa política de exportação de underlay anuncia apenas a alcance do endereço de loopback. A aquisição do endereço de loopback não foi necessária no exemplo de spine enxuto, porque o spine e o leaf de borda são conectados diretamente por uma sub-rede de enlace de malha compartilhada.

2. Confirme a instância do analisador no Leaf 1 e Leaf 2.

   No Leaf 1, verifique se o estado do analisador remoto é up.

   A saída confirma a definição correta da instância do analisador. O estado indica up que a leaf tem uma rota subjacente até a estação de monitoramento. Lembre-se que o GRE é um protocolo stateless. É por isso que é uma boa ideia verificar a conectividade entre a folha e a estação de monitoramento, como fizemos na etapa anterior.

3. Confirme que o tráfego enviado entre o Servidor 1 e o Servidor 2 é espelhado pelo Leaf 1 e/ou Leaf 2 até a estação de monitoramento.

   Mais uma vez, gere tráfego entre o Servidor 1 e 2 (não mostrado para brevidade). Usamos a opção rápida para o comando de ping para gerar um volume maior de pacotes para facilitar a detecção.

   Monitore contadores de tráfego de interface na borda Leaf 3 para verificar se o tráfego de teste chega à estação de monitoramento.

   A saída confirma que o tráfego chega à estação de monitoramento. A falta de pacotes de entrada é esperada, pois a estação de monitor não gera respostas ao tráfego GRE que recebe.

4. Use Wireshark ou um aplicativo de analisador equivalente para capturar e decodificar o tráfego espelhado.

   Figura 9: Análise de tráfego espelhado

   A captura mostra que o Servidor 1 envia tráfego de ping para o Servidor 2. Devido às instâncias do analisador serem aplicadas em ambas as direções da interface ae0.0, o tráfego de resposta também é espelhado. Como o analisador funciona no nível da interface, o LACP, que é um protocolo de nível de enlace usado na interface Ethernet agregada, também é espelhado. Lembre-se que, no caso da spine enxuta, o tráfego espelhado mostrou encapsulamento VXLAN. Neste caso de leaf ERB capturamos o tráfego de Camada 2 antes de ser encapsulado em VXLAN. Na entrada não há encapsulamento VXLAN.

   Isso é semelhante ao caso de aplicar um filtro à interface IRB de uma VLAN. Nesse caso, o tráfego espelhado também não contém encapsulamento VXLAN. Os filtros baseados em IRB só captam tráfego inter-VLAN na camada IP. Assim, para o caso do filtro IRB, apenas o tráfego IP de Camada 3 encapsulado não VXLAN é espelhado.

   O decodificado mostra que o túnel GRE está entre o Leaf 2 (10.1.12.2) e a estação de monitoramento através da camada inferior. O quadro Ethernet e o pacote IP relacionado, conforme enviado pelo Servidor 1, também são decodificados. Os endereços IP atribuídos aos servidores são visíveis (10.1.100.x/24), assim como os detalhes do pacote IP/ICMP gerado pelo Servidor 1. A resposta do Servidor 2 também é espelhada porque a instância do analisador é aplicada bidirecionalmente em nosso exemplo.

   Você configurou com sucesso o espelhamento de porta em sua topologia.