vPC技术详解.ppt

VPC 技術詳解議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AVPC 概述VPC：Virtual Port-Channel允許跨設備的鏈路捆綁消除STP環路快速收斂提高鏈路利用率HSRP/VRRP 雙活NX-OS 平臺支援 VPC 功能（Nexus 7000，Nexus 5000）接入交換機沒有特殊要求，只需要標準支持802.3ad/LACP傳統STP 二層網路邏輯拓撲VPC 網路邏輯拓撲議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AvPC Domain 包含vpc peer，peer-link，keepalive-link，下聯port-channel等vPC peer vpc交換機，成對出現vPC member port 組成vpc的一組埠（port-channel）vPC 連接下聯交換機與兩個vpc peer之間的port-channel鏈路vPC peer-link vpc peer之間的鏈路，狀態和資訊同步，必須為10GEvPC peer-keepalive link vpc peer之間的心跳線，作為peer-link的備份vPC VLAN 通過 vpc鏈路和peer-link承載的vlan.non-vPC VLAN 不通過vpc承載的vlanCFS Cisco Fabric Services 協定，用於vpc peer之間狀態同步，配置驗證vPC peernon-vPC devicevPC peer-keepalive linkvPC member portvPCvPC member portCFS protocolvPC peer-link vPC 術語和組件vPC DomainvPC Domain vpc peer雙方 均需要定義VPC Domain，且建議兩邊的Domain ID一致在Domain mode下定義vpc 的全域參數 角色優先順序（低值優先），keepalive等等VPC Peer設備使用Domain ID自動產生一個唯一的VPC system-MAC（用於LACP鏈路操作）vPC DomainPeer Link用途標準 802.1Q Trunk承載vpc vlan 和非vpc vlanCFS協議FHRP 第一跳泛洪報文STP BPDUs,HSRP Hellos,IGMP updates等特殊情況下需要承載流量使用建議至少兩個10GE的埠，並且分佈在不同的板卡上10GE埠均設置成獨佔模式vPC peer-linkCisco Fabric Services(CFS)協議用途配置驗證/比較STP管理，STP BPDU 抑制MAC 同步vPC 成員埠狀態IGMP snooping 同步HSRP 雙活 CFS MessagingSTP does send BPDUsIGMP updatesMAC updatesSTP doesnt send BPDUsHSRP Standby-ActiveL3IGMP updatesMAC updatesvPC 配置元素配置元素類型 類型 1如果類型1中的元素不一致，則VPC無法建立起來vPC,STP,Vlan status,Port channel,MTU類型 2 VPC可以建立起來，但是可能會導致流量異常VLAN interfaces,HSRP,PIM,GLBP,ACLs,etc 系統會對這些不一致的配置產生SyslogPeer-KeepalivePeer-Keepalive用途用途VPC Peer之間的心跳Active/Active(Peer-Link失效)檢測心跳消息間隔為2s，hold timer為3s（默認）使用建議使用建議必須為一個單獨的三層鏈路(1Gb 頻寬足夠)，三層可達即可，獨立VRF不能通過peer-link在路由可以使用引擎上的管理口vPC peer-keepalive linkvPC成員埠用途VPC peer之間對port-channel進行終結配置建議VPC peer之間的屬於同一個vpc組的成員埠的配置必須一致下聯交換機和兩個VPC Peer之間最多可捆綁16條鏈路vPC member portvPC member portVirtual Port Channel用途接入設備與兩個VPC Peer建立的port-channel流量可以在接入設備的所有上聯鏈路上進行負載分擔標準 802.3ad port-channel接入設備功能需求支援標準802.3ad LACP 可選vPC member portvPCNormal Port-channel port重複幀防護機制VPC的一個重要轉發原則：從vpc peer通過peer link發送過來的幀不會從vpc成員埠轉發出去，而發給非vpc vlan，orphan port或者上聯鏈路的流量會正常轉發Orphan port：不是通過vpc連接，但承載vpc vlan的埠 VPC 配置啟用VPC,LACP 功能定義VPC 域建立keepalive連接創建peer-link把VPC成員埠加入到vpc組當中確認vpc peer的配置一致性 (config)#feature vpc(config)#vpc domain 1(config-vpc-domain)#peer-keepalive destination x.x.x.x source y.y.y.y(conifg)#int port-channel 10(config-int)#vpc peer-link(config)#int port-channel 20(config-int)#vpc 20(config-int)#show vpc consistency-parametersN7k01N7k02議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&A單播單播從從Mac_A Mac_A 到到 Mac_B Mac_BMAC_AMAC_BSW3SW2SW4SW1vPC1vPC2vPC_PLL2L3ECMPPacket SendECMPPort channel path selectionPacket FloodingPacket FloodingPacket(s)blocked on vPC member ports,vPC peer-link traversedvPC PK-LinkCFS MAC table update message單播單播從從Mac_B Mac_B 到到 Mac_A Mac_A的回應的回應MAC_AMAC_BSW3SW2SW4SW1vPC1vPC2vPC_PLL2L3ECMPPacket SendECMPPort channel path selectionLocal forwarding,previously learned destinationvPC PK-Link議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&ANexus 7000 VDC Nexus 7000 VDC 簡介簡介InfrastructureKernelVDC 1VDC 2VDC 3GLBPVDC 4Layer 3 ProtocolsOSPFBGPEIGRPGLBPHSRPIGMPPIMSNMPVDC 2Layer 2 ProtocolsVLANPVLANUDLDCDP802.1XSTPLACPCTSVirtual Device Context一個物理設備上虛擬多個邏輯裝置靈活的硬體資源配置軟體功能以及故障隔離有效提高資源利用率安全獨立的管理模式虛擬化虛擬化Layer 2 ProtocolsLayer 3 ProtocolsVLANPVLANOSPFBGPEIGRPHSRPIGMPUDLDCDP802.1XSTPLACPPIMCTSSNMPVDC 1VPC和VDC的交互操作VPC可以在VDC環境下正常的工作，不會有任何影響VDC1VDC2VDC2VDC3VDC3VDC4VDC4VDC1Nexus7010Nexus7010Distribution Core Access 議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AvPC和 ISSU交互操作在VPC環境下仍建議使用ISSU進行系統升級VPC Peer會分別進行單獨的升級，不會影響流量轉發升級採用線性的順序，一次一台設備在其中一台設備升級時，peer設備的config會被鎖住4.1(3)4.1(3)4.2(1)4.1(3)4.2(1)4.2(1)議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AvPC 和STP交互操作STP仍需啟用仍需啟用:VPC失效/增加/刪除時的備份機制非VPC設備的防環機制STP不會控制VPC 成員埠的狀態配置建議配置建議在二層網路中使用Rapid-PVST或者MST，提高收斂速度接入交換機下聯主機的埠配置portfastvPCvPCSTP is running to manage loops outside of vPCs direct domain,or before initial vPC configurationBPDUBPDU發送機制發送機制MAC_AMAC_BSW3SW2SW4SW1vPC1vPC2vPC_PLL2L3ECMPPacket SendECMPSTP RootSTP Root BackupPacket FloodingPacket FloodingSTP process updated,BDPUs not forwarded on vPC member portsBPDUs forwardedvPC PK-LinkSTP埠配置建議AggregationAccessData Center CoreBLRNEBPDUguardLoopguardRootguardNetwork portEdge or portfast port type-Normal port typeBRRNN-RRRRRR-BEBBEBELayer 3Layer 2(STP+Rootguard)Layer 2(STP+BPDUguard)LESecondaryRootHSRPSTANDBYPrimaryRootHSRPACTIVEE-PrimaryvPCSecondaryvPCvPCvPCDomainDomain議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AVPC和FHRP（HSRP/VRRP）交互操作VPC環境中FHRP處於雙活狀態正常的FHRP配置Standby設備與vpc manager交互，來判斷是否vpc peer是否activeL3L2HSRP/VRRP“Standby”:Active for shared L3 MACHSRP/VRRP“Active”:Active for shared L3 MACVPC 環境中HSRP工作機制不改變HSRP控制協議HSRP 共用虛擬的MAC地址（從初始active HSRP設備匯出）HSRP active設備回應ARP請求負載分擔到standby設備上的流量直接從 本地轉發 減少peer-link的使用，提高L3上聯鏈路的頻寬VPC VPC 和和HSRPHSRP交互操作流程交互操作流程MAC_AMAC_BSW3SW2SW4SW1vPC1vPC2vPC_PLL2L3ECMPPacket SendECMPHSRP ActiveHSRP StandbyHSRP active MAC is populated into the L3 hardware forwarding tables,creating a local forwarding capability on the HSRP standby devicevPC PK-LinkHSRP active process communicates the active MAC to its neighbor.Only the HSRP active process responds to ARP requestsVPC環境下 HSRP改進：peer-gatewayvPC PLvPC PKLL3L2場景：場景：有一些NAS設備（NETAPP Fast-Path 或 EMC IP-Reflect）回應的時候使用的是發送設備的實MAC地址，而不是HSRP閘道的虛擬MAC地址報文被負載分擔到非實MAC所在VPC設備時，會通過peer-link發送到實MAC所在的VPC設備上，而由於重複幀防護機制，該設備會把報文丟棄.Vpc peer-gateway 解決方案解決方案:當目標MAC地址為peer vpc設備的三層報文發送到本地時，該功能允許本地vpc設備閘道正常轉發該報文Local Routing for peer router mac TrafficN7k(config-vpc-domain)#peer-gateway議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&AVPC故障恢復典型故障場景-下聯接入交換機鏈路故障-上聯三層鏈路故障-Peer-link 故障-Keep-alive link 故障-Peer-link 和keepalive-lnk同時故障-整機故障接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP123456場景一：下聯接入交換機鏈路故障場景一：下聯接入交換機鏈路故障所有流量會發往VPC Secondary設備，並從secondary設備發往上聯鏈路 故障收斂：21ms 恢復收斂：0.09ms 接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP場景二：上聯三層鏈路故障場景二：上聯三層鏈路故障負載分擔到VPC Primary的流量會通過peer-link發往VPC Secondary設備，再發往上聯鏈路故障收斂：60ms 恢復收斂：0ms 接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP場景三：場景三：peer-linkpeer-link故障故障通過keepalive-link檢查對端activeVPC Secondary關閉所有的VPC member port和VPC Vlan SVI。流量通過VPC Primary發送Peer-link恢復後，被shutdown的埠和SVI會自動恢復故障收斂：75ms 恢復收斂：41ms接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP場景四：場景四：Keepalive-linkKeepalive-link故障故障Peer-link仍正常工作，流量正常轉發，不會受到任何影響故障收斂：0ms 恢復收斂：0ms接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP場景五：場景五：peer-linkpeer-link和和keepalivekeepalive均斷掉均斷掉 （1 1）Peer-link先斷，keepalive後斷（此場景非常罕見！）-VPC Secondary 關閉所有VPC member port 和VPC vlan SVI -peer-link和keepalive均恢復之後，被關閉的埠自動恢復 故障收斂：75ms 恢復收斂：149ms接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP12場景五：場景五：peer-linkpeer-link和和keepalivekeepalive均斷掉均斷掉 （2 2）Keepalive先斷，peer-link後斷（此場景非常罕見！）-active/active -兩個VPC peer 均會發送BPDU，各自為根 -原來的流量可正常轉發故障收斂：0ms 恢復收斂：131ms接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP21場景六：場景六：一台一台N7K N7K 出現整機故障出現整機故障Secondary VPC角色變成Primary，流量均通過該設備轉發故障收斂：474ms 恢復收斂：882ms接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMP議程VPC基本原理-VPC 概述-VPC 組件和原理-VPC 基本業務流VPC 的交互操作-VPC 和VDC 的交互操作-VPC和ISSU的交互操作-VPC和 STP 的交互操作-VPC和HSRP 的交互操作VPC故障恢復最佳實踐Q&A部署最佳實踐接入交換機接入交換機VPC PrimaryVPC PrimaryHSRP ActiveHSRP ActiveSTP RootSTP RootVPC SecondaryVPC SecondaryHSRP StandbyHSRP StandbySTP Root Secondary STP Root Secondary L2L2L3L3ECMPECMPPort-channel 建議使用LACP，有利於failover和配置不匹配保護使用SVI和HSRP作為下聯網段的閘道Peer-link 至少兩條獨佔模式的萬兆埠，最好分佈在不同的板卡上Peer-link上啟用UDLDKeepalive link，三層埠，獨立VRF，路由可達-1G 頻寬足夠，使用板卡上的千兆三層埠，獨立VRF-可使用SUP上的管理口，但是不要背靠背連接(N7K)VPC vlan 和非VPC vlan非vpc vlan不通過peer-link承載，以免vpc fail時 影響非vpc vlan可把vpc vlan和非vpc vlan可使用獨立的VDCOrphan PortsOrphan PortsRouter7k17k2SwitchPo1Po2使用獨立的三層鏈路連接路由器RouterSwitchL3 ECMPPo2L3和VPCHSRP link Tracking不建議在VPC環境中使用HSRP Link Tracking 功能。VPC peer 不會向vpc成員埠轉發從peer-link轉發過來的流量L3L2VLAN AVLAN BVSS vs.vPC VSS vPC支援情況設備型號Catalyst 6500Nexus 7000,Nexus 5000鏈路捆綁L2跨主機殼鏈路捆綁(Active-active)是是是否支持L3 鏈路捆綁是否控制層面/HA控制層面統一獨立，雙活設定檔統一獨立引擎冗餘跨主機殼冗餘每個主機殼都有冗餘L2鏈路捆綁協議LACP,PaGP(+)LACP是否需要STP 否否L3單個邏輯閘道是(不需要FHRP)是,active-active HSRP路由進程單個相互獨立路由鄰居減少相互獨立組播PIM DR單個相互獨立(DR&N-DR)Q&AQ&A STP 收斂增強功能：peer-switchvPC Peer-linkS1S2S3S4vPC PrimaryvPC SecondaryvPC switches to appear as a single STP Root in the L2 topology(same bridge-id).vPC peer-link excluded from STP computation(vPC peer-link treated as“backplane extension”).Improves convergence on vPC primary switch failure/recovery avoiding Rapid-STP SyncvPC1Bridge PriorityVLAN 1 4KVLAN 2 8KBridge PriorityVLAN 1 8KVLAN 2 4KSTP Root VLAN 1STP Root VLAN 2No STP Topology ChangesBridge PriorityVLAN 1 4KVLAN 2 4KBridge PriorityVLAN 1 4KVLAN 2 4KSTP Root VLAN 1VLAN 2Nexus 7000(config-vpc-domain)#peer-switchvPC24.2(6)and 5.0 ReleasesAnimated SlideScenario:vPC deployments with a single N7K-M132XP-12 card,where core and peer-link interfaces are localized on the same card.This scenario is vulnerable to access-layer isolation if the 10GE card fails on the primary vPC.vPC Object Tracking Solution:Leverages object tracking capability in vPC(new CLI commands are added).Peer-link and Core interfaces are tracked as a list of boolean objects.vPC object tracking suspends vPCs on the impaired device,so traffic can get diverted over the remaining vPC peer.e1/e1/e1/e1/e1/e1/e1/e1/vPCPrimarye2/e2/vPCSecondaryvPC PLvPC PKLL3L2rhs-7k-1(config-vpc-domain)#track 上聯鏈路和peer-link均在一塊萬兆版卡上時VPC Object TrackingVPC Object Tracking