올 한해도 벌써 다 지나가고 있네요. 날씨도 엄청나게 춥구요..

Nexus 정리 16번째 입니다.  두서없이 정리하느라 순서도 잘 없고.. 원래 말쯤에는 pdf로 쭈~욱 정리를 해보고 싶었지만..

그렇게 부지런하게 살지도 못하고 있네요. 내년 이른 전반기쯤에는.. 그래도 간략하게나마 정리본을 만들 수 있지 않을까?

라는 생각을 해봅니다.  내용 중에 수정 및 보완해야할 점 있으면 알려주세요! ^^

 

 


 

 

vPC Roles

• vPC System에서 Priority 값에 의해서 Primary, Secondary 로 나뉜다. (낮은 값의 Priority 값이 우선순위가 높다)

• vPC Roles을 결정하는 Priority 값에 따라서 Roles을 즉시 가져오지는 않기 때문에(nonpreemptive), 현재 Primary로 동작하는

  경우에도 설정값으로는 Secondary일 수도 있다.

   ※ Spanning TreePreemptive하기 때문에, Spanning Tree RootvPC Operational Primary Device가 불일치 할 수 있다.

vPC System들이 vPC Domain에 소속될 때,  Priority에 의해서 PrimarySecondary를 결정한다.

• Primary DeviveReload하게 되면, Sercondary DevicePrimary로 동작(Operational primary) 을 하게되며, 기존의 Primary

  Device 다시 Online되어서 연결이 되더라도, OperationalRole은 변하지 않고 Primary DeviceSecondary로 동작

  (Operational  Secondary)한다.

  이와 같은 동작은 sticky bit 방법으로 되는데, sticky 정보는 startup configuration에 저장되지 않기 때문에 , Up상태로 동작 중

 인  장비가 reloaded된 장비보다 Primary로 운영되도록 한다.  따라서, vPC PrimaryvPC operational secondary 상태가 된다.

만약, Peer link가 끊기더라도 vPC Peer들은 vPC peer keepalive link를 통해 연결되어 있기 때문에 vPC Operational roles이 변

 하지 않지만,  peer linkpeer keepalive link가 모두 끊기게 되면, 두 대의 vPC Peer 모두 Operational Primary가 된다.

  그러나 peer-keepalive linkpeer link가 다시 연결되면,  vPC secondary deviceOperational Primary 상태로 Primary Role

 유지하고,  vPC PrimaryOperational Secondary Device로 된다. 

   왜냐하면 Peer 장비가 Reload되지 않고 Up상태로 유지되고 있었기 때문에 Sticky에 의해서 Primary장비가 이전의 Operational

 Secondary 상태로 다시 돌아가려고 하기  때문이다.

 • Primary DeviceOperational Secondary로 동작 중일 때에, Operational Primary로 변경하려면, Operational Primary로 동작

  중인 Secondary  Device Reload 하면 된다.

 

※ 참고하세요!

 -  Sticky bit (운영체제 개념)

    예전 Unix에서 제한된 메모리 사용을 위해서 main memorysecondary memory의 내용을 /dev/swap 하는 경우가 있었는

   데이는 속도저하를 발생시켜서 자주사용되는 program들은 Sticky bit를 설정해서 swap되지 않고 memory에 유지되도록 함.

 

  

 

 NX-OS# sh vpc role

vPC Role status
----------------------------------------------------
vPC role                               : primary, operational secondary
Dual Active Detection Status    : 0
vPC system-mac                   : 00:23:04:ee:be:01            
vPC system-priority                : 32667
vPC local system-mac            : 00:26:98:0d:19:41            
vPC local role-priority             : 1

 

 

 

 

 

 

Posted by 네떡지기

 

근 한달여만에 포스팅하는 vPC에서의 STP에 관한 내용입니다.

내용을 읽다보면 약간 중복된 내용이 보이기도 앞뒤가 맞지 않은 부분이 있을 수도 있지 않을까 싶습니다.

아래 내용은 한달전에 포스팅하면서 올릴 때에도 같이 정리를 하고 있던 부분이기는 하나,, 정리가 되지 않아서 하루 이틀 미루다

또 이것 저것 휘둘려 다니다보니.. 결과적으로.. 계속 늦어지는 것 같아서...

오늘 약간 정리의 일단락을 짓고.. 차츰 Update 버전으로 관리를 해야할 것 같다는 생각을 해서.. 먼저 올려봅니다..

자꾸.. 올리는게 미뤄지면 잘 안하게 될 것 같은 느낌이.. 들기도하고.. 나태해질 것 같은 생각에....


 


vPC Domain에서 STP 역할

• vPC와 관련된 일부 네트워크 이벤트로 발생 가능한 Layer 2 Loop를 방지한다.

• vPC Domain 內와 vPC 초기 설정 시의 Loop를 관리한다.

 

vPC에서의 STP 설정

• vPC를 설정한 장비 간에서 STP에 대한 Global Parameter Interface Setting은 동일하게 설정하도록 한다.

     1.  Global Parameter

          - STP mode              - MSTSTP region 설정  - pVLAN 활성화 여부

          - Bridge Assurance 설정  - STP Port type 설정  - loop Guard / BPDU Guard / BPDU filter 설정

      2. Interface Setting

          - STP Port type 설정 (edge,network, normal)    - Loop Guard / Root Guard (Enable,Disable)

만약 Parameters가 잘못 설정된 경우에는 NX-OS에서 vPC의 모든 Interface에 대해 suspends로 만든다. (Type-1 일관성 체크 에러)

  NX-OS 5.2 이후에서는 vPC graceful 일관성 체크 feature, Secondary peer 장비의 Interfacesuspends로 만들고,

  Primary peer 장비는 정상적인 운용 상태를 유지하게 된다.

• vPCMember PortSuspends 되었다는 Syslog Message가 발생을 하게 되면, show vpc brief 명령으로 vPC의 상태를 확인한다.

• Traffic 흐름이 예상치 못하지 흐르지 않도록, vPC 양 쪽의 STP Interface 설정을 동일하게 맞추도록 한다. (Type-2 일관성 체크 에러)

         - BPDU Filter  - BPDU Guard  - STP Cost(STP port path cost)

         - VLANs  - STP Link Type(auto, PtoP,shared)   - STP Priority(STP port priority)

  show run interface port-channel <id> membership  명령으로 vPC 양쪽의 설정이 동일한지 확인할 수 있다.

 

 

NX-OS-1# sh run int port 2 membership

!Command: show running-config interface port-channel2 membership

!Time: Wed Nov 28 21:08:29 2012

version 6.0(1)

interface port-channel1

  description ## ThePlmingSpace.Tistory.com ##

  switchport

  switchport mode trunk

  vpc 2

interface Ethernet1/1

  description ==네떡지기1==

  switchport

  switchport mode trunk

  channel-group 1

  no shutdown

 

 

NX-OS-2# sh run int port 2 membership

!Command: show running-config interface port-channel2 membership

!Time: Wed Nov 28 21:08:29 2012

version 6.0(1)

interface port-channel1

  description ## ThePlmingSpace.Tistory.com ##

  switchport

  switchport mode trunk

  vpc 2

interface Ethernet1/1

  description ==네떡지기2==

  switchport

  switchport mode trunk

  channel-group 1

  no shutdown

 

 

 

 

 

vPC에서의 STP 의 권고안

• STP 반드시 모든 VLAN에 활성화되어야 한다. (모든 Access 장비들이 vPC-DomainvPC로 연결되어 있더라도 마찬가지이다.)

만일 Layer 2 Domain이 필요할 경우에는 MST와 함께 vPC를 설정하도록 한다.

동일한 Layer 2 Domain에서는 동일한 STP Mode로 구현한다. (Rapid-PVSTMST를 운용하는 것이 STP Convergence를 줄인다.)

• vPC Member Port에서 VLAN pruning을 하게 되면, 내부 resource 사용을 줄일 수 있다

 

 

 

vPCSTP의 상호운용 Blueprint Diagram

 

 

vPCSTP의 상호운용의 표준 및 권고

• STPRootNetwork Aggregation Layer에 유지하도록 한다.  (vPC Domain)

각각의 vPC Peer 장비들은, Access 장비와 연결된 포트에 Root Guard를 설정한다.

• vPC Peer-link가 설정되었을 경우, DefaultBridge Assurance가 활성화 된다.  (vPC Peer-link에서 비활성화 되지 않는다)

• vPC에서 Bridge Assurance를 활성화 할 필요가 없다.

   (STP port type newtork로 선언된 vPC Member PortBridge Assurance가 활성화)  되어 있다.

• vPC member port 설정 spanning-tree port type normal로 한다. (Bridge Assurance는 사용하지 않음)

• Host와 연결된 Interfaceport fast(edge port type)을 설정하여, STP convergence를 빠르게 한다.

• Host와 연결된 Interface BPDU guard를 설정하여, Host로부터 BPDU 수신 시에 Block 되도록 한다.

 

 

vPCSTP BPDU

• vPCDual active control plane으로 동작한다.

• vPCSTPvPC primary peer에 의해 관리되고, 오직 Primary device에서만 BPDUdesignated port들을 통해 내보낸다.

  STPRoot가 어디에 있도록 구성되어졌는지와는 무관한다.

• Secondary vPC에서도 STP가 활성화되어 있지만, 그것은 vPC member port 상태를 변경할 수 없다.

• vPC secondary peer deviceAccess switch들로부터 BPDU를 받아서, Primary Peer로 다시 보내게 된다.

• vPCPrimary/Secondary device 모두 항상 동일한 STP Port 상태를 유지한다. (Forward)

 

 

 

vPC에서의 STP  

• STP rootvPC Primary 장비가 되도록 설정하는 것을 권고한다.

• peer-linkCFSoE 같은 중요한 트래픽이 전송되기 때문에 절대 Blocking되지 않기 때문에 모든 VLAN에 있어서 항상 Forwarding상태다.

• vPC peer-link로서, port-channel을 설정하게 되면, 자동으로 Bridge AssuranceLink에 활성화 된다.

     - vPC peer-link에 활성화된 Bridge Assurance는 비활성화 하지 않도록 하고, vPC member Port에는 활성화하지 않도록  권고.

vPC Peer 장비의 포트 중에 Access 장비와 연결된 포트에는 Root Guard를 설정하도록 한다.

• vPC Primary Switch에서만, vPC Port에 대해서 STP Topolog가 동작한다. , vPCSpanning Tree ProtocolvPC Primary Peer장비에  의해서 제어되고, BPDU를 생성하고 보내게 된다.

• Secondary vPC Switch에서는 반드시 STP가 활성화 되어야 하지만, vPC member 포트 상태에 영향을 미치지는 못한다

Posted by 네떡지기

vPC 구성 최적화와 관련된 Peer-gateway에 이어서, Peer-switch에 대한 기능입니다.

궁금하신 사항이나, 보완/수정이 필요한 부분이 있으면 말씀해주세요.

 


 

vPC Peer-switch

• vPC Peer-Switch 기능은 한 쌍의 vPC Peer 장비가 Layer 2 Topology에서 단일 STP root처럼 보이게 하는 기능을 한다.

     - 해당 vPC Peer장비는 동일한 Bridge ID를 갖는다.

 

• vPC peer-switchvPC peer 장비 양쪽 모두에 설정이 되야만, 정상적으로 동작을 한다.

 

• vPC peer-switchvPC primary peer 장비의 문제 발생 및 복구 시에 convergence 시간을 향상시킨다.

     - peer-switch가 설정되지 않은 경우에 3초정도의 convergence 시간이 발생하지만,

       peer-switch가 설정된 경우에는 RSTP 동기화가 없기 때문에, 1초 이내의 시간이 소요된다.

       (STP 관점에서 L2 Topology 변화가 없다)

 

• vPC 환경에서는 vPC Peer-switch 기능을 활성화 하는 것을 권고함.

 

• vPC Peer-switch 설정 방법은 다음과 같다

 

NX-OS(config)# vpc domain 1

NX-OS(config-vpc-domain)# peer-switch

 

 

 

vPC Peer-switch : BPDU

• vPC Peer-Switch가 설정되지 않았을 경우에는 Primary Peer 장비에서만 BPDU가 발생을 한다.

 

• vPC Peer-Switch가 설정된 경우에는, 한 쌍의 Peer 장비가 하나의 논리적인 STP Root Switch로 생성이 되어서 동일한 내용의

   BPDU를 생성하여, 전송을 하게 된다. Peer-Switch 설정 후에는 Peer-link를 통해서 BPDU를 송수신되지 않으며, 다른 Link

   통해서 BPDU를 송신하게되며, 기존에 Peer-Switch 미 설정 시에는 vPC의 하단 스위치는 Primary Peer에게서만 BPDU를 받아

   서 다른 Port를 통해서 Secondary Peer vPC MemberBPDU를 전송하였으나, 현재는 Secondary PeervPC Member Port

   로도 BPDU를 송신하기 때문에 해당 포트로 BPDU전송하지 않는다.

 

• vPC Peer-switch 설정 시에 가장 일반적으로 하는 실수는  vPC Peer간의  모든 vPC VLAN에 대해서 STP Priority를 정확하게

 일치시키지 않는 것이다.  STP Priority를 정확하게 일치시켜야 하는 것은, Peer-Switch를 설정한 Peer 장비 모두 동일한 Bridge

  ID을 사용하기 때문이다. Peer-Switch 설정 시,  STP를 위한 MAC-Address는 동일하게 설정이 되지만 Bridge ID값을 결정하는

  STP Priority는 설정을 동일하게 맞춰야만 한다.

  

 

• vPC Peer-Switch를 설정하게 되면, PeerMac-address가 동일하게 변경 됨.

 

 

 

 

Hybrid Topology

• vPC Peer-switchvPC DomainvPC로 연결된 장비와 STP에 의해 연결된 장비가 혼용되어 있는 Hybrid Topology를 지원

 

• Spanning-tree pseudo-information STP로 연결된 장비 구성에서의 VLAN load-balancingPeer장비의 장애복구 및

  Reload 후 재동작시 Spanning Tree Topology의 변경을 피하기 위해서 도입되었으며, Hybrid Topology에서는 사용하는 것을

 권고한다.

 

Spanning-tree pseudo-information 는 아래와 같이 designated priorityroot priority 라는 2개의 하위명령을 포함한다.

 

    - Designated priority : 2대의 Peer 장비에 VLAN에 의한 효과적으로 Load balancing을 할 수 있게 한다.

 

    - Root priority Peer장비의 장애 및 복구 시, 특정한 경우에 사용된다

                     Hybrid Topology에서 STP LinkvPC Link의 사이의 Up되는 차이로 인하여 vPC peer장비(Primary) 복구 시에

                     STP Topology가 변경된다.  일반적으로 STP LinkvPC 이전에 Up된 후, vPC peer-switch가 구성된다. 따라

                    , vPC Peer-switch는 구성이 되지 않은 상태에서 Primary Peer 장비는 Local System MACSTP Bridge ID

                    사용을 하게 된다.  만약 Local System MAC이 vPC System MAC보다 우선순위의 MAC이면, 두 대의 vPC Peer

                    장비가 동일한 STP Bridge Priority를 가지고 있기 때문에 STP Topology를 변경하게 될 것이다.  Primary Peer

                    복구 시 , STP Topology 구성의 변경을 피하기 위해서, vPC peer-switch위한 STP bridge priority Local

                    bridge ID priority보다 좋아야 한다.

 

 

 

 

 

Posted by 네떡지기

지난 번에 포스팅했던 vPC에서의 HSRP의 연장선상의 내용인 Peer-gateway에 대한 부분입니다.

문의사항이나, 잘못된 부분이 있으면 댓글 부탁드립니다 .^^

 


vPC Peer-gateway

일부 Third-Party 단말기는 HSRP의 가상 Mac-Address를 무시하고, HSRP RouterSource Mac-Address를 사용한다 vPC 환경에서 HSRP RouterPeer-link를 통해 Source Mac-Address가 전달되기 때문에, 위와 같은 비정상적인 ARP동작은 Loop Prevention에 의해 잠재적이 패킷 유실 가능하게 한다.

 

 

 

 

 

vPC Peer-gateway를 설정하면, vPC Peer 간의 BIA(Burned-In-Address)정보를 G flag(Gateway flag)와 함께 복사하여  Peer-link거치지 않고 트래픽 전송을 가능하게 해준다.  (Loop Prevention에 의한 패킷 유실 방지) 

 

vPC Peer-gateway 설정은 항상 활성화하는 것을 권고한다. 표준 ARP Request를 수행하지 않는 장비가 연결되지 않아서 해당 기능이 반드시 필요하지 않아도 vPC DomainPeer-gateway 설정을 해두는 것이 좋다. (활성화에 따른 문제점 없음)

 

• Traffic 기능적으로 기존에 영향을 미치지 않는다.

 

• ICMP redirects는 비활성화 된다 .

 

• Peer-gateway 설정 및 활성화 상태 확인

 

 

 • Peer-gateway 설정에 따른 Mac-Address Table 비교

 

 

Posted by 네떡지기

 이제는 매번 같은 얘기의 반복이지만, 또 간만에 포스팅을 하게 되네요.

 바쁜 탓도 있고, 부족한 내공 탓에 이해하고 정리하는 데 시간이 오래 걸리는 탓도 있습니다.

 이번 포스팅과 다음 포스팅은 연장선상에 있을 예정입니다.

 이번에는 vPC 구조에서 HSRP와 VRRP 동작과 관련된 내용입니다. 기존 동작 방식과는 조금은 다른 방식이고

 다음 포스팅에 나올 얘기에 필요한 부분입니다. ^^

 

 


 

vPC에서 HSRP/VRRP 동작

기존 구조에서 HSRP/VRRP와 같은 Gateway 이중화는 Active-Standby 구조로써, Active 장비만 Virtual Gateway MAC-Address

 를 가지고 트래픽을 전송하도록 되어있지만, vPC에서는 Virtual Gateway MAC-AddressActvieStandby 장비 모두에서 가

 지게 되어 Dual-Active로써 트래픽을 전송할 수 있다.

• vPC에서 Active-Active 구조를 위해서 추가적인 설정은 따로 필요하지 않으며, vPC Domain이 설정되고, SVIHSRP/VRRP

  Group 활성화되면 HSRP/VRRP는 기본적으로 Active-Active 구조가 된다. (Data Plane 관점)

하지만, ARP request에 대한 응답은 기존과 마찬가지로, Primary(Active) 장비에서만 가능하다.

  (Control 관점에서는 여전히 Active-Standby)

vPC의 이러한 향상된 전송 방식으로 인해서, vPC peer linkvPCpeer 장비의 모든 vPC Port를 사용할 수 없는 경우를 제외

  하고는 vPC 트래픽을 전송하지 않는다. 이로인해 vPC 스위치의 추가적으로 증가할 경우에 vPC peer link의 대역폭을 확장할

  필요가 없다.

  그러나, vPC peer link의 역할의 중요성 때문에 vPC peer link는 서로 다른 I/O 모듈에서의 두 개의 전용 10GE Link로 구성하는

  것이 좋다

    Peer link를 통해서 들어온 FramevPC Port로 나가려고 하면, NexusLoop avoidance 매커니즘에 의해서 Drop 된다.

• vPC에서 FHRP 동작 시, Data Plane관점에서 vPC장비들은 이러한 Actvie-Active로 동작하면서 데이터를 전송하기 위해서,

  vPC 장비 양쪽 모두 MAC address tableFHRPvirtual MAC-address을 위해,  아래와 같이 G bit(Gateway bit)를 할당한다.

• vPC Actvie쪽은 sup-eth1(R) , vPC Standby쪽은 vPC Peer-link로 나오는 데, 이를 통해 어떤 장비가 HSRP/VRRP

   Active/Standby 인지 알 수 있다.  (Control Plane 관점)

 

 

 

  NEXUS_1# sh mac address-table addr 0000.0c07.ac6e

  Legend:

          * - primary entry, G - Gateway MAC, (R) - Routed MAC, O - Overlay MAC

          age - seconds since last seen,+ - primary entry using vPC Peer-Link

     VLAN     MAC Address      Type      age     Secure NTFY Ports/SWID.SSID.LID

  ---------+-----------------+--------+---------+------+----+------------------

  G  10      0000.0c07.ac6e    static       -       F    F  sup-eth1(R)

 

 

  NEXUS_2# sh mac address-table addr 0000.0c07.ac6e

  Legend:

          * - primary entry, G - Gateway MAC, (R) - Routed MAC, O - Overlay MAC

          age - seconds since last seen,+ - primary entry using vPC Peer-Link

     VLAN     MAC Address      Type      age     Secure NTFY Ports/SWID.SSID.LID

  ---------+-----------------+--------+---------+------+----+------------------

  G   10      0000.0c07.ac6e    static       -       F    F  vPC Peer-Link(R)

 

 

 

 

vPC에서 HSRP/VRRP 가이드라인과 제약사항

HSRP/VRRPActive-Active mode로 동작하기 때문에 구성 시, Timer에 대한 부분을 크게 고려하지 않고 Default로 사용해도 무방하다.

• HSRP/VRRPActivevPC Primary 장비에 설정을 하고, StandbyvPC Secondary 장비에 설정하는 것