Tag Archives: Virtual Chassis

Notas estudo JNCIS-ENT parte 5

Nota: Este Post faz parte do guide de Switching.

Software Upgrade

É possível fazer upgrades individualmente ou a todos os membros

!Fazer upgrade a um membro
{master:0}
[email protected]>request system software add member <member-id>

!Fazer upgrade a todos os membros
{master:0}
[email protected]>request system software add

Software Compatibility Check

Os novos membros fazem upgrade ao firmware para a mesma versão do master
Os upgrade podem ser feitos manualmente ou usando a feature que o faz automaticamente

Software Upgrades Using NSSU

Requisitos para suportar NSSU:

  • Membros conectados em topologia ring
  • Master e Backup devem ser adjacentes
  • Line cards devem estar preprovisionadas na Line card role
  • Os membros do virtual chassis tem no-split-configured configurado
  • Todos os membros devem ter a mesma versao de firmware
  • NSR e GRES deve estar activo
  • Opcionalmente, pode ser activado o NSB(Non-stop bridging) bem como fazer backup ao firmware usando request system snapshot

Upgrade Process using NSSU

1.Download dos software packages e copia-los para /var/tmp
2.Login no master switch usando a consola ou VME interface
3.Iniciar o processo NSSU :
{master:0}
[email protected]> request system software nonstop-upgrade /var/tmp/package-name.tgz

Iniciar o processo NSSU numa plataforma mixed de Virtual Chassis
{master:0}
[email protected]>  request system software nonstop-upgrade set [/var/tmp/package1-name.tgz /var/tmp/package2-name.tgz]

Topology Discovery

Os membros do Virtual Chassis usam Virtual Chassis Control Protocol (VCCP) para criar uma topologia loop-free

São trocadas mensagens link state advertisement (LSA) entre todos os PFEs, todos os membros build PFE topology maps.
Cada membro executa o algoritmo shortest-path first (SPF) para cada PFE criar uma PFE map table entre todos os PFEs.
Cada PFE cria source ID egrees filter tables usadas para prevenir looping de pacotes broadcast/multicast
Estas topology maps determinam o best path individualmente entre PFEs

O algoritmo SPF e baseado em hop count e bandwidth, em caso de falha e efectuada novo calculo de SPF

Inter-Chassis Packet Flow

Para minimizar a interrupção de tráfego durante o RE failover activar o Graceful Routing Engine switchover

{master:0}
[email protected]#set chassis redundancy graceful-switchover

Existem outras opcoes:

auto-sw-update – efectuar automaticamente upgrade ao firmware dos membros para a versao do master, by default feature disable
fast-failover – automaticamente faz reroute do trafego em caso de perda de um switch ou link. Cada VCP e automaticamente configurado com uma backup port dos mesmo tipo (dedicated VCP,SFP uplink VCP) ou XFP uplink VCP).  A porta backup funciona como standby. Feature efectiva apenas na topologia ring usando portas identicas. By default feature activa, mas deve ser ativada para os uplinks convertidos para VCPs caso necessario
id – ID do Virtual Chassis, tem precedencia sob o assignado automaticamente
mac-persistence-timer – Se o switch master for removido/desconectado do Virtual Chassis, esta feature determina por quanto tempo e que o backup (new master) vai usar o antigo mac-address do old master switch
no-split-detection – desativar a feature de split e merge que by default esta enable. A feature de split and merge permite reagir ao “split brain” do virtual chassis
preprovisioned – permite determinar/controlar qual o role e ID de um member no virtual chassis. O preprovision faz link entre o serial number de cada member e o Role/ID.
Usando esta opção e necessário selecionar 2 members elegíveis para o processo de mastership, e devem ser designados como routing-engines, os restantes como Line Cards

O GRES não preserva o data-plane activo

Dynamic Configuration Process

Configurar no master a high prioriry (255), configurar o backup com high prioriry (255), e ligar os restantes switches sequencialmente

edit virtual-chassis member <member-id> mastership-priority <priority>

Preprovisioned Configuration

set virtual-chassis preprovisioned member 2 role routing-engine serial-number BM0208105170
set virtual-chassis preprovisioned member 3 role line-card serial-number BM0208105171

show virtual-chassis vc-port

Converter UPlinks em VCPs
{master:0}
[email protected]> request virtual-chassis vc-port set pic-slot 1 port 0 local
fpc0:
————————————————————————–
{master:0}
[email protected]> show interfaces terse vcp-255/1/0
Interface               Admin Link Proto    Local                 Remote
vcp-255/1/0             up    down
vcp-255/1/0.32768       up    down
{master:0}
[email protected]> show interfaces terse xe-0/1/0
error: device xe-0/1/0 not found

!Remover o VCP link colocando a interface no seu formato original (xe-0/1/0):
{master:0}
[email protected]> request virtual-chassis vc-port delete pic-slot 1 port 0 local
fpc0:
{master:0}
[email protected]> show interfaces terse vcp-255/1/0
error: device vcp-255/1/0 not found
{master:0}
[email protected]> show interfaces terse xe-0/1/0
Interface               Admin Link Proto    Local                 Remote
xe-0/1/0                up    down

Chapter 7 High Availability Features

High Availability Features:
Link Aggregation Groups (LAG) – conhecido como 802.3ad
Redundant Trunk Groups (RTG) – pode ser usado como método alternativo ao Spanning-tree
Graceful Routing Engine switchover(GRES) – Permite mudar entre o master e o backup com uma interrupcao minima sincronizando as tabelas do kernel/PFE. Requer RE redundantes ou Virtual Chassis
Nonstop Active Routing switchover(NSR) – alta disponibilidade com RE redundantes ou Virtual Chassis, não requer o restart dos routing protocols sincronizando o processo rpd e routing information
Nonstop Bridging(NSB) – alta disponibilidade com RE redundantes ou Virtual Chassis, não requer o restart dos Layer 2 protocols sincronizando o processo RE e switching information

Link Aggregation Groups (LAG)

Mesmo Duplex/Speed
Ate 8 links por LAG
As portas podem pertencer a membros diferentes usando Virtual Chassis

Processing and Forwarding Considerations

O trafego RE e sempre enviado atraves do lowest member link
O hashing usa  Layer 2, Layer 3 e Layer 4 no trafego IP
O Non-IP usa o source/destination MAC

Implementing LAG

set chassis aggregated-devices ethernet device-count 1

Nota: O device-count indica o numero de interfaces, p.exemplo: usando o valor 2 sao criados o ae0 e ae1

{master:0}[edit]
[email protected]# show chassis
aggregated-devices {
ethernet {
device-count 2;
}
}

{master:0}[edit]
[email protected]# run show interfaces terse | match ae
ae0                     up    down
ae1                     up    down

set interface ae0 unit 0 family ethernet-switching
set interface ae0 aggregated-ether-options lacp active
set interface ge-0/0/12 ether-options 802.3ad ae0
set interface ge-0/0/13 ether-options 802.3ad ae0

By default o LACP envia mensagens a cada 1 segundo, e possível modificar usando:

{master:0}[edit interfaces ae0 aggregated-ether-options lacp]
[email protected]# set periodic ?
Possible completions:
fast                 Transmit packets every second
slow                 Transmit packets every 30 seconds

Usando rates diferentes, o transmissor usa o rate do receptor

Redundant Trunk Groups (RTG)

Alternativa ao STP nos switches de acesso em acessos redundantes (uplinks), em access ou trunk mode

1 switch tem 2 uplinks ao Core, em que 1 dos links esta sempre activo o o outro em backup. Em caso de falha do active o backup fica activo. A convergência e inferior a 1 segundo

O Switch faz drop ao trafego no backup link , mas o tráfego controlo Layer 2 continua a ser permitido (LACP ou LLDP)

O RTG e tipicamente configurado apenas nos switches de accesso
O RTG e STP são mutuamente exclusivos numa porta
Os BPDUs do STP são descartados nos links RTG
O STP e configurado nos switches de agregação

Nota: Maximo 16 RTG por switch

Configuring RTG

set ethernet-switching-options redundant-trunk-group group rtg-1 interface ae0.0 primary
set ethernet-switching-options redundant-trunk-group group rtg-1 interface ge-0/0/10.0

se o primary for omitido, a highest interface e escolhida como activa. Não existe preempt em qualquer cenário

show redundant-trunk-group

Referências:

Notas estudo JNCIS-ENT parte 1

Notas estudo JNCIS-ENT parte 2

Notas estudo JNCIS-ENT parte 3

Notas estudo JNCIS-ENT parte 4

Notas estudo JNCIS-ENT parte 4

Nota: Este Post faz parte do guide de Switching.

 Chapter 5 Device Security and Firewall Filters

Storm Control

O Storm Control monitoriza o broadcast, multicast e unknown unicast
By default o limite cumulativo em todas as interface e de 80%

set ethernet-switching-options storm-control interface all

É possível definir um novo limite bem como desativar o storm control individualmente

Storm Control Actions

set ethernet-switching-options storm-control interface all
set ethernet-switching-options storm-control action-shutdown

By default quando o limite é excedido o tráfego em excesso é descartado. É possível configurar para que a interface seja desativada
É possível usar a action shutdown e port-error-disable, permitindo fazer o recover automaticamente

!Executar manualmente para colocar novamente em servico
clear ethernet-switching port-error

Firewall Filters

Os firewall filters nos EX são analisados em hardware, no PFE.

Firewall Filter Types

Types:
Port-based
VLAN-based
Router-based

Port/VLAN based são usados na family ethernet-switching
Router-based usa a family inet ou family inet6

Building Blocks of Firewall Filters

Discard implicito na firewall rule (Default action)

As rules sao executadas sequencialmente, para reordenar usar o insert no CLI

É possível fazer match de grande parte dos header fields, inclui ainda:
Numeric range
Address
Bit field

[email protected]# set firewall family ethernet-switching filter test term test from ?
Possible completions:
+ apply-groups         Groups from which to inherit configuration data
+ apply-groups-except  Don’t inherit configuration data from these groups
> destination-address  Match IP destination address
> destination-mac-address  Match MAC destination address
+ destination-port     Match TCP/UDP destination port
> destination-prefix-list  Match IP destination prefixes in named list
+ dot1q-tag            Match Dot1Q Tag Value
+ dot1q-user-priority  Match Dot1Q user priority
+ dscp                 Match Differentiated Services (DiffServ) code point
+ ether-type           Match Ethernet Type
fragment-flags       Match fragment flags (in symbolic or hex formats) – (Ingress
only)
+ icmp-code            Match ICMP message code
+ icmp-type            Match ICMP message type
> interface            Match interface name
is-fragment          Match if packet is a fragment
+ precedence           Match IP precedence value
+ protocol             Match IP protocol type
> source-address       Match IP source address
> source-mac-address   Match MAC source address
+ source-port          Match TCP/UDP source port
> source-prefix-list   Match IP source prefixes in named list
tcp-established      Match packet of an established TCP connection
tcp-flags            Match TCP flags (in symbolic or hex formats) – (Ingress only)
tcp-initial          Match initial packet of a TCP connection – (Ingress only)
+ vlan                 Match Vlan Id or Name

Common Actions

Terminating actions:
accept
discard
reject

Action modifiers:
analyser
count
log
syslog
forwarding-class
loss-priotiry
policer

set firewall family ethernet-switching filter limit-MAC-ge006 term 1 from source-mac-address 00:26:88:02:74:86
set firewall family ethernet-switching filter limit-MAC-ge006 term 1 then accept
set firewall family ethernet-switching filter limit-MAC-ge006 term 2 then discard count ge006-invalid-MAC
set interface ge-0/0/6.0 family ethernet-switching vlan menbers v11
set interface ge-0/0/6.0 family ethernet-switching filter input limit-MAC-ge006

set firewall family ethernet-switching filter block-dest-MAC term 1 from destination-mac-address 01:80:c2:00:00:00
set firewall family ethernet-switching filter block-dest-MAC term 1 then discard count block-stp-bpdus
set firewall family ethernet-switching filter block-dest-MAC term 2 then accept
set vlans v11 vlan-id 11 l3-interface vlan.11 filter input block-dest-MAC

Chapter 6 Virtual Chassis

Ate 4 EX2200
Ate 10 EX3300,EX4200, EX4500
Ate 10 EX4500 e 4200 combinados
Ate 8 EX8200

RE redundantes permite implementar nonstop active routing (NSR) e nonstop bridging (NSB)

Virtual Chassis Ports (VCP) podem ser usadas as portas dedicadas e/ou portas de uplink
O interconnect entre os virtual chassis pode ser feito através de qualquer modelo EX

{master:0}
[email protected]> request virtual-chassis vc-port set pic-slot 1 port 0

{master:0}
[email protected]> show interfaces terse | match vcp-255
vcp-255/1/0             up    down

Virtual Chassis cabling

A distancia máxima entre switches e de 5 metros (topologia daisy chained ring)
Também existe a topologia braided ring

Extended Virtual Chassis

O máximo da circunferência e de 100 km (usando 1/10 GbE uplinks)

Os switches RE0 e RE1 não tem os uplinks em qualquer das topologias

Recommended RE Placement

topologia daisy chained ring – RE0(#1) e RE1(#3), Uplinks Porta 2/4
topologia brainded ring – RE0(#2) e RE1(#3), Uplinks Porta 1/4

By default a feature Split Virtual chassis “split brain” está activa nos EX4200

Determinar o Mastership

1. Priority + alta , by default 128
2. Membro anteriormente a funcionar como master, após reboot
3. Membro com uptime superior (diference deve ser superior a 1 minuto)
4. Membro com o MAC-Address mais baixo
5. 2′ membro torna-se backup, os restantes como line cards

Caso o master ou backup falhe e elegido um dos line card switches usando o mesmo processo

Member ID é assignado manualmente ou dinamicamente através do master switch (este usualmente com ID 0)
Member ID preservado em caso de reboot

{master:0}
[email protected]> request virtual-chassis renumber member-id 0 new-member-id 5
To move configuration specific to member ID 0 to member ID 5, please
use the replace command. e.g. replace pattern ge-0/ with ge-5/
Do you want to continue ? [yes,no] (no) yes
{master:0}
[email protected]>
Switch-1 (ttyu0)
login: user
Password:
— JUNOS 10.1R2.8 built 2010-05-11 04:08:08 UTC
{master:5}
[email protected]>

{master:5}
[email protected]> request system halt member ?
Possible completions:
<member>             Halt specific virtual chassis member (0..

{master:5}
[email protected]> request session member 1
— JUNOS 10.1R2.8 built 2010-05-11 04:08:08 UTC
{backup:1}
[email protected]>

Replacing a Member Switch

Quando e removido um switch a configuração permanece
Para efetuar o replacement:
Fazer recycle do member ID a ser substituido, torna-o menos prioritário

{master:0}
[email protected]>request virtual-chassis recycle member-id <member-id>

Management Connectivity

As Ethernet Ports (me0) nos switches são representados por uma unica virtual management Ethernet (VME) interface
Esta porta e configurada no master switch

set interfaces vme unit 0 family inet address 10.210.14.148/27

A porta de consola de qualquer dos membros do virtual chassis redireciona para a do master switch

{master:5}
[email protected]> request session member 1
— JUNOS 10.1R2.8 built 2010-05-11 04:08:08 UTC
{backup:1}
[email protected]>

Referências:

Notas estudo JNCIS-ENT parte 1

Notas estudo JNCIS-ENT parte 2

Notas estudo JNCIS-ENT parte 3