アライドテレシス コア・スイッチ AT-x900シリーズとディストリビューションスイッチ AT-x600シリーズで実現するsFlow リアルタイム トラフィックモニターネットワーク

Transcription

1 主な目的 常にアプリケーションへ最適なネットワーク環境を提供したい 障害予兆検知とトラブル発生時の迅速な対応を実現したい リアルタイムなトラフィックトラフィックの蓄積蓄積 解析解析を行いたい 概要 アライドテレシスでは 企業の重要なインフラとなっているネットワークを より快適に安定して提供する為の仕組みとして x シリーズでは sflow バージョン 5 に対応した sflow エージェントをファームウェア Ver よりご提供をしています sflow に対応することで ネットワークのトラフィック / フローが監視できます 1 ギガ /10 ギガといった大容量のトラフィックをスイッチやネットワークパフォーマンスに影響を与えることなく プロトコルレベルで詳細にかつ リアルタイムに正確に蓄積 解析することができるため 予兆の素早い検知とトラブル発生時の迅速な対応が可能となります さらに バーチャルシャーシスタック, VCS と組み合わせることで ネットワークを簡素化し 物理 論理構成をシンプルにすることで sflow によりサンプリングしたトラフィックの解析を容易にし アプリケーションへ最適なネットワーク環境の構築 障害予兆検知とトラブル発生時の迅速な対応を促進します 1

2 構築のポイント sflow InMon Traffic Sentinel sflow corrector (Inmon Traffic Sentinel) VLAN 101 SNMP manager, Syslog server VLAN T/SP_1 Giga *2 9924T/SP_2 Port5 Port6 Port5 Port6 Port1 Port2 Port1 Port2 Giga *2 SBx908-VCS x600-vcs x600_1 3 sflow SBx908_ RIP&OSPF SBx908-VCS Giga *2 SBx908-VCS x600-vcs MAC VCS Fast Failover SBx908-VCS 2 VCS-FF x600-vcs 4 VCS-FF SBx908_ Giga *4 Static routing SBx908-VCS x600-vcs XFP 8 0G SBx908-VCS XEM- 2XP 10 Giga *8 x600_1 x600-vcs x600_1 LDF x600-vcs x600_2 x600_ x600_4 x600_5 VLAN 1 VLAN 2 VLAN 3 x600-vcs x600_1 Tri-Auth Authenticator SBx908-VCS x600-vcs x600-vcs VLAN x600_1 EAP Radius SBx908 Radius VLAN 11 VLAN 12 VLAN 13 2

3 SBx908-VCS 設定サンプルその 1 CLI や SNMP 上で機器を識別するためのホスト名を設定しておくと機器管理がしやすくなります hostname x908-vcs Syslog SNMP 及びタイムゾーン設定を行います タイムゾーンは NTP を使用して時刻を自動的に調整するために必要なパラメータです SNMP は sflow でも用いるため SNMP マネージャー ( ) と sflow コレクター ( ) の両方の設定をしています log host log host level debugging clock timezone JST plus 9:00 snmp-server snmp-server enable trap auth loopprot nsm vcs snmp-server community public rw snmp-server host version 2c public snmp-server host informs version 2c public snmp-server host version 2c public snmp-server host informs version 2c public 認証に使用する RADIUS サーバーを設定します radius-server host コマンドで使用する RAIDUS サーバーの IP アドレスを登録します 本構成では本機器がローカル Radius サーバーとして動作するため ローカルホスト ( ) を指定します radius-server host key awplus-local-radius-server Tri-Auth で使用する 802.1X/Web/MAC アドレスベースの各認証方式を有効化します aaa authentication dot1x default group radius aaa authentication auth-mac default group radius aaa authentication auth-web default group radius 3

4 SBx908-VCS 設定サンプルその 2 ローカル Radius サーバーの設定を行います radius-server local コマンドの初回実行時には ローカル CA( ローカルなルート認証局 ) の初期設定 ( 自署ルート CA 証明書の発行など ) や RADIUS サーバーの証明書発行などが自動的に行われ またローカルホスト ( ) を Radius クライアント (NAS) として自動登録します 他の Radius クライアントである x600- VCS( ) は手動登録します 次に 各認証方式で必要となるユーザーグループとユーザーをそれぞれ登録します VCS 設定を行います Ver5.3.3 から VCS グループメンバーが共通で使用するバーチャル MAC アドレスをサポートしました VCS の MAC アドレスが変更されず 周囲の機器が保持する FDB の書き換えが必要ありませんので スムーズな Failover を実現します なお バーチャル MAC アドレス設定は VCS グループの再起動後 有効になります crypto pki trustpoint local crypto pki enroll local radius-server local server enable nas key awplus-local-radius-server nas key atkk group v11users vlan 11 group v12users vlan 12 group v13users vlan 13 user encrypted password xxx user encrypted password xxx group v13users user login1 encrypted password xxx user login101 encrypted password xxx group v12users user webauth1 encrypted password xxx user webauth101 encrypted password xxx group v11users stack virtual-mac stack virtual-chassis-id 1720 stack resiliencylink eth0 stack 1 priority 10 初期値では RSTP が有効です 本構成例では RSTP は使用していませんので 無効化します spanning-tree mode rstp no spanning-tree rstp enable 注 VCS 構成時は VCS の制御パケットが送信キュー 7 を使うため その他のパケットを送信キュー 7 に割り当てないでください 具体的には mls qos map cos-queue, mls qos map mark-dscp, mls qos map policed-dscp, mls qos queue, set queue の各コマンドで送信キュー 7 を指定しないようにしてください 特に cos-queue マップの初期設定では CoS 値 7 が送信キュー 7 にマップされているので VCS 構成時は送信キュー 7 を使わないよう mls qos map cos-queue コマンドでマッピングを変更してください 4

5 SBx908-VCS 設定サンプルその 3 機器の CPU 負荷が高くなってしまったときでも正常に機能が動作するように ARP パケットやルーティングプロトコルのパケットを優先的に処理する QoS( 優先制御 ) の設定を行います QoS 機能を有効化後 ARP パケットやルーティングプロトコルのパケットを ACL class-map で定義します ARP の match 条件はタグ付きとタグなしの 2 種類をそれぞれ定義する必要がありますのでご注意下さい 最後に作成した policy-map を束ねて class-map として定義し 3 番目に優先度の高い queue5 を設定します mls qos enable access-list 3001 permit udp any any eq 520 class-map RIP_QoS match access-group 3001 class-map UntaggedARP match eth-format ethii-untagged protocol 0806 class-map TaggedARP match eth-format ethii-tagged protocol 0806 policy-map CtrlPkts class default class RIP_QoS set queue 5 class UntaggedARP set queue 5 class TaggedARP set queue 5 筐体全体に対する sflow エージェントの設定を行います 自身のインタフェースに設定されている IP アドレスを sflow エージェント IP アドレスとして設定します この IP アドレスは sflow エージェントを区別する識別子として用いられます 次に sflow コレクターの IP アドレスを設定します 最後に sflow を筐体全体に有効にします sflow agent ip sflow collector ip sflow enable 必要な VLAN を作成します vlan database vlan 2-3,10, state enable 5

6 SBx908-VCS 設定サンプルその 4 次に ディストリビューションスイッチ x600-vcs との接続リンクとなるリンクアグリゲーショングループを作成します 8 ポートで構成し VLAN10 のタグなしポートとします interface port mode access access vlan 10 static-channel-group 1 port mode access access vlan 10 static-channel-group 1 次に ディストリビューションスイッチ x600_1 との接続リンクとなるリンクアグリゲーショングループを作成します 4 ポートで構成し VLAN1~3 のタグつきポートとします interface port1.5.1 mode trunk trunk allowed vlan add 1-3 trunk native vlan none static-channel-group 2 interface port1.6.1 mode trunk trunk allowed vlan add 1-3 trunk native vlan none static-channel-group 2 6

7 SBx908-VCS 設定サンプルその 5 次に 上位 L3 スイッチとの接続リンクとなるリンクアグリゲーショングループを作成します 2 ポートで構成し VLAN101 のタグなしポートとします interface port1.7.1 mode access access vlan 101 static-channel-group 3 次に 上位 L3 スイッチとの接続リンクとなるリンクアグリゲーショングループを作成します 2 ポートで構成し VLAN102 のタグなしポートとします 次に ディストリビューションスイッチ x600-vcs との接続リンクとなるリンクアグリゲーショングループを作成します 8 ポートで構成し VLAN10 のタグなしポートとします interface port1.8.1 mode access access vlan 102 static-channel-group 4 interface port mode access access vlan 10 static-channel-group 1 interface port mode access access vlan 10 static-channel-group 1 7

8 SBx908-VCS 設定サンプルその 6 次に 上位 L3 スイッチとの接続リンクとなるリンクアグリゲーショングループを作成します 2 ポートで構成し VLAN102 のタグなしポートとします 次に 上位 L3 スイッチとの接続リンクとなるリンクアグリゲーショングループを作成します 2 ポートで構成し VLAN101 のタグなしポートとします interface port2.5.1 mode trunk ingress-filter disable trunk allowed vlan add 1-3 trunk native vlan none static-channel-group 2 interface port2.6.1 mode trunk ingress-filter disable trunk allowed vlan add 1-3 trunk native vlan none static-channel-group 2 interface port2.7.1 mode access access vlan 101 static-channel-group 3 次に 上位 L3 スイッチとの接続リンクとなるリンクアグリゲーショングループを作成します 2 ポートで構成し VLAN102 のタグなしポートとします interface port2.8.1 mode access access vlan 102 static-channel-group 4 8

9 SBx908-VCS 設定サンプルその 7 sa インターフェースは Static-channelgroup を設定すると自動的に作成されます 事前に作成しておいたサービスポリシーをこれら 4 つの sa インターフェースに適用します また sa2 インタフェースには Tri-Auth を設定します interface sa1 mode access access vlan 10 service-policy input CtrlPkts interface sa2 mode trunk ingress-filter disable trunk allowed vlan add 1-3 trunk native vlan none auth-mac enable auth-web enable dot1x port-control auto auth host-mode multi-supplicant service-policy input CtrlPkts interface sa3 mode access access vlan 101 service-policy input CtrlPkts interface sa4 mode access access vlan 102 service-policy input CtrlPkts 9

10 SBx908-VCS 設定サンプルその 8 各 VLAN に IP アドレスを設定します interface vlan1 ip address /24 interface vlan2 ip address /24 interface vlan3 ip address /24 interface vlan10 ip address /17 interface vlan101 ip address /25 interface vlan102 ip address /25 VLAN101 で OSPF を有効にします OSPF 以外の経路も OSPF で通知させるため redistributed コマンドも設定します また VLAN102 で RIP を有効にします RIP 以外の経路も RIP で通知させるため redistributed コマンドも設定します 最後に その他の必要な経路情報を静的に設定します router ospf network /25 area 0 redistribute connected redistribute static redistribute rip router rip network /25 redistribute connected redistribute static redistribute ospf ip route / ip route / ip route / ip route / NTP サーバーの IP アドレスを指定し 機器内部で保持する時刻情報が自動的に同期するようにしています ntp server

11 x600-vcs 設定サンプルその 1 CLI や SNMP 上で機器を識別するためのホスト名を設定しておくと機器管理がしやすくなります Syslog SNMP 及びタイムゾーン設定を行います タイムゾーンは NTP を使用して時刻を自動的に調整するために必要なパラメータです SNMP は sflow でも用いるため SNMP マネージャー ( ) と sflow コレクター ( ) の両方の設定をしています hostname x600-vcs log host log host level debugging clock timezone JST plus 9:00 snmp-server snmp-server enable trap auth loopprot vcs snmp-server community public rw snmp-server host version 2c public snmp-server host informs version 2c public snmp-server host version 2c public snmp-server host informs version 2c public 認証に使用する RADIUS サーバーを設定します radius-server host コマンドで使用する RAIDUS サーバーの IP アドレスを登録します 本構成では SBx908 のローカル Radius サーバー ( ) を指定します radius-server host key atkk Tri-Auth で使用する 802.1X/Web/MAC アドレスベースの各認証方式を有効化します aaa authentication dot1x default group radius aaa authentication auth-mac default group radius aaa authentication auth-web default group radius VCS 設定を行います Ver5.3.3 から VCS グループメンバーが共通で使用するバーチャル MAC アドレスをサポートしました VCS の MAC アドレスが変更されず 周囲の機器が保持する FDB の書き換えが必要ありませんので スムーズな Failover を実現します なお バーチャル MAC アドレス設定は VCS グループの再起動後 有効になります stack virtual-mac stack virtual-chassis-id 1 stack resiliencylink vlan4093 stack 1 priority 10 stack 2 priority 20 stack 3 priority 30 stack 4 priority 40 11

12 x600-vcs 設定サンプルその 2 Tri-Auth で認証に成功したクライアントに対して IP アドレスを自動的に割り当てるための DHCP サーバー機能を設定します クライアントは認証に成功したとき RADIUS サーバーから指定される VLAN に所属することになりますので アサインされる VLAN ごとに IP アドレスのレンジを予め作成しておきます 本例では 4 つの VLAN を使用していますので 4 つのレンジを作成しています 最後に DHCP サーバー機能を有効化します ip dhcp pool v11 network range default-router lease subnet-mask ip dhcp pool v12 network range default-router lease subnet-mask ip dhcp pool v13 network range default-router lease subnet-mask ip dhcp pool v20 network range default-router lease subnet-mask service dhcp-server 初期値では RSTP が有効です 本構成例では RSTP は使用していませんので 無効化します spanning-tree mode rstp no spanning-tree rstp enable LDF(LoopDetection Frame) によるループガード機能を有効にします loop-protection loop-detect 12

13 x600-vcs 設定サンプルその 3 機器の CPU 負荷が高くなってしまったときでも正常に機能が動作するように ARP パケットを優先的に処理する QoS( 優先制御 ) の設定を行います QoS 機能を有効化後 ARP パケット class-map で定義します ARP の match 条件はタグ付きとタグなしの 2 種類をそれぞれ定義する必要がありますのでご注意下さい 最後に作成した policy-map を束ねて class-map として定義し 3 番目に優先度の高い queue5 を設定します 筐体全体に対する sflow エージェントの設定を行います 自身のインタフェースに設定されている IP アドレスを sflow エージェント IP アドレスとして設定します この IP アドレスは sflow エージェントを区別する識別子として用いられます 次に sflow コレクターの IP アドレスを設定します 最後に sflow を筐体全体に有効にします class-map UntaggedARP match eth-format ethii-untagged protocol 0806 class-map TaggedARP match eth-format ethii-tagged protocol 0806 policy-map CtrlPkts class default class UntaggedARP set queue 5 class TaggedARP set queue 5 mls qos enable sflow agent ip sflow collector ip sflow enable 必要な VLAN を作成します vlan database vlan 10-13,20 state enable 13

14 x600-vcs 設定サンプルその 4 次に コアスイッチ SBx908-VCS との接続リンクとなるリンクアグリゲーショングループを作成します 8 ポートで構成し VLAN10 のタグなしポートとします interface port thrash-limiting action none loop-protection action port-disable timeout 300 mode access access vlan 10 static-channel-group 1 interface port thrash-limiting action none loop-protection action port-disable timeout 300 mode access access vlan 10 static-channel-group 1 interface port thrash-limiting action none loop-protection action port-disable timeout 300 mode access access vlan 10 static-channel-group 1 interface port thrash-limiting action none loop-protection action port-disable timeout 300 mode access access vlan 10 static-channel-group 1 14

15 x600-vcs 設定サンプルその 5 sa インターフェースは Static-channelgroup を設定すると自動的に作成されます 事前に作成しておいたサービスポリシーを sa1 インターフェースに適用します また sa1 インタフェースには Tri-Auth とマルチプルダイナミック VLAN を設定します interface sa1 thrash-limiting action none loop-protection action port-disable timeout 300 mode access access vlan 10 service-policy input CtrlPkts 各 VLAN に IP アドレスを設定します interface vlan1 ip address /24 interface vlan10 ip address /17 interface vlan11 ip address /24 interface vlan12 ip address /24 interface vlan13 ip address /24 interface vlan20 ip address /24 デフォルトルート情報を静的に設定します ip route / NTP サーバーの IP アドレスを指定し 機器内部で保持する時刻情報が自動的に同期するようにしています ntp server

16 x600_1 設定サンプルその 1 CLI や SNMP 上で機器を識別するためのホスト名を設定しておくと機器管理がしやすくなります Syslog SNMP 及びタイムゾーン設定を行います タイムゾーンは NTP を使用して時刻を自動的に調整するために必要なパラメータです SNMP は sflow でも用いるため SNMP マネージャー ( ) と sflow コレクター ( ) の両方の設定をしています hostname x600 log host log host level debugging clock timezone JST plus 9:00 snmp-server snmp-server community public rw snmp-server host version 2c public snmp-server host informs version 2c public snmp-server host version 2c public snmp-server host informs version 2c public 初期値では RSTP が有効です 本構成例では RSTP は使用していませんので 無効化します spanning-tree mode rstp no spanning-tree rstp enable LDF(LoopDetection Frame) によるループガード機能を有効にします loop-protection loop-detect 802.1X 認証で使用する EAP フレームを透過させる設定を行います 初期値では EAP は透過せずに破棄されます 機器の CPU 負荷が高くなってしまったときでも正常に機能が動作するように ARP パケットを優先的に処理する QoS( 優先制御 ) の設定を行います QoS 機能を有効化後 ARP パケット class-map で定義します ARP の match 条件はタグ付きとタグなしの 2 種類をそれぞれ定義する必要がありますのでご注意下さい 最後に作成した policy-map を束ねて class-map として定義し 3 番目に優先度の高い queue5 を設定します dot1x eap forward mls qos enable class-map UntaggedARP match eth-format ethii-untagged protocol 0806 class-map TaggedARP match eth-format ethii-tagged protocol 0806 policy-map CtrlPkts class default class UntaggedARP set queue 5 class TaggedARP set queue 5 16

17 x600_1 設定サンプルその 2 筐体全体に対する sflow エージェントの設定を行います 自身のインタフェースに設定されている IP アドレスを sflow エージェント IP アドレスとして設定します この IP アドレスは sflow エージェントを区別する識別子として用いられます 次に sflow コレクターの IP アドレスを設定します 最後に sflow を筐体全体に有効にします sflow agent ip sflow collector ip sflow enable 必要な VLAN を作成します vlan database vlan 2-3 state enable 次に コアスイッチ SBx908-VCS との接続リンクとなるリンクアグリゲーショングループを作成します 4 ポートで構成し VLAN1~3 のタグつきポートとします interface port mode trunk trunk allowed vlan add 1-3 trunk native vlan none static-channel-group 1 17

18 x600_1 設定サンプルその 3 次に VLAN1~3 の 3 個の VLAN を作成します これらの VLAN の配下に接続されるクライアントは SBx908(Authenticator) で各 VLAN ごとに異なる認証方式で認証されます interface port mode access service-policy input CtrlPkts interface port mode access access vlan 2 service-policy input CtrlPkts interface port mode access access vlan 3 service-policy input CtrlPkts sa インターフェースは Static-channelgroup を設定すると自動的に作成されます 事前に作成しておいたサービスポリシーを 1 つの sa インターフェースに適用します interface sa1 mode trunk trunk allowed vlan add 1-3 trunk native vlan none service-policy input CtrlPkts 各 VLAN に IP アドレスを設定します interface vlan1 ip address /24 デフォルトルート情報を静的に設定します ip route / NTP サーバーの IP アドレスを指定し 機器内部で保持する時刻情報が自動的に同期するようにしています ntp server

19 9924_1 設定サンプルその 1 CLI や SNMP 上で機器を識別するためのホスト名を設定しておくと機器管理がしやすくなります 必要な VLAN を作成します set system name=" create vlan="vlan50" vid=50 create vlan="vlan101" vid=101 create vlan="vlan103" vid=103 add vlan="50" port=9-12 add vlan="101" port=1-4 add vlan="103" port=5-8 スタティックトランクグループ ( スタティックリンクアグリゲーション ) を作成します 各 VLAN に IP アドレスを設定します create switch trunk=sa1 port=1-2 speed=1000m create switch trunk=sa2 port=5-6 speed=1000m enable ip add ip int=vlan101 ip= mask= add ip int=vlan103 ip= mask= add ip int=vlan50 ip= mask= VLAN で OSPF を有効にします OSPF 以外の経路も OSPF で通知させるため リディストリビューションも設定します add ospf red prot=sta add ospf red prot=int set ospf routerid= asexternal=on add ospf red prot=rip add ospf area=backbone stubarea=off summary=send add ospf range= area=backbone mask= add ospf range= area=backbone mask= add ospf interface=vlan101 area=backbone add ospf interface=vlan103 area=backbone enable ospf Syslog SNMP 及びタイムゾーン設定を行います タイムゾーンは NTP を使用して時刻を自動的に調整するために必要なパラメータです enable snmp enable snmp authenticate_trap create snmp community=public access=write enable snmp community=public trap add snmp community=public manager= add snmp community=public traphost= add snmp community=public v2ctraphost= enable ntp set ntp utc=+09:00:00 add ntp peer= cre log out=1 dest=syslog server= secure=no mess=20 add log out=1 filt=1 all 19

20 9924_2 設定サンプルその 1 CLI や SNMP 上で機器を識別するためのホスト名を設定しておくと機器管理がしやすくなります 必要な VLAN を作成します スタティックトランクグループ ( スタティックリンクアグリゲーション ) を作成します set system name=" create vlan="vlan102" vid=102 create vlan="vlan103" vid=103 create vlan="vlan200" vid=200 add vlan="102" port=1-4 add vlan="103" port=5-8 add vlan="200" port=9-12 create switch trunk=sa1 port=1-2 speed=1000m create switch trunk=sa2 port=5-6 speed=1000m 各 VLAN に IP アドレスを設定します また VLAN102 で RIP を有効にします enable ip add ip int=vlan102 ip= mask= add ip int=vlan103 ip= mask= add ip int=vlan200 ip= add ip rip int=vlan102 send=rip2 receive=rip2 VLAN103 で OSPF を有効にします OSPF 以外の経路も OSPF で通知させるため リディストリビューションも設定します add ospf red prot=sta add ospf red prot=int set ospf routerid= rip=export asexternal=on add ospf red prot=rip add ospf area=backbone stubarea=off summary=send add ospf range= area=backbone mask= add ospf interface=vlan103 area=backbone enable ospf Syslog SNMP 及びタイムゾーン設定を行います タイムゾーンは NTP を使用して時刻を自動的に調整するために必要なパラメータです enable snmp enable snmp authenticate_trap create snmp community=public access=write enable snmp community=public trap add snmp community=public manager= add snmp community=public traphost= add snmp community=public v2ctraphost= enable ntp set ntp utc=+09:00:00 add ntp peer= cre log out=1 dest=syslog server= secure=no mess=20 add log out=1 filt=1 all 20

21