二层虚拟交换机行为模式

2017-11-22 06:02武孟军
网络安全和信息化 2017年2期
关键词:环路数据流交换机

之所以大费周章,弄出个vPC来,无非是要在逻辑上简化一下网络拓扑,特别是能够跨设备实现PortChannel,简 化 STP。那么,这些功能是如何实现的呢?

vPC

两台vPC交换机通过相互协作,欺骗对端设备,让对端设备误以为自己通过PortChannel连接的就是同一台交换机。对端设备可以是普通的二层或三层交换机、服务器等任何可以支持PortChannel的设备。Cisco建议,两边的设备尽量启用LACP协议。

在进行LACP协商时,两台vPC交换机使用相同的系统MAC,这个MAC被称为vPC system MAC,定义如下:

vPCsystemMAC=00:23:04:ee:be:

例 如,当vPC domain ID定 义 为10时,vPC system MAC的 值 为00:23:04:ee:be:0a,这个系统MAC在两台vPC交换机中必须相同。除此以外,每个vPC交换机还各自有一个 Local system MAC,这个MAC从本地交换机系统MAC中获得,因此,各自保持唯一。

当 vPC系统需要对外欺骗,宣示自己为同一台设备时,就使用vPC system MAC作为身份标识,例如,在vPC对外进行LACP协商时,以及运行STP协议时。否则,使用各自的Local system MAC作为身份标识,例如,在进行普通的PortChannel LACP协商时。

STP

这里假定STP模式为RPVST(Cisco建议,当二层网络规模比较大时,运行 MST)。 对于non-vPC VLAN,两台vPC交换机使用各自的Local system MAC,各自独立运行STP进程,互不干涉。

对于vPC VLAN,两台vPC交换机各自运行一个STP实例,它们各自有自己的Bridge ID。然而,只有primary像一个正常交换机那样参与STP,scondary就像自己根本不存在一样,仅仅转发从其他交换机接收到到的BPDU给primary。这样,在接入交换机看来,自己通过PortChannel仅仅连接了一个交换机,那就是primary。

另 外,vPC还 规 定,peerl link链路参与STP,并且永远不能被STP阻断。还里需要明确的一点就是,分布于primary和secondary的同一vPC的所有成员端口,无论何时,它们的STP端口状态永远是一致的。

STP稳定后,ROOT 和ROOT secondary交换机和vPC primary、secondary 交换机,无任何关系。即除非你手工干预,否则,STP的ROOT和ROOT secondary交换机可能位于二层网络的任何位置。

Cisco建议分别配置vPC primary、secondary交换机为STP的ROOT和ROOT secondary交换机。

下面分STP ROOT交换机是否属于vPC交换机两种情况进行分析。

图5 Secondary交换机出现两个RP端口

1.vPC交换机不是ROOT交换机

ROOT交换机可能是通过vPC接入的交换机,也可能是位于另一个vPC domain内。那么,对于整个STP域的其他交换机来说,等效于vPC primary交换机通过vPC连接到了二层网络。在vPC domain内部, 如果vPC为根端口,则primary设置vPC的所有成员端口为Root Port,peerlink端口为DP;secondary设置同一vPC的所有成员端口为Root Port,peerlink端口同样为RP。

2.vPC交换机是ROOT交换机

如果primary为ROOT交换机,则从外部看来,等效于其他交换机通过vPC和primary交换机连接,primary和secondary的vPC成员端口均被设置为DP,secondary 的 peerlink端口被设置为RP。如果secondary为ROOT交换机,则从外部看来,等效于其他交换机通过vPC和secondary交换机连接,primary和secondary的vPC成员端口均被设置为DP,primary 的 peer-link端口被设置为RP。

primary在产生和处理BPDU时,如果自身为ROOT,则BPDU的bridge ID为自身。如果secondary为ROOT,则BPDU的bridge ID取自secondary。无论secondary是否为ROOT,都不会产生、处理BPDU。

比较容易迷惑的地方是第一种情况中的secondary有两个RP端口。而在传统STP中,任何一个交换机都是有且只有一个RP。在正常的STP行为中,secondary的peer-link会被阻断,但vPC修改了STP规则,peer-link永远不能被STP阻断,因此出现了同一交换机中出现两个RP的怪现象,如图5所示。

看似奇怪,其实因为peer link链路的特殊性,是合乎情理的。这里把peer link当作一条普通的数据链路来分析。考虑secondary的peer link口状态是被阻断或是RP,对正常的vPC VLAN数据流(不考虑CFS控制数据)会产生怎样的影响?答案是无任何影响。因为secondary的数据流,遵循本地转发模式,即只要本地vPC成员端口状态正常,永远不会有数据帧转发到peer link上。也就是说,在网络正常的情况下,peer link端口状态无论是阻塞还是RP,都不会有数据流经过。如果本地vPC成员端口状态为down,则作为一条普通二层链路,如果peer link原来是阻断状态,也要转变为转发状态(RP则不做任何状态转换),此时数据流自然穿越peerlink到达primary。即无论peer-link状态是RP还是阻断,并不影响本地的vPC VLAN数据流的转发路径。但是,阻断peerlink却阻止了CFS交换控制数据。

有读者或许会问,网络正常的情况下会有vPC VLAN中的广播包和多播包穿越RP状态的peer-link,会不会产生环路呢?也不会,因为根据vPC防环路机制,这些穿越了peer link的帧是不会进入vPC的成员端口的。事实上,也正是由于vPC的防环路机制,才使得secondary即使有了两个RP端口,也不会产生环路。

如果vPC交换机为STP ROOT(Cisco推荐如此配置),则:

* 除非vPC secondary交换机本身为 STP ROOT,否则,它的peer link口永远是Root Port。

* 所有vPC 成员端口状态为DP。

* primary产 生 的BPDU,Bridge ID可能是属于secondary交换机。

peer switch

虽然vPC domain采用secondary对 STP“静 默”方式,对外模拟出只有一个交换机参与STP。但由于ROOT可能是primary或secondary,因此对外模拟的交换机可能是primary,也可能是secondary。

Cisco推荐的配置模式是primary和secondary应分别配置为STP的ROOT和ROOT srcondary。在一个稳定的网络中,如果ROOT宕机,则ROOT srcondary变 身 为vPC primary和STP ROOT,这个过程中,srcondary开始接管STP BPDU的处理,并发生STP拓扑变化。如果原来的primary恢复,则因其配置的STP优先级原因,又要成为STP ROOT,但vPC primary身份却不再切换,这一复杂过程会对网络稳定性产生影响。

通 过peer switch命令,可 以 让primary和secondary同时参与处理STP BPDU,但他们使用的是相同的Bridge ID,即vPC system MAC。这样,通过vPC连接的交换机,会收到两份相同的BPDU,但它们的内容是一致的。

使用peer switch的好处就是,当ROOT宕机的时候,能够有效减少网络中断的时间。因为对外部交换机来 说,ROOT宕 机,ROOT srcondary接管,并没有发生网络拓扑结果的变化。

猜你喜欢
环路数据流交换机
外差式光锁相环延时对环路性能影响
汽车维修数据流基础(上)
汽车维修数据流基础(下)
基于地铁交换机电源设计思考
修复损坏的交换机NOS
使用链路聚合进行交换机互联
选取环路切换策略的高动态载波跟踪算法研究*
基于数据流聚类的多目标跟踪算法
北医三院 数据流疏通就诊量
罗克韦尔自动化交换机Allen-Bradley ArmorStratix 5700