Questions tagged «cisco-nexus-5k»

1
6500 VSS的NX-OS对等交换机问题
我要推出一对新的运行NX-OS 5.2的Nexus 5500，我想利用新的vPC对等交换机功能： 虚拟端口通道（vPC）对等交换机功能解决了有关STP收敛的性能问题。此功能使一对Cisco Nexus 5000系列设备可以在第2层拓扑中显示为单个STP根。此功能消除了将STP根固定到vPC主交换机的需要，并且在vPC主交换机发生故障时提高了vPC的收敛性。 为避免循环，从STP计算中排除了vPC对等链路。在vPC对等交换机模式下，将从两个vPC对等设备发送STP BPDU，以避免与下游交换机上的STP BPDU超时相关的问题，这可能导致流量中断。 此功能可与设备均属于vPC的纯对等交换机拓扑一起使用。 当前的拓扑是一对Nexus 5500s，它们之间有一个对等链路，一个对等连接到6500 VSS的每一侧。所有连接均为LACP端口通道。 VSS应该代表一个逻辑设备，但是5500s似乎不同意。当我尝试建立与VSS的两个连接时，5500s给我这个错误： ％VPC-3-INTF_CONSISTENCY_FAILED：在域2中，VPC 1配置（接口port-channel1）不一致（由于连接到不同伙伴的2台交换机中的vpc链接，vpc端口通道配置错误） ％VPC-3-VPC_BRINGUP_FAILED：vPC 1（接口端口-通道1）启动失败（类型1不一致） 6500 VSS不会记录任何错误。 vPC为什么将VSS的另一端视为不同的伙伴？我是否以为这应该工作是错误的？
1
可以将VLAN添加到VPC吗？
在这种情况下，我们有一个VPC'17'，由两个单端口端口通道'po17'组成。有2个N5K（5548s）-因此，来自两侧的po17组合在一起创建了VPC。 下游设备是刀片式交换机（Cisco 3020）。我们要在一侧添加一个新的VLAN，然后在另一侧添加一个新的VLAN，而不会丢失3020s之后的VM的连接性。下游可以处理此问题，因为如果一侧发生故障，则另一侧会恢复。 我知道VPC中的某个端口通道是否出现故障，我们仍然会保持上行，但是由于我们要向VPC成员端口通道之一添加新的VLAN，因此VPC会失去一致性，我不知道是否那会引起问题。
2
如何在不直接连接到服务器交换机的情况下将私人用户连接到受信任网络中的应用程序
我有2个控制中心站点，每个站点都具有2个全网状设计的N7K，以及2个Nexus 5548UP作为内部服务器场聚合和2个ASA防火墙，分别挂在每个N5K Agg上。两个站点均具有镜像设计。我们的用户需要直接访问内部服务器场应用程序，我们还需要一个安全边界来处理来自内部服务器应用程序的出站连接请求。此外，我需要在Agg中托管专用DMZ，以将入站连接请求与我们归类为较低安全区域的区域隔离开来（N7K CORE将使用vrf：Global指向较低安全网络子网的路由）。 通常，将用户视为较低的安全区域，但此设计用于托管大型电网的控制系统。考虑到这一点，我也不想直接将用户连接到N5K Agg，以允许SITE1服务器场Agg崩溃，从而允许SITE 2托管应用程序（当前，我们将用户连接到与应用程序相同的物理交换机上） 。我想提供一种经典的数据中心设计，其中用户从HA L3 CORE（4 x N7K Full Mesh）路由到服务器场。但是，由于它们被认为与“内部服务器”具有相同的安全级别，因此我想将它们隔离到托管在N7K CORE上的私有VPN云中。由于N7K支持MPLS，因此这将是最合乎逻辑的 我的当前设计在Nexus 5548聚合中具有用于内部服务器的L2 / L3边界，因为防火墙也已连接到那里。Nexus 5K不支持MPLS，但支持VRF Lite。N5K还以完整的网格连接到每个站点的本地N7K。 要利用N5K和N7K之间的所有4条链路，我要么需要配置pt到pt L3链路，否则就会使将内部用户流量与核心区与需要转发防火墙的流量隔离开来，或者我可以利用5K之间的FabricPath。和7K，并使用vrf lite，其中唯一的FabricPath vlan将是4个节点与防火墙的外部vlan之间的接口SVI，用于连接N7K的vrf：全局路由表。由于这些必须获得许可，因此这可能是过高的，但是我们有独特的安全要求，因此成本往往是一个小问题。 对于路由，我将在防火墙中安装默认路由以指向N7K vrf：Global，它将运行OSPF或EIGRP并学习到其他较低安全性网络的路由。对于高安全区，我将安装一个vrf：在所有N5K和N7K上安装Internal，最有可能运行BGP，因为N7K上的MPLS需要使用MP-BGP。这只会学习SITE2内部服务器场和内部用户的路由（我们的应用程序需要站点之间的L3才能防止脑裂）。我还必须非常小心，不允许vrf：Global与vrf：内部交换路由，因为这将造成状态防火墙在两个vrf之间提供L3连接的不对称噩梦。在本地站点N5K和防火墙上使用简单的默认路由，在N7K中使用指向内部服务器子网的汇总路由，可以避免此问题。 或者，我考虑在N7K上再建一个VDC，以提供FHRP并将防火墙移到VDC。N5K仅使用FabricPath，不使用任何形式的L3。 由于这很可能不是典型的设计，因此我希望能收到任何反馈。
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.