بصمة — منصة عربية لتعليم البرمجة والشبكات والإلكترونيات

SD-Access من جوه: ‏LISP control plane وVXLAN-GPO data plane وSGT policy

بنجهّز الشبكة…
01 / ملخص التجربة

SD-Access من جوه: ‏LISP control plane وVXLAN-GPO data plane وSGT policy

Fabric صغيرة: control plane node وborder وedge-ين. edge مش بيسجّل الـ endpoints، والمستخدمين مش واصلين برا الـ fabric، والكاميرات محتاجة segmentation. هتفهم أدوار الـ fabric (CP/border/edge)، والـ underlay والـ overlay، وإزاي الـ SGT بيتنقل في VXLAN-GPO عشان السياسة تتطبق بالأدوار — اللي Catalyst Center بيعمله أوتوماتيك.

مدة التجربة 40 دقيقة · 3 مهام

الأجهزة في بداية التجربة

  • PC1 — كمبيوتر
  • EDGE1 — سويتش L3
  • CAM — سيرفر
  • EDGE2 — سويتش L3
  • BORDER — راوتر
  • CP — راوتر
  • INET — سيرفر

التوصيلات

  • PC1 eth0 ↔ EDGE1 Gi1/0/10
  • CAM eth0 ↔ EDGE2 Gi1/0/10
  • EDGE1 Gi1/0/1 ↔ BORDER Gi0/0/0
  • EDGE2 Gi1/0/1 ↔ BORDER Gi0/0/1
  • CP Gi0/0/0 ↔ BORDER Gi0/0/2
  • INET eth0 ↔ BORDER Gi0/0/3

العناوين المضبوطة مسبقًا

  • EDGE1 vlan: 10.10.1.1/24
  • EDGE1 loopback0: 10.255.0.11/32
  • EDGE1 gi1/0/1: 10.0.1.2/24
  • EDGE2 vlan: 10.10.2.1/24
  • EDGE2 loopback0: 10.255.0.12/32
  • EDGE2 gi1/0/1: 10.0.2.2/24
  • BORDER g0/0/0: 10.0.1.1/24
  • BORDER g0/0/1: 10.0.2.1/24
  • BORDER g0/0/2: 10.0.3.1/24
  • BORDER g0/0/3: 203.0.113.1/24
  • BORDER loopback0: 10.255.0.2/32
  • CP g0/0/0: 10.0.3.3/24
  • CP loopback0: 10.255.0.1/32
02 / المهام التي ستطبقها
  1. 01
    الكاميرات ورا EDGE2 مش متسجّلة في الـ control plane node — خلّي الـ fabric edge يسجّل الـ EIDs بتاعته

    يتحقق المعمل من على CP: الأمر show lisp site يظهر فيه «»، على PC1: الأمر curl http://10.10.2.20 يظهر فيه «200 OK»

    تلميح / الحل المقترح
    في SD-Access الـ control plane node ‏(CP) هو LISP map-server/map-resolver: كل fabric edge بيسجّل الـ endpoints (EIDs) اللي وراه مع الـ RLOC بتاعه (الـ Loopback0). على CP: show lisp site ← 10.10.2.0/24 مش up، وshow logging ← MAP_SERVER_AUTHENTICATION_FAILURE من 10.255.0.12. الـ key case-sensitive: على EDGE2: router lisp ← ipv4 etr map-server 10.255.0.1 key SDA-KEY. ‏Catalyst Center هو اللي بيعمل الكونفيج ده كله أوتوماتيك لما تضيف الأجهزة للـ fabric
  2. 02
    المستخدمين ورا EDGE1 مش واصلين لأي حاجة برا الـ fabric ‏(INET 203.0.113.10)

    يتحقق المعمل من PC1 يصل إلى 203.0.113.10 (ping)، على EDGE1: الأمر show ip lisp يظهر فيه «»

    تلميح / الحل المقترح
    الـ edge مفيهوش default route في الـ overlay: لما يطلب mapping لـ 203.0.113.10 الـ CP بيرد negative map-reply (مش EID). من غير use-petr الـ edge بيرمي الباكت (show ip lisp map-cache ← forward-native ومفيش route). الـ border node شغال proxy-ETR (بيفك الـ VXLAN ويطلّع الترافيك برا) وproxy-ITR (بيغلّف الرد راجع للـ fabric). على EDGE1: router lisp ← ipv4 use-petr 10.255.0.2. قارن بـ EDGE2 اللي متظبط صح
  3. 03
    Micro-segmentation: الموظفين ‏(SGT 10) يشوفوا الكاميرات ‏(SGT 30) على HTTP بس — من غير ما تعرّف SGT الموظفين على EDGE2

    يتحقق المعمل من على PC1: الأمر curl http://10.10.2.20 يظهر فيه «200 OK»، PC1 لا يصل إلى 10.10.2.20، على EDGE2: الأمر show cts role-based sgt-map all يظهر فيه «»، PC1 يصل إلى 203.0.113.10 (ping)

    تلميح / الحل المقترح
    الـ VN ‏(instance-id 4099 = VRF) هو الـ macro-segmentation، والـ SGT جوه الـ VN هو الـ micro-segmentation. ‏EDGE1 بيصنّف PC1 بـ SGT 10 وبيبعته جوه الـ VXLAN-GPO header (Group Policy ID) — عشان كده EDGE2 يقدر يطبّق السياسة على الـ egress من غير أي mapping لـ 10.10.1.0/24 (ده الفرق عن LISP data plane العادي اللي مش بيشيل SGT). على EDGE2: ip access-list role-based CAM-WEB ← permit tcp dst eq 80 ← deny ip ← exit ← cts role-based permissions from 10 to 30 CAM-WEB ← cts role-based enforcement. جرّب: curl http://10.10.2.20 من PC1 ينجح وping يفشل، وshow cts role-based counters على EDGE2
03 / تجارب مرتبطة