проблема с настройкой передачи L3 на втором пограничном узле в той же VLAN

[techno.it]

Здравствуйте, Мы создаем сеть SDA с двумя отдельными пограничными и управляющими узлами (обе роли объединены на одном устройстве), которые подключены по BGP к брандмауэру Fusion (активный/резервный). Когда DNAC настраивает передачу границы L3, я предоставил ручную подсеть /29 между пограничным узлом и внешним устройством. Между пограничными узлами есть магистраль L2, и от каждого пограничного узла есть магистраль L2 к брандмауэру. Я хочу использовать одну и ту же транзитную VLAN на обоих пограничных узлах для подключения к брандмауэру. BN1 и брандмауэр уже имеют настроенную передачу L3 с VLAN 3001 для VRF-X. При попытке создать передачу L3 между BN2 и брандмауэром с использованием той же транзитной VLAN 3001, DNAC выдает сообщение об ошибке « «Передача Layer 3 VLAN 3002 уже используется для другой передачи Layer 3. Измените VLAN и повторите попытку». Есть ли какие-либо предположения, в чем может быть проблема?

[Andrii Oliinyk]

BGP. Это будет похоже на то, что у вас есть на BN|CP#1, но с использованием IP-адресов, специфичных для BN|CP#2.
Другим вариантом может быть переход на двойное пиринговое соединение со стороны FW в 2 разных VLAN (для каждого BN|CP). Быстрый вопрос: требует ли ваш FW A/S уникальные IP-адреса для блоков A и S для каждой непосредственно подключенной подсети? Если да, то вам придется остаться с /29 для каждой сети передачи данных для каждого BN|CP. UPD: попробуйте обмануть DNAC и предоставить фиктивную неиспользуемую VLAN для L3-передачи для BN|CP#2. Может быть, даже в другой подсети, а затем через предварительный просмотр конфигурации захватить то, что подготовил DNAC, и отбросить рабочий процесс L3-передачи. Затем настройте собранную конфигурацию с помощью необходимых IP-адресов/VLAN и примените ее вручную.

[Andrii Oliinyk]

Я совсем забыл об этом ограничении DNAC. Вам нужно вручную настроить L3-передачу на BN|CP#2.

[Torbjørn]

В качестве альтернативы можно использовать отдельные VLAN для каждого пограничного узла. Ваши границы подключены напрямую к вашим узлам слияния? Если нет, то следует иметь в виду, что STP может стать проблемой. Рады помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[Andrii Oliinyk]

У него есть промежуточный L2-переключатель посередине. Он предназначен именно для упрощения пиринга BN|CP<>FN. STP не имеет никакого отношения к этой проблеме. Это ограничение DNAC, которое не позволяет создавать несколько пирингов в одной и той же L3-передаточной VLAN.

[Torbjørn]

Я согласен, что в основном это вопрос о том, как обрабатывать конфигурацию передачи. Однако я считаю, что
@techno.it
должен учитывать STP при планировании передачи в данном случае. Конвергенция может быть ограничена STP, если топология L2 приводит к блокировке портов, что, по-видимому, будет иметь место в случае L2-коммутации по магистрали между пограничными узлами. Этого можно избежать, либо преобразовав соединение между границами в маршрутизируемые соединения, либо вручную обрезав VLAN, чтобы в топологии STP не было блокирующих портов. Пожалуйста, поправьте меня, если вы видите что-то, чего я не заметил,
@Andrii Oliinyk
. Рад помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[Andrii Oliinyk]

Не уверен, что это стоит обсуждать, потому что, какой бы L2 ни был в середине, он будет переключать выделенные VLAN с только 2 ISL (на BN|CP), подключенными к vPC. Как вы думаете, STP будет блокировать какие-либо порты, подключенные к FW и BN|CP, учитывая, что между BN|CP нет ISL?

[Torbjørn]

Из исходного сообщения:
«Между пограничными узлами
имеется
магистраль L2
, и от каждого пограничного узла к брандмауэру идет магистраль L2. Я хочу использовать одну и ту же транзитную VLAN на обоих пограничных узлах для соединения с брандмауэром». Я интерпретирую это так, что соединение между его пограничными узлами представляет собой обычные магистрали, которые также передают VLAN-сети. Предполагая, что подключенный коммутатор/другой вышестоящий коммутатор является корневым мостом для VLAN передачи. Не приведет ли это к тому, что один из портов на соединении между пограничными узлами будет находиться в состоянии блокировки во время обычной работы и полагаться на сходимость STP в случае определенных состояний сбоя? Насколько я знаю, это может не иметь значения, я просто делаю ошибочные предположения, поскольку раньше не пробовал настраивать передачу таким образом. Рад помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[Andrii Oliinyk]

Это кажется бессмысленным спором. «
Не приведет ли это к
тому, что один из портов на соединении между пограничными узлами...» — Нет, между BN|CPs нет соединений L2.

[Torbjørn]

Я неправильно понял вопрос.
Нет ссылки L2 = нет проблемы. Спасибо за разъяснение! Рад помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[techno.it]

Это верно. У нас есть Nexus vPC для транзита L2 и установления соседства между Border и Fusion Firewall. Пожалуйста, подтвердите и уточните, какую именно ручную настройку необходимо выполнить на границах, чтобы решить эту проблему.

[Andrii Oliinyk]

Нет проблем. Надеюсь, вы когда-нибудь поможете мне с API SDA — у меня как раз там много проблем :0)

[techno.it]

Хорошая идея
[, @Andrii Oliinyk.]
Спасибо за предложение. Спасибо
@Torbjørn
за ваши комментарии.