PowerSwitch: problemi della sessione FCoE a causa di pacchetti LLDP inviati da una macchina virtuale o da uno switch virtuale

Piattaforme interessate: switch MX e MXL che eseguono funzioni di Data Center Bridging (DCB) ma non solo/VMware Esxi

Impatto:

• Perdita della comunicazione host con l'ambiente FCoE
• La comunicazione di storage smette di rispondere o si interrompe
• In un ambiente stabile, è possibile che si verifichi un'interruzione COMPLETA di tutte le vlan FCoE quando viene eseguita un'azione manuale che causa la rinumerazione di LLDP; ad esempio, l'aggiunta di una VLAN o la disabilitazione di LLDP su vDS. 

Questo articolo ha lo scopo di fornire una protezione aggiuntiva per gli ambienti FCoE in cui una VM invia accidentalmente pacchetti LLDP allo switch (FIP/FSB) interrompendo la connessione FCoE allo switch. Durante lo stato del problema, viene visualizzato questo messaggio di seguito nel syslog dello switch.

Messaggio di errore: "LLDP_MULTIPLE_PEER_DETECTED: DCBX operativamente disabilitato a causa della presenza di più PEER sull'interfaccia" quando si abilita LLDP dal sistema operativo)

Messaggio di avvertenza:

-------------------------------------
LLDP_MULTIPLE_PEER_DETECTED: DCBX
-------------------------------------

Due possibili problemi che si possono riscontrare:

1. VMware vDS invia e riceve o solo i pacchetti LLDP.
   1. In genere, ciò accade quando la configurazione LLDP su VMware vDS è impostata su "Both(listen and advertise)" o è impostata su "advertise".
2. Le VM inviano pacchetti LLDP tramite VMware vDS.
   1. Se il sistema operativo della VM invia pacchetti LLDP per annunciare la sua presenza, la connettività FCoE viene interrotta per via della natura dell'operazione FCoE.

Un'altra indicazione indica che lo switch rileva più router adiacenti LLDP ed è nello stato del problema:
  
la rete può presentarsi come perfettamente stabile anche quando "show lldp neighbors" Indica che lo switch è nello stato del problema. Tuttavia, se viene eseguita un'azione manuale come l'aggiunta di una VLAN o la disabilitazione di LLDP su vDS, potrebbe verificarsi un'interruzione completa dell'alimentazione in tutte le sessioni FCoE.

Perché dovrebbe succedere questo?

FCoE si basa su DCBx e DCBx è un protocollo che viene eseguito su LLDP. 

"DCBX utilizza il protocollo LLDP (Link Layer Discovery Protocol) per scambiare parametri tra due peer di collegamento. LLDP è un protocollo unidirezionale. Annuncia le informazioni sulla connettività e sulla gestione della stazione locale alle stazioni adiacenti sulla stessa LAN IEEE 802". - https://www.ieee802.org/1/files/public/docs2008/az-wadekar-dcbx-capability-exchange-discovery-protocol-1108-v1.01.pdf
"DCBX dovrebbe operare su un collegamento point-to-point. Se vengono rilevati più router adiacenti LLDP, DCBX si comporta come se i TLV DCBX del peer non fossero presenti fino a quando la condizione di più router adiacente LLDP non è più presente. Un router LLDP neighbor viene identificato dal relativo MSAP (Service Access Identifier) MAC logico. L'MSAP logico è una concatenazione dei valori dell'ID dello chassis e dell'ID della porta trasmessi nella LLDPDU. - https://www.ieee802.org/1/files/public/docs2008/az-wadekar-dcbx-capability-exchange-discovery-protocol-1108-v1.01.pdf
Qualsiasi modifica che causi la rinumerazione di LLDP può causare l'interruzione immediata della funzionalità TLV di FCoE.

Opzione 1) modificare la modalità LLDP su vDS per KB Broadcom.
Opzione 2) Quello che faremo è aggiungere una policy di filtraggio VMware vDS per bloccare i pacchetti LLDP dalle macchine virtuali; questa configurazione da sola blocca qualsiasi pacchetto LLDP da qualsiasi macchina virtuale in tale gruppo di porte vDS. *Questo problema può essere riscontrato anche con vSwitch standard VMware, ma non è disponibile alcuna soluzione o opzione di filtraggio. Il cliente deve assicurarsi che le macchine virtuali siano prive di LLDP.
 

Procedura

Riferimento: Guida al filtraggio del traffico VMware

1. Individuare un gruppo di porte distribuite o un gruppo di porte uplink in vSphere Client.

1. Selezionare uno switch distribuito e cliccare sulla scheda Networks.
2. Cliccare su Distributed Port Groups per visualizzare l'elenco dei gruppi di porte distribuiti o cliccare su Uplink Port Groups per visualizzare l'elenco dei port group di uplink.

2. Cliccare su un gruppo di porte distribuito o su un gruppo di porte uplink e selezionare la scheda Configure.
3. In Impostazioni, selezionare Filtraggio e contrassegno del traffico.
4. Cliccare sul pulsante Abilita e riordina.

5. Fare clic su Abilita tutte le regole del traffico.
6. Fare clic su OK.

7. Cliccare sul pulsante ADD .

Guida di riferimento al qualificatore di traffico MACware MAC .

8. Nella finestra Rule, impostare i parametri riportati di seguito.
   1. Assegnare un nome alla regola per descrivere l'azione.
   2. Nel campo "Action", seleziona "Drop".
   3. In "Direzione del traffico", seleziona "Ingresso".
   4. Cliccare sulla scheda "MAC".
      1. Abilita la casella di controllo "Abilita qualificatore".
      2. Nel campo "EtherType":
         1. Selezionare "IS".
         2. Selezionare "Custom".
         3. Scrivere "88CC" come ethertype LLDP.
   5. Fare clic su OK.

9. Alla fine, dovresti avere la configurazione riportata di seguito.

10. Verificare se un pacchetto LLDP della macchina virtuale selezionata è bloccato.
    1. Cliccare sulla scheda Ports.
       1. Selezionare vDS Port ID dove si trova la VM.
       2. Cliccare sulla scheda Statistics.
          1. Selezionare "Eliminato - Pacchetti in entrata"

   
La configurazione è terminata.