APIC より Endpoint 間のパケットキャプチャを取得する方法(SPAN to APIC)

[Daijiro Kido]

ACI に関しては、ACI How To というページがあり、設定やトラブルシューティング等、一般的な内容についてはそちらの方が充実しています。 設定やトラブルシューティングについては、今後 ACI How To を中心に更新していく予定のため、ACI に関する情報収集はまず、ACI How To を参考にしてください。

このコンテンツもAPIC より Endpoint 間のパケットキャプチャを取得する方法(SPAN to APIC)というタイトルで掲載しています。 フォーマットがずれて読みにくい場合、こちらのページをご参照ください。

ドキュメントの概要

本ドキュメントでは APIC に実装されている Visibility & Troubleshooting ツールを用いて、GUI 操作にて迅速に Endpoint 間の通信のパケットキャプチャを取得、確認する方法(SPAN to APIC)を紹介します。この手法では ERSPAN を用いてキャプチャデータを Leaf スイッチから APIC へ 転送しますので、キャプチャ用端末などの準備が不要です。

デモ動画

前提条件

この手法を実行するにあたり、現在の実装では inband-management の設定が必須となります。ただ、必要な設定情報はIn-Band Management Network の設定に記載されている 手順 3 / 手順 5 /  手順 6 /  手順 7 だけであり、外部への接続や物理的な追加接続等の必要はありません。

その他特殊な設定などは必要なく、確認対象のEndpoint 情報 (IP/MAC) があれば実行できます。

inband management の設定がなくでも SPAN to APIC が実行できるよう、以下の機能拡張が予定されています。(時期未定)

CSCvb52395: Allow SPAN to APIC without inband management setup

構成

上記構成でEP1 から EP2 への ping 通信をキャプチャします。

手順

1) Visibility & Troubleshooting の Session 設定

1-1. Operations > Visibility & Troubleshooting を開く

1-2. ターゲットとなる Endpoint の Session を作成する

① : Session Name を指定(任意)

② : Session Type を指定 (External Endpoint も指定可能)

③ : Target の Source IP を入れ、Search を押すと現在 ACI ファブリックが学習している Target の Endpoint が選択可能

④ : Target の Destination IP を入れ、Search を押すと現在 ACI ファブリックが学習している Target の Endpoint が選択可能

⑤ : Submit

2) SPAN to APIC 設定

2-1. 作成された Session から SPAN を選択

2-2. SPAN を設定

① : 今回は SPAN to APIC を実行するので APIC を選択

② : 任意の IP アドレスを指定

③ : 任意の ID を指定

④ : Version 1 or 2 を選択 (バージョンの違いについてはSPAN Data の デコード方法 (Wireshark)を参照)

⑤ : SPAN を開始

2-3. SPAN が開始されキャプチャファイルが生成される

2-4. ファイルをクリックすることでキャプチャファイルをブラウザ経由でダウンロード開始

※ ■ボタンにてキャプチャを停止しない限り、ファイルダウンロード後もキャプチャは実行し続ける

3) ping 実行

EP1 から EP2 へ ping を実行します。

# ping 172.16.104.1

64 bytes from 172.16.104.1: icmp_seq=0 ttl=252 time=0.834 ms

64 bytes from 172.16.104.1: icmp_seq=1 ttl=252 time=0.695 ms

64 bytes from 172.16.104.1: icmp_seq=2 ttl=252 time=0.581 ms

64 bytes from 172.16.104.1: icmp_seq=3 ttl=252 time=0.62 ms

64 bytes from 172.16.104.1: icmp_seq=4 ttl=252 time=0.646 ms

4) キャプチャデータの確認

ping 実行後に再度 pcap ファイルをダウンロードし、 Wireshark で開くと 3) で実行した ping が確認できる

ERSPAN の Src アドレスは 2-2 で指定した IP アドレス ( 今回は 1.1.1.1 )が使用される

SPAN to APIC を用いたパケットドロップのトラブルシューティング

特定の Endpoint 間通信に問題が発生しており、 ACIファブリック内でのパケットドロップなどが疑わる場合は SPAN to APIC をトラブルシューティングに活用することができます。

SPAN to APIC ではパケットの着信側 Leaf スイッチと送信側 Leaf スイッチで同時に ERSPAN を実行しますので、正常に通信が行われていれば ACI ファブリック内での入出力のパケットが取得できるはずです。

今回取得した以下のキャプチャデータの No 27,28 のパケットは同一の ICMP Request パケットを入力側 Leaf (104) と出力側 Leaf (103) で SPAN されたことがわかります。