vPC: Redundancia y Alta Disponibilidad en Redes de Centros de Datos

[Heber Aguilar Q]

Los port channels permiten combinar varias interfaces físicas en un solo enlace lógico. Esto tiene dos beneficios principales:

1. Agregación de ancho de banda: Se suman las capacidades de todos los enlaces físicos.
2. Balanceo de carga: El tráfico se distribuye entre los enlaces físicos según reglas específicas.

Sin embargo, hay una limitación importante con los port channels tradicionales:
Todos los enlaces del canal deben estar conectados al mismo switch.

¿Por qué es un problema en los centros de datos modernos?

En un entorno moderno (como un centro de datos), los dispositivos como switches, routers o servidores a menudo necesitan conectarse a dos switches distintos para garantizar redundancia y alta disponibilidad.

Problema:
Con los port channels tradicionales, no se puede conectar un único dispositivo a dos switches diferentes. Esto limita la flexibilidad y la tolerancia a fallos, ya que si un switch falla, todo el canal también lo hace.

¿Cómo resuelve esto un Virtual Port Channel (vPC)?

Un vPC es una tecnología que permite crear un port channel que conecta un dispositivo a dos switches diferentes al mismo tiempo. Esto significa que:

1. Redundancia: Si uno de los switches falla, el otro puede seguir funcionando sin interrupciones.
2. Balanceo de carga: El tráfico sigue distribuyéndose entre los enlaces de ambos switches.
3. Compatibilidad: Desde la perspectiva del dispositivo conectado (servidor o router), parece que está conectado a un solo switch lógico.

 

Explicación básica sobre Virtual Port Channels (vPC) y cómo operan

Los Virtual Port Channels (vPC) son una tecnología de Cisco que permite que dos switches Nexus actúen como un único switch lógico de Capa 2 frente a otros dispositivos conectados en la red. Sin embargo, aunque se ven como un solo switch lógico desde el exterior, internamente siguen siendo dos switches separados, con gestión y planos de control independientes.

 

¿Cómo funciona el vPC en su arquitectura?

1. Plano de datos (Data Plane):
   Se realizan modificaciones en cómo los switches manejan los paquetes para garantizar que el tráfico se reenvíe de manera óptima entre los enlaces físicos y virtuales.

2. Plano de control (Control Plane):
   Los dos switches intercambian información de estado continuamente para presentarse como un único switch lógico a los dispositivos conectados.
   Esto se hace utilizando componentes de control que sincronizan la configuración de los enlaces y el estado de los puertos.

 

¿Cómo se presenta el vPC como un único switch lógico?

1. Con LACP (Link Aggregation Control Protocol):

   • Ambos switches generan un ID del sistema LACP único, basado en una dirección MAC reservada y el ID del dominio vPC.
   • Este ID único asegura que los dispositivos conectados detecten a los dos switches como si fueran un solo switch.
   • Nota: Si los dispositivos conectados detectaran dos switches distintos, el port channel no se formaría correctamente.

2. Con STP (Spanning Tree Protocol):

   • El switch primario del vPC se encarga de procesar y generar mensajes BPDU (Bridge Protocol Data Unit) para evitar loops en la red. Utiliza su propio bridge ID para estos mensajes.
   • El switch secundario no genera BPDUs; simplemente reenvía los mensajes del primario hacia los dispositivos conectados.

 

Beneficios principales de vPC (Virtual Port Channel)

Un vPC ofrece las siguientes ventajas en una red:

1. Uso de un solo port channel en múltiples switches:
   Permite que un dispositivo conectado utilice un port channel que abarca dos switches diferentes.

2. Eliminación de puertos bloqueados por STP:
   Con vPC, se evita que Spanning Tree Protocol (STP) bloquee puertos, maximizando el uso de enlaces disponibles.

3. Topología sin loops:
   vPC asegura que la red no tenga problemas de loops, eliminando la necesidad de configuraciones adicionales.

4. Uso completo del ancho de banda disponible:
   Todos los enlaces de uplink se utilizan al máximo, optimizando la transferencia de datos.

5. Convergencia rápida en caso de fallos:
   Si un enlace o un switch falla, la red se adapta rápidamente para garantizar la continuidad del servicio.

6. Resiliencia a nivel de enlace:
   Proporciona alta tolerancia a fallos en los enlaces.

7. Alta disponibilidad:
   Diseñado para mantener la conectividad activa incluso ante fallos de hardware o enlaces.

 

Elección de roles: Primario y Secundario en vPC

Dentro de un par de switches vPC, se realiza una elección para asignar roles:

1. Switch Primario:
   Responsable de generar y procesar información del plano de control para los vPCs. Este rol es clave en escenarios de fallos.

2. Switch Secundario:
   Aunque colabora con el primario, este switch depende de las instrucciones del primario en ciertas situaciones críticas.

 

Comportamiento en caso de fallos del Peer-Link

• Peer-Link:
  Es el enlace principal entre los dos switches vPC. Si este enlace falla, el comportamiento es el siguiente:

  1. Verificación del estado del secundario:
     El switch primario usa el Peer-Keepalive Link (un enlace de comunicación alterno) para verificar si el secundario sigue funcionando.

  2. Suspensión de puertos:

     • Si el switch secundario está activo, el primario le instruye suspender todos los puertos miembros del vPC.
     • Esto asegura que no se generen problemas de conectividad o loops en la red.
     • Además, el secundario desactiva las interfaces virtuales (SVIs) asociadas con las VLAN permitidas en el peer-link.

 

Cisco Fabric Services (CFS) over Ethernet: El control principal en vPC

El protocolo Cisco Fabric Services (CFS) over Ethernet es el componente principal del plano de control en un enlace vPC (vPC peer link). Este protocolo garantiza que los dos switches vPC trabajen de manera coordinada y sin inconsistencias. Sus funciones clave son:

1. Sincronización de tablas MAC:
   Los switches vPC intercambian información de sus tablas de direcciones MAC, asegurando que ambos tengan los mismos datos sobre los dispositivos conectados.

2. Sincronización de IGMP Snooping:
   Se comparte información sobre dispositivos y grupos multicast (utilizados, por ejemplo, en streaming o videoconferencias), manteniendo un control eficiente del tráfico multicast.

3. Consistencia en la configuración:
   El protocolo CFS verifica que las configuraciones críticas en ambos switches sean coherentes para evitar problemas de comunicación. Si hay inconsistencias, genera alertas.

4. Seguimiento del estado del vPC:
   Cada switch monitorea el estado del enlace vPC y su par (peer). Esto asegura que, en caso de fallos, se tomen acciones inmediatas para mantener la estabilidad de la red.

5. Sincronización de tablas ARP (solo para vPCs de Capa 3):
   En configuraciones de Capa 3 (ruteo), los switches sincronizan las tablas ARP (Address Resolution Protocol) para mantener conectividad sin interrupciones.

 

Componentes principales de la arquitectura vPC

La arquitectura vPC (Virtual Port Channel) es un diseño avanzado de Cisco que permite que dos switches Nexus trabajen como un único switch lógico. A continuación, te explico sus componentes principales y cómo funcionan juntos para ofrecer una red estable y eficiente:

1. vPC Peers: El corazón del sistema

Los vPC peers son un par de switches Cisco Nexus que forman la base de la arquitectura vPC. Aunque se gestionan de forma independiente (cada uno tiene su propio plano de control), para los dispositivos conectados abajo (servidores o switches), estos peers parecen un solo switch lógico de Capa 2. Esto permite:

• Configurar port channels que incluyan interfaces de ambos switches.
• Proporcionar redundancia y un uso eficiente de los enlaces.

2. vPC Peer Link: El vínculo crítico

El peer link es el enlace más importante de un sistema vPC, ya que:

• Coordina los switches: Ayuda a que los dos switches Nexus trabajen como un solo sistema lógico. Por ejemplo, el switch secundario envía tramas especiales (como BPDUs y paquetes LACP) al switch primario a través del peer link.
• Sincroniza tablas y tráfico:
  • Sincroniza tablas MAC entre los dos switches.
  • Sincroniza entradas de IGMP snooping (para tráfico multicast).
  • Transporta tráfico de puertos huérfanos (orphaned ports), que son aquellos conectados a solo uno de los switches en el sistema vPC.
• Soporta funciones de Capa 3 (si aplica):
  Cuando uno o ambos switches también actúan como routers, el peer link transporta paquetes de protocolos de ruteo redundante, como HSRP.

Nota importante: Si el peer link falla, el sistema vPC tiene mecanismos para evitar bucles y mantener la conectividad de manera segura.

3. Cisco Fabric Services (CFS): La clave del control

El protocolo Cisco Fabric Services (CFS) es la herramienta principal para la comunicación entre los dos switches vPC. Es un protocolo confiable y rápido que:

• Sincroniza información esencial:
  • Las tablas MAC de Capa 2 se comparten entre los switches para mantener coherencia.
  • Las tablas ARP (en configuraciones de Capa 3) también se sincronizan.
  • Los estados de IGMP snooping se sincronizan para tráfico multicast.
• Realiza verificaciones de compatibilidad:
  Antes de que un puerto pueda ser miembro de un vPC, el CFS valida que las configuraciones en ambos switches sean consistentes.
• Mantiene el peer link siempre activo:
  El protocolo CFS sobre Ethernet usa el peer link para enviar mensajes, y el spanning tree está modificado para que los puertos del peer link siempre estén en estado "forwarding".
• Es automático y transparente:
  No requiere configuración manual. Una vez que el peer link está configurado, el protocolo CFS se activa automáticamente.

4. vPC Peer Keepalive Link: El canal de verificación

El peer keepalive link es un enlace lógico de Capa 3 que generalmente se ejecuta sobre una red fuera de banda (OOB).

• Función principal: Verificar si el switch vPC remoto está operativo en caso de que el peer link principal falle.
• Cómo funciona:
  • Este enlace no transporta tráfico de datos ni sincronización. Solo envía pequeños paquetes IP con mensajes que indican que el switch que los genera está funcionando correctamente.
  • Si el peer link falla, este canal ayuda a determinar si el problema es únicamente el enlace o si el switch remoto también dejó de operar.
• Importante: El keepalive es crucial para evitar situaciones de "split-brain" (cuando ambos switches actúan de forma independiente, creando inconsistencias en la red).

5. vPC (Multichassis EtherChannel): Agregación de enlaces multichasis

Un vPC es un canal de agregación (EtherChannel) que combina interfaces de ambos switches vPC peers en un único port channel lógico de Capa 2.

• Ventajas:
  • Para el dispositivo conectado (por ejemplo, un servidor o switch), los switches vPC peers parecen ser un único switch lógico.
  • El dispositivo conectado no necesita ser compatible con vPC, solo necesita soportar EtherChannel, que puede configurarse de forma estática o dinámica (mediante LACP).
• Uso típico: Ofrece redundancia y uso eficiente del ancho de banda.

6. vPC Domain: El identificador del sistema

El vPC domain es el conjunto completo de componentes que forman parte del sistema vPC. Incluye:

• Los dos switches vPC peers.
• El peer keepalive link (enlace de verificación).
• El peer link (enlace principal de sincronización).
• Todos los port channels configurados entre los switches y los dispositivos conectados.
• Identificador único: Cada sistema vPC tiene un Domain ID numérico único para diferenciarlo de otros sistemas vPC.

Nota: Solo puede haber un vPC domain ID en cada switch.

7. vPC Member Port: Los puertos participantes

Un vPC member port es cualquier puerto en uno de los switches vPC peers que forma parte de un port channel configurado en el sistema vPC. Estos puertos son responsables de transmitir el tráfico desde y hacia los dispositivos conectados al sistema.

8. Orphan Device y Orphan Port: Conexiones no redundantes

• Orphan Device: Un dispositivo conectado a un sistema vPC mediante un enlace simple, en lugar de usar un port channel que abarque ambos switches.
  • Por ejemplo: Un servidor con un solo enlace a uno de los switches vPC peers.
• Orphan Port:
  • Un puerto de switch conectado a un orphan device.
  • También puede referirse a un puerto vPC cuyo enlace hacia uno de los switches peers está inactivo (es decir, todos los miembros de un port channel están conectados a un solo switch).

Consecuencia típica: Si uno de los switches falla, los puertos y dispositivos huérfanos pueden perder conectividad. 

 

Configuración de vPC en un Cisco Nexus Switch: Explicación paso a paso

La configuración de vPC (Virtual Port Channel) en un Cisco Nexus implica una serie de pasos que garantizan una implementación adecuada y eficiente. A continuación, se explica cada paso de manera sencilla:

• La configuración de vPC en el Cisco Nexus Switch incluye estos pasos:
• Habilite la función vPC.
• Cree un dominio vPC e ingrese al modo de dominio vpc.
• Configure el enlace de keepalive entre pares vPC entre switches.
• (Opcional) Configure la prioridad del sistema.
• (Opcional) Configure la prioridad de la función vPC.
• Cree el enlace entre pares vPC.
• Mueva el PortChannel a vPC.

Use los siguientes comandos para crear un vPC en el Cisco Nexus Switch:

feature vpc 
!
vpc domain 10
  peer-keepalive destination 192.168.21.101 source 192.168.21.100 vrf vPC_VRF
!
interface port-channel 1
  vpc peer-link 
!
interface port-channel 2
  vpc 11 

 

Configuración del dominio vPC y sus componentes

1. Dominio vPC

   • El vPC domain ID es un identificador único (entre 1 y 1000) que define el par de switches que participan en el vPC.
   • Al configurar el domain ID, se habilita un submodo donde se ajustan parámetros globales del dominio.

2. Enlace de keepalive (peer keepalive link)

   • Este enlace actúa como un "latido" para verificar que ambos switches estén activos.
   • Se recomienda configurarlo en una red separada usando un VRF dedicado.
   • En este ejemplo, el enlace usa el PortChannel 1 para agrupar las interfaces entre los switches.

3. PortChannel hacia dispositivos downstream

   • El PortChannel 2 conecta los switches a los dispositivos conectados (downstream).
   • Este PortChannel debe configurarse como parte del vPC con el mismo número de vPC en ambos switches.
   • El número de vPC debe ser único dentro del dominio.

Con esta configuración, los switches trabajarán como un sistema lógico único y se garantizará la redundancia y eficiencia de la red.

 

Pautas para configurar vPC

1. Compatibilidad de switches:

   • Solo se pueden emparejar switches Cisco Nexus del mismo modelo (por ejemplo, dos Nexus 9300).

2. Enlace vPC peer link:

   • Debe usar puertos Ethernet de al menos 10 Gbps.
   • Se recomienda un mínimo de dos puertos dedicados en módulos I/O diferentes.

3. Enlace keepalive:

   • No debe correr sobre el peer link. Utilice una red separada.

4. Compatibilidad con VDC (Nexus 7000):

   • Cada VDC debe tener su propio peer link y enlace keepalive.
   • Los dominios vPC no se pueden extender entre VDCs.

5. Límites de dominio vPC:

   • Cada dominio incluye solo dos switches o VDCs.
   • Un switch/VDC puede tener un único domain ID y no puede participar en varios dominios.

6. Soporte de capas:

   • vPC funciona solo con canales de capa 2; no admite canales de capa 3.
   • Para enrutamiento dinámico, use enlaces separados.

7. FHRP:

   • Soporta enrutamiento estático hacia direcciones virtuales de FHRP.

8. Enrutamiento externo:

   • Puede establecer adyacencias de enrutamiento de capa 2 entre routers externos a través de un vPC.

 

Funcionalidades de vPC

1. vPC Peer-Gateway:

   • Permite que un switch vPC actúe como Gateway activo para paquetes dirigidos al MAC del otro switch, evitando cruzar el peer link.
   • Mejora la interoperabilidad con dispositivos NAS o balanceadores de carga que optimizan consultas ARP.

2. vPC Peer-Switch:

   • Hace que los switches vPC se presenten como una única raíz STP compartiendo el mismo bridge ID.
   • Debe configurarse en ambos switches con el comando peer-switch.

En conclusión, los Virtual Port Channels (vPC) de Cisco son una tecnología avanzada y clave para mejorar la resiliencia, el balanceo de carga y la disponibilidad en redes modernas, especialmente en centros de datos. Al permitir que dos switches operen como un único switch lógico, vPC resuelve las limitaciones de los port channels tradicionales, como la necesidad de que todos los enlaces estén conectados al mismo switch. Esto brinda redundancia, elimina los puertos bloqueados por el protocolo STP y maximiza el uso del ancho de banda disponible, todo mientras mantiene la simplicidad de la configuración para los dispositivos conectados.

El uso de un vPC permite una infraestructura de red más flexible y escalable, minimizando el riesgo de fallos al permitir que los dispositivos estén conectados a dos switches de manera simultánea, lo que mejora la disponibilidad y la tolerancia a fallos. Con componentes clave como el vPC peer link, Cisco Fabric Services (CFS) y el vPC keepalive link, esta solución asegura una sincronización efectiva y un rendimiento sin interrupciones, incluso en caso de fallos de enlaces o switches.

En resumen, el vPC es esencial para entornos de red que requieren alta disponibilidad, redundancia y un uso eficiente de los recursos, brindando una solución robusta y escalable para las demandas de los centros de datos y redes empresariales modernas.