el - fecha de última edición por
Jimena Saez
Presentación del webinar Community Live
Con la colaboración de Laura Arias y Manuel Pol.
El procesamiento de paquetes en el CPU, también conocido como plano de control, es una de las funciones más importantes en un dispositivo de red. Además de encargarse de reenviar algunos paquetes de control a la red, también permite la programación del plano de datos para hacer que el reenvío de paquetes de red sea mucho más rápido y eficiente. Por eso es muy importante proteger la ruta del paquete hacia el CPU. En esta sesión aprenderá cómo los paquetes recibidos de la red se envían para ser procesados por el CPU, qué tipos de paquetes pueden tener un impacto negativo y qué métodos de protección están disponibles en los switches Cisco para proteger su plano de control en las redes LAN.
Recuerde que la presentación está disponible en pdf para su comodidad. Si este documento le ha resultado útil, no olvide calificar esta publicación con un voto de utilidad para validar su relevancia. ¡Muchas gracias!
¿Cómo enviar una nueva pregunta?
Ponemos a su disposición nuestro evento Ask Me Anything (AMA) en cuyo foro podrán externar dudas y solicitar apoyo de nuestros expertos en casos específicos de los temas abordados. ¡Esperamos sus preguntas!
Lista de las Q&R del webinar Community Live
Encuentre la lista de preguntas formuladas durante el seminario web Community Live de nuestro evento. Cualquier duda que no haya sido respondida durante la sesión será resuelta posteriormente aquí o en el foro de "Discusión".
Lista de Preguntas y Respuestas Q&A
- Pregunta: Los dispositivos 9000 Catalyst son capaces de manejar multicast ? - Javier A. (min.19)
- Pregunta: Estas políticas que se ven en pantalla pueden modificarse ? Y dándole seguimiento a mi pregunta… Pueden existir problemas al modificar estas políticas ? - Fernando De A. (min.23)
- Pregunta: El QID es un número variable según se van ejecutando los procesos? o siempre corresponde el mismo QID según el tipo de proceso ? - Juan R. (min.25)
- Pregunta: Cuál es el limite de tamaño de la captura ? - Gerardo G. (min.25)
- Pregunta: En caso de un stack el comando es el mismo ? - Ricardo G. (min.25)
- Pregunta: Cómo puedo proteger el CPU y que esto no detenga el envío de paquetes ante situaciones como VLAN Flapping ? - Mateo E Q. (min.30)
- Pregunta: Puedo sustitur mis Nexus 9k por Catalyst 9k para el manejo de IGMP ? - Javier A. (min.31)
- Pregunta: Retraso en DHCP en packet tracer vs equipo real ? - Percy V. (min.37)
- Pregunta: Buenos días, el módulo de monitoreo para la captura de paquetes es independiente de la CPU? de otra manera no entiendo cómo activar el monitoreo, no puede afectar el funcionamiento de la misma? - Sebastián C. (min.42)
- Pregunta: El show controllers también funciona en estos Cat9000 ? - Percy V. (min.43)
- Pregunta: Mi C9300 tiene IOS:17.9.3 pero no me da algunos commandos, qué IOS debe tener para que me dé todos los comandos de Tshoot ??? - Ricardo H. (min.44)
- Pregunta: Ese tipo de capturas se pueden exportar ? - Fernando De A. (min.46)
- Pregunta: Qué comandos producen salidas que podrían afectar el rendimiento del switch (puede ser el comando show tech-support)? - Percy V. (min.48)
- Pregunta: En qué escenario es recomendable tener el ip redirects ? - Henry Paul Ch. (min.50)
- Pregunta: Hola, habrá una guía oficial para hacer t-shoot como el demostrado ? - Antolin R. H. (min.51)
- Pregunta: ¿A partir de que versión de IOS-XE se puede usar estos comandos? ¿También aplica para IOS? - Antolin R. H. (min.52)
- Pregunta: Incluso en Switches L3 se recomienda aplicar el "no ip redirects"? - Juan R. (min.53)
- Pregunta: Existe algún BUG popular del cual debemos estar enterados para estos modelos 9300 ?? Gracias - Ricardo H. (min.54)
- Pregunta: Cómo puedo ver que el Copp esté activo ? - Mateo E Q. (min.55)
- Pregunta: Sería posible que para nuestro caso de estudio nos platicaran de cuáles fueron los parámetros o tipo de trafico que se estaba inyectando para generar los IP Redirects con el source cafe.cafe.cafe source address ? - Wilfredo D. (min.55)
- Pregunta: Existe algún BUG popular del cual debemos estar enterados para estos modelos C9300 ? Yo tengo uno sobre el alto procesamiento sobre el licensamiento. Gracias. - Ricardo H. (min.56)
- Pregunta: La NAT en cuánto afecta al procesamiento? porque también afecta la velocidad? - Percy V. (min.56)
- Pregunta: (con la anterior pregunta) Soportan NAT? - Percy V. (min.56)
- Pregunta: Modelos de Catalyst 9000 que soportan NAT? - Percy V. (min.60)
- Pregunta: Tienen algún link o documento donde vengan todos los comandos de la presentación? - Gerardo G. (min.61)
- Pregunta: Con estos nuevos Catalyst 9000 ha mejorado el uso de CPU para BGP? - Percy V. (min.61)
- Pregunta: Duda cultural: Cuántas rutas (FIB) soporta el C9300 ya que en varias ocasiones se alenta y arroja LOG de alto CPU y memoria cuando se agregan VRF? Hay forma de liberar más capacidad (template) como en los C9400? - Ricardo H. (min.62)
- Pregunta: Hola, agradecería si pueden abarcar el tema de networking en UCSM. Como es el funcionamiento de UCSM con dispositivos upstream como Nexus o ADSM. Gracias. - Juan R. (min.65)
- Pregunta Chat: En algún caso, notamos un problema de bloqueo de un switch 9200 y 9300 al tener aplicado el comando helper address, conectado este switch a un switch 2960? - Luis Julián R. (min.52)
- Pregunta Chat: El comando ip redirects, cuál es su función principal ? - Gerardo A. G. (min.53)
- Pregunta Chat: Cómo capturar paquetes de gestión con protocolo netconf y restconf? - Juan Ca. (min.53)
- Pregunta Chat: Se pierde la gestión del switch y al final terminamos resteando el switch. - Luis Julián R. (min.53)
- Pregunta Chat: Los comandos son válidos para toda la familia de los Catalyst 9000? - Pablo F. (min.53)
- Pregunta Chat: Y para estos equipos, Cisco Nexus9000? - Juan G. (min.55)
- Pregunta Chat: no ip redirects se aplica de forma global o en cada interfaz? - Iván R. (min.55)
- Pregunta Chat: Se puede aplicar en una interface vlan? - Lenin E. (min.56)
- Pregunta Chat: El no ip redirects no afecta a los FHRP? - Enrique I. (min.56)
- Pregunta Chat: C9000##show run | sec control-plane control-plane service-policy input system-cpp-policy? - Diego C. (min.57)
- Pregunta Chat: Un exigido uso de la CPU de un C9300 puede hacer que este pierda su configuración del C9300 ? - Víctor H. M. (min.58)
- Pregunta Chat: Otro ejemplo frecuente de mala configuración de protocolos de enrutamiento que provoque esta saturación ? - Rafael G. (min.58)
- Pregunta Chat: También podría ser ruta default a internet yendo solo a interfaz destino como: ip route 0.0.0.0 0.0.0.0 gi1? - Wilfredo D. (min.61)
- Pregunta Chat: En el caso de otros packets con IP Options de para ICMp no afecta tanto ? - Enrique I. (min.61)
- Pregunta Chat: Hay alguna plataforma que por similitud cuente con compatibilidad de algunos comandos, como ej. 3850? - Cristian (min.61)
- Pregunta Chat: Cómo detectar un ataque de DDos sobre el sw con estas tools? - Juan C. (min.62)
Pregunta: Los dispositivos 9000 Catalyst son capaces de manejar multicast ? - Javier A. (min.19)
Respuesta (Ricardo B.): Así es, la familia de Catalyst 9k soporta multicast usando ya sea IGMP y PIM.
Pregunta: Estas políticas que se ven en pantalla pueden modificarse ? Y dándole seguimiento a mi pregunta… Pueden existir problemas al modificar estas políticas ? - Fernando De A. (min.23)
Respuesta (Aarón C.): Hola Fernando, sí, modificar estos valores pueden causar problemas. Se sugiere que: si se considera necesario cambiar esos valores (algo no tan común/raro de ver), se abra un caso con TAC.
Pregunta: El QID es un número variable según se van ejecutando los procesos? o siempre corresponde el mismo QID según el tipo de proceso ? - Juan R. (min.25)
Respuesta (Aarón D.): Las Queues de CoPP son fijas, cada queue va a estar mapeada a cierto tipo de tráfico de CPU.
Respuesta (Aarón C.): Hola Juan, en caso de que estemos hablando del comando para ver las diferentes clases de CoPP y sus diferentes queues/QIDs, tenemos 32 CPU queues, algunos de estos CPU queues comparten QIDs, ejemplo, ICMP Redirect y broadcast, son dos CPU queues diferentes pero comparten QID, por ende, tener un exceso de ICMP Redirects, puede de manera indirecta afectar el queue de broadcast y causar problemas con servicios que utilizan paquetes broadcast, ejemplo DHCP...
Pregunta: Cuál es el limite de tamaño de la captura ? - Gerardo G. (min.25)
Respuesta (Aarón C.): El límite del FED punt debug es 4096 paquetes, pero como parte del "serviceability" de estos switches, de una versión (que no recuerdo en este momento), se puede aumentar este buffer a más de 4096 paquetes.
Pregunta: En caso de un stack el comando es el mismo ? - Ricardo G. (min.25)
Respuesta (Ricardo B.): Así es, debido a que la capa de control solo está activa en el Active switch, si hay un stack seguiremos usando el mismo comando.
Pregunta: Cómo puedo proteger el CPU y que esto no detenga el envío de paquetes ante situaciones como VLAN Flapping ? - Mateo E Q. (min.30)
Respuesta (Aarón D.): CoPP es un escudo que sirve para proteger las funciones básicas de procesamiento del switch. En caso de que haya un bucle (loop) el policer de CoPP evitará que tráfico en exceso afecte el CPU. CoPP está habilitado por default en los switches Catalyst 9000.
Pregunta: Puedo sustitur mis Nexus 9k por Catalyst 9k para el manejo de IGMP ? - Javier A. (min.31)
Respuesta (Aarón C.): Hola Javier, acá te recomiendo altamente revisar este tema directamente con tu Cisco Account Team (Sales Engineer) o bien con un reseller de Cisco. No tenemos conocimiento vasto de tu red, por ende, no podemos sugerir el cambio o dar un sí/no. Gracias!
Pregunta: Retraso en DHCP en packet tracer vs equipo real ? - Percy V. (min.37)
Respuesta (Aarón C.): El laboratorio/caso de uso es algo que pasa en el campo de manera muy común. El video es con el uso de equipo real, espero que esto responda tu pregunta.
Pregunta: Buenos días, el módulo de monitoreo para la captura de paquetes es independiente de la CPU? de otra manera no entiendo cómo activar el monitoreo, no puede afectar el funcionamiento de la misma? - Sebastián C. (min.42)
Respuesta (Aarón D.): Hola Sebastián, existen 2 herramientas para capturar tráfico hacia el CPU: EPC control plane capture y FED punt debug. FED punt debug no afecta al CPU pues el tráfico es capturado en FED, sin embargo con EPC control plane capture se debe ser cuidadoso porque el tráfico capturado es enviado al CPU en la Queue LOGGING.
Pregunta: El show controllers también funciona en estos Cat9000 ? - Percy V. (min.43)
Respuesta (Ricardo B.): Hola Percy, así es, este comando es soportado en la familia Catalyst 9000.
Pregunta: Mi C9300 tiene IOS:17.9.3 pero no me da algunos commandos, qué IOS debe tener para que me dé todos los comandos de Tshoot ??? - Ricardo H. (min.44)
Respuesta (Aarón C.): Me puedes mostrar qué comandos no te están sirviendo? Hay que tener en cuenta que depende del modelo de switch, hay que usar "switch active" o bien únicamente la palabra "active".
Pregunta: Ese tipo de capturas se pueden exportar ? - Fernando De A. (min.46)
Respuesta (Aarón C.): Sí, lo que hacemos comúnmente con el FED punt debug es usar la opción de "| redirect flash:" y para el monitor capture (EPC de control plane), hay una opción de "export buffer location"...
Pregunta: Qué comandos producen salidas que podrían afectar el rendimiento del switch (puede ser el comando show tech-support)? - Percy V. (min.48)
Respuesta (Aarón C.): De los comandos vistos en esta sesión, no deberían de causar problemas con su salida (output). El único que debemos usar con ciudado es el EPC de control plane.
Pregunta: En qué escenario es recomendable tener el ip redirects ? - Henry Paul Ch. (min.50)
Respuesta: Esta pregunta fue respondida en vivo por Laura Arias.(min.48)
Pregunta: Hola, habrá una guía oficial para hacer t-shoot como el demostrado ? - Antolin R. H. (min.51)
Respuesta (Manuel P.): No en específico para problemas de CoPP en general, pero el escenario de DHCP se documentó en el siguiente enlace: https://www.cisco.com/c/en/us/support/docs/switches/catalyst-9300-series-switches/217429-troubleshoot-slow-or-intermittent-dhcp-o.html
Pregunta: ¿A partir de que versión de IOS-XE se puede usar estos comandos? ¿También aplica para IOS? - Antolin R. H. (min.52)
Respuesta (Manuel P.): Son comandos de IOS-XE, específicamente de los Switches Catalyst 9000 y 3850/3650, en todas las versiones de IOS-XE 16.x y 17.x
Pregunta: Incluso en Switches L3 se recomienda aplicar el "no ip redirects"? - Juan R. (min.53)
Respuesta (Aarón D.): Sí, es recomendado aplicarlo en las interfaces Capa 3 para evitar problemas en CPU. (También fue respondida en vivo min.51)
Pregunta: Existe algún BUG popular del cual debemos estar enterados para estos modelos 9300 ?? Gracias - Ricardo H. (min.54)
Respuesta (Manuel P.): Es una pregunta muy amplia, te aconsejo revisar los Release Notes de la versión de IOS necesaria.
Pregunta: Cómo puedo ver que el Copp esté activo ? - Mateo E Q. (min.55)
Respuesta (Ricardo B.): Hola Mateo, puede usar el siguiente comando para verificar que la política esté en el equipo y sus distintos parámetros, como lo mencionamos durante la reunión, este feature está habilitado by default. (Esta pregunta también fue respondida en vivo min.53)
Respuesta (Ricardo B.): show policy-map control-plane
Pregunta: Sería posible que para nuestro caso de estudio nos platicaran de cuáles fueron los parámetros o tipo de trafico que se estaba inyectando para generar los IP Redirects con el source cafe.cafe.cafe source address ? - Wilfredo D. (min.55)
Respuesta: Esta pregunta fue respondida en vivo por Laura Arias. (min.53)
Pregunta: Existe algún BUG popular del cual debemos estar enterados para estos modelos C9300 ? Yo tengo uno sobre el alto procesamiento sobre el licensamiento. Gracias. - Ricardo H. (min.56)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.54)
Pregunta: La NAT en cuánto afecta al procesamiento? porque también afecta la velocidad? - Percy V. (min.56)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.55)
Pregunta: (con la anterior pregunta) Soportan NAT? - Percy V. (min.56)
Respuesta (Manuel P.): Sí, se soporta NAT pero te aconsejo revisar la documentación.
Pregunta: Modelos de Catalyst 9000 que soportan NAT? - Percy V. (min.60)
Respuesta (Manuel P.): Lo mejor sería consultar con el Account Team cuales Switches cumplen los requisitos que necesitan para la red.
Pregunta: Tienen algún link o documento donde vengan todos los comandos de la presentación? - Gerardo G. (min.61)
Respuesta (Aarón D.): Este documento contiene comandos de troubleshooting para problemas de CPU: https://www.cisco.com/c/en/us/support/docs/ios-nx-os-software/ios-xe-16/213549-troubleshoot-high-cpu-usage-in-catalyst.html#anc28
Este documento describe como usar FED punt debug: https://www.cisco.com/c/en/us/support/docs/ios-nx-os-software/ios-xe-gibraltar-16121/216746-configure-punt-inject-fed-packet-capture.html
Pregunta: Con estos nuevos Catalyst 9000 ha mejorado el uso de CPU para BGP? - Percy V. (min.61)
Respuesta (Aarón C.): Hola, los nuevos switches (C9500X/C9600X) son switches diseñados para estar en el core de la red, por ende tienen un mejor rendimiento.
Pregunta: Duda cultural: Cuántas rutas (FIB) soporta el C9300 ya que en varias ocasiones se alenta y arroja LOG de alto CPU y memoria cuando se agregan VRF? Hay forma de liberar más capacidad (template) como en los C9400? - Ricardo H. (min.62)
Respuesta (Manuel P.): Lo mejor sería consultar con el Account Team cuales Switches cumplen los requisitos que necesitan para la red.
Pregunta: Hola, agradecería si pueden abarcar el tema de networking en UCSM. Como es el funcionamiento de UCSM con dispositivos upstream como Nexus o ADSM. Gracias. - Juan R. (min.65)
Respuesta (Ricardo B.): Hola Juan, claro se tomará en cuenta para futuros eventos stay tuned.;)
Pregunta Chat: En algún caso, notamos un problema de bloqueo de un switch 9200 y 9300 al tener aplicado el comando helper address, conectado este switch a un switch 2960? - Luis Julián R. (min.52)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.49)
Pregunta Chat: El comando ip redirects, cuál es su función principal ? - Gerardo A. G. (min.53)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.50)
Pregunta Chat: Cómo capturar paquetes de gestión con protocolo netconf y restconf? - Juan Ca. (min.53)
Respuesta (Manuel P.): Si son paquetes enviados al CPU, ambas capturas te pueden servir.
Pregunta Chat: Se pierde la gestión del switch y al final terminamos resteando el switch. - Luis Julián R. (min.53)
Respuesta (TBD): (en espera)
Pregunta Chat: Los comandos son válidos para toda la familia de los Catalyst 9000? - Pablo F. (min.53)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.51)
Pregunta Chat: Y para estos equipos, Cisco Nexus9000? - Juan G. (min.55)
Respuesta (TBD): (en espera)
Pregunta Chat: no ip redirects se aplica de forma global o en cada interfaz? - Iván R. (min.55)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.52)
Pregunta Chat: Se puede aplicar en una interface vlan? - Lenin E. (min.56)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol. (min.53)
Pregunta Chat: El no ip redirects no afecta a los FHRP? - Enrique I. (min.56)
Respuesta (Manuel P.): No, siempre y cuando el CPU se encuentre saludable, los protocolos de FHRP no deberían ser afectados.
Pregunta Chat: C9000##show run | sec control-plane control-plane service-policy input system-cpp-policy? - Diego C. (min.57)
Respuesta (TBD): (en espera)
Pregunta Chat: Un exigido uso de la CPU de un C9300 puede hacer que este pierda su configuración del C9300 ? - Víctor H. M. (min.58)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol y Laura Arias. (min.56)
Pregunta Chat: Otro ejemplo frecuente de mala configuración de protocolos de enrutamiento que provoque esta saturación ? - Rafael G. (min.58)
Respuesta: Esta pregunta fue respondida en vivo por Manuel Pol y Laura Arias. (min.57)
Pregunta Chat: También podría ser ruta default a internet yendo solo a interfaz destino como: ip route 0.0.0.0 0.0.0.0 gi1? - Wilfredo D. (min.61)
Respuesta (TBD): (en espera)
Pregunta Chat: En el caso de otros packets con IP Options de para ICMp no afecta tanto ? - Enrique I. (min.61)
Respuesta (TBD): (en espera)
Pregunta Chat: Hay alguna plataforma que por similitud cuente con compatibilidad de algunos comandos, como ej. 3850? - Cristian (min.61)
Respuesta (Manuel P.): Las plataformas de Catalyst 9000 utilizan la misma arquitectura que los Cat3850.
Pregunta Chat: Cómo detectar un ataque de DDos sobre el sw con estas tools? - Juan C. (min.62)
Respuesta (Manuel P.): Utilizando el comando "show platform hardware fed switch active qos queue stats internal cpu policer" lo podrías identificar.
Nuestros expertos
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.