使用輸入反射器設定第3層CTS
簡介
本檔案介紹如何使用輸入反射器設定第3層Cisco TrustSec(CTS)。
必要條件
需求
思科建議您瞭解CTS解決方案的基本知識。
採用元件
本文中的資訊係根據以下軟體和硬體版本：
- 採用Supervisor Engine 2T的Catalyst 6500交換器(IOS®版本15.0(01)SY)
- IXIA流量產生器
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。
背景資訊
CTS是一種高級網路訪問控制和身份解決方案，可在服務提供商骨幹網和資料中心網路之間提供端到端安全連線。
搭載Supervisor Engine 2T和6900系列線路卡的Catalyst 6500交換器提供完整的硬體和軟體支援，以實作CTS。當Catalyst 6500配置管理引擎2T和6900系列線卡時，系統完全能夠提供CTS功能。
由於客戶希望繼續使用遷移到CTS網路時已經存在的Catalyst 6500交換機和線卡，因此，Supervisor Engine 2T需要與部署在CTS網路中時已經存在的特定線卡相容。
為了支援新的CTS功能，例如安全群組標籤(SGT)和IEEE 802.1AE MACsec連結加密，Supervisor Engine 2T和新的6900系列線路卡上使用專用應用程式專屬積體電路(ASIC)。輸入反射器模式在不使用CTS的舊版線卡之間提供相容性。入口反射器模式僅支援集中轉發，資料包轉發將在Supervisor引擎2T的PFC上發生。僅支援6148系列或支援交換矩陣的集中轉發卡(CFC)線卡，如6748-GE-TX線卡。啟用輸入反射器模式時，不支援分散式轉送卡(DFC)線路卡和10 Gigabit乙太網路線路卡。配置了輸入反射器模式後，不支援的線卡不能通電。輸入反射器模式是透過使用全域組態命令來啟用，且需要重新載入系統。
設定
網路圖表
步驟1.在SW1和SW2之間的出口介面上設定CTS第3層
-
SW1(config)#int t1/4/2 SW1(config-if)#ip address 172.16.0.1 255.255.255.0 SW1(config-if)# cts layer3 ipv4 trustsec forwarding SW1(config-if)# cts layer3 ipv4 policy SW1(config-if)#no shutdown SW1(config-if)#exit SW2(config)#int t1/2 SW2(config-if)#ip address 172.16.0.2 255.255.255.0 SW2(config-if)# cts layer3 ipv4 trustsec forwarding SW2(config-if)# cts layer3 ipv4 policy SW2(config-if)#no shutdown SW2(config-if)#exit
步驟2.全域性啟用CTS輸入反射器
SW1(config)#platform cts ingress SW1#sh platform cts CTS Ingress mode enabled
將介面從非CTS支援的線卡連線到IXIA。
SW1#sh run int gi2/4/1 Building configuration... Current configuration : 90 bytes ! interface GigabitEthernet2/4/1 no switchport ip address 10.10.10.1 255.255.255.0 end
在SW1交換機中為從連線到SW1的IXIA 1收到的資料包分配靜態SGT。設定允許策略僅對身份驗證器上所需子網中的資料包執行CTS L3。
SW1(config)#cts role-based sgt-map 10.10.10.10 sgt 15 SW1(config)#ip access-list extended traffic_list SW1(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 any SW1(config)#cts policy layer3 ipv4 traffic traffic_list
驗證
使用本節內容，確認您的組態是否正常運作。
檢驗兩台交換機上的IFC狀態是否為OPEN。輸出必須如下所示：
SW1#sh cts int summary Global Dot1x feature is Enabled CTS Layer2 Interfaces --------------------- Interface Mode IFC-state dot1x-role peer-id IFC-cache Critical Authentication ----------------------------------------------------------------------------- Te1/4/1 DOT1X OPEN Supplic SW2 invalid Invalid Te1/4/4 MANUAL OPEN unknown unknown invalid Invalid Te1/4/5 DOT1X OPEN Authent SW2 invalid Invalid Te1/4/6 DOT1X OPEN Supplic SW2 invalid Invalid Te2/3/9 DOT1X OPEN Supplic SW2 invalid Invalid CTS Layer3 Interfaces --------------------- Interface IPv4 encap IPv6 encap IPv4 policy IPv6 policy Te1/4/2 OPEN ---------- OPEN ----------- SW2#sh cts int summary Global Dot1x feature is Enabled CTS Layer2 Interfaces --------------------- Interface Mode IFC-state dot1x-role peer-id IFC-cache Critical-Authentication ----------------------------------------------------------------------------- Te1/1 DOT1X OPEN Authent SW1 invalid Invalid Te1/4 MANUAL OPEN unknown unknown invalid Invalid Te1/5 DOT1X OPEN Supplic SW1 invalid Invalid Te1/6 DOT1X OPEN Authent SW1 invalid Invalid Te4/5 DOT1X OPEN Authent SW1 invalid Invalid CTS Layer3 Interfaces --------------------- Interface IPv4 encap IPv6 encap IPv4 policy IPv6 policy -------------------------------------------------------------------------- Te1/2 OPEN ---------- OPEN -----------
通過Netflow輸出驗證
可以使用以下命令配置Netflow:
SW2(config)#flow record rec2 SW2(config-flow-record)#match ipv4 protocol SW2(config-flow-record)#match ipv4 source address SW2(config-flow-record)#match ipv4 destination address SW2(config-flow-record)#match transport source-port SW2(config-flow-record)#match transport destination-port SW2(config-flow-record)#match flow direction SW2(config-flow-record)#match flow cts source group-tag SW2(config-flow-record)#match flow cts destination group-tag SW2(config-flow-record)#collect routing forwarding-status SW2(config-flow-record)#collect counter bytes SW2(config-flow-record)#collect counter packets SW2(config-flow-record)#exit SW2(config)#flow monitor mon2 SW2(config-flow-monitor)#record rec2 SW2(config-flow-monitor)#exit
將netflow應用於SW2交換機介面的輸入埠，如下所示：
SW2# sh run int t1/2 Building configuration... Current configuration : 166 bytes ! interface TenGigabitEthernet1/2 ip address 172.16.0.2 255.255.255.0 ip flow monitor mon2 input cts layer3 ipv4 trustsec forwarding cts layer3 ipv4 policy end
將資料包從IXIA 1傳送到IXIA 2。根據流量策略，必須在連線到SW2交換機的IXIA 2上正確接收該資料包。確保資料包帶有SGT標籤。
SW2#sh flow monitor mon2 cache format table
Cache type: Normal
Cache size: 4096
Current entries: 0
High Watermark: 0
Flows added: 0
Flows aged: 0
- Active timeout ( 1800 secs) 0
- Inactive timeout ( 15 secs) 0
- Event aged 0
- Watermark aged 0
- Emergency aged 0
There are no cache entries to display.
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 4:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 2:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 1:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 4
IPV4 SRC ADDR IPV4 DST ADDR TRNS SRC PORT TRNS DST PORT FLOW DIRN FLOW CTS SRC GROUP TAG FLOW CTS DST GROUP TAG IPPROT ip fwd status bytes pkts
=============== =============== ============= ============= ========= ====================== ====================== ======= ======================================== ==========
1.1.1.10 2.2.2.10 0 0 Input 10 0 255 Unknown 148121702 3220037
10.10.10.10 10.10.20.10 0 0 Input 15 0 255 Unknown 23726754 515799
10.10.10.1 224.0.0.5 0 0 Input 2 0 89 Unknown 9536 119
172.16.0.1 224.0.0.5 0 0 Input 0 0 89 Unknown 400 5
現在，設定例外策略以跳過CTS L3，將資料包跳至身份驗證器交換機中的特定IP地址。
SW1(config)#ip access-list extended exception_list SW1(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 any SW1(config)#cts policy layer3 ipv4 exception exception_list
SW2#sh flow monitor mon2 cache format table
Cache type: Normal
Cache size: 4096
Current entries: 0
High Watermark: 0
Flows added: 0
Flows aged: 0
- Active timeout ( 1800 secs) 0
- Inactive timeout ( 15 secs) 0
- Event aged 0
- Watermark aged 0
- Emergency aged 0
There are no cache entries to display.
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 4:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 2:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 0
There are no cache entries to display.
Module 1:
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries: 3
IPV4 SRC ADDR IPV4 DST ADDR TRNS SRC PORT TRNS DST PORT FLOW DIRN FLOW CTS SRC GROUP TAG FLOW CTS DST GROUP TAG IP PROT ip fwd status bytes pkts
=============== =============== ============= ============= ========= ====================== ====================== ======= ======================================== =========
1.1.1.10 2.2.2.10 0 0 Input 10 0 255 Unknown 1807478 39293
10.10.10.10 10.10.20.10 0 0 Input 0 0 255 Unknown 1807478 39293
10.10.10.1 224.0.0.5 0 0 Input 2 0 89 Unknown 164 2
將資料包從IXIA 1傳送到IXIA 2。根據異常策略，必須在連線到SW2交換機的IXIA 2上正確接收這些資料包。
疑難排解
目前尚無適用於此組態的具體疑難排解資訊。
意見