Limitação de plataforma ASR1002 com IPSec, Netflow, NBAR - Cisco
Limitação de plataforma ASR1002 com IPSec, Netflow, NBAR
ID do documento:200789
Problema: Limitação de plataforma ASR1002 com IPSec, Netflow, NBAR
Este documento descreve o problema com o throughput na plataforma ASR1002 com Application Visibility and Control (AVC) configurado junto com o recurso IPSec no roteador.
De acordo com a documentação do CCO, o ASR10002 oferece throughput de 10 gbps para tráfego de dados normal, 4 Gbps com recurso IPSec habilitado. Mas há uma advertência relacionada ao throughput na plataforma ASR1002. O Netflow e o NBAR são dois recursos que consomem muitos recursos do Quantum Flow Processor (QFP) e, portanto, reduzem a capacidade da placa ESP (Encapsulating Security Payload) para processar mais tráfego e, assim, reduzir o throughput geral do sistema. Com a configuração do AVC junto com o IPSec, o throughput geral da plataforma pode ser severamente degradado e pode enfrentar uma enorme perda de tráfego.
O problema foi observado inicialmente quando a largura de banda foi atualizada com o provedor e o teste de largura de banda estava sendo executado. Inicialmente, um pacote de 1.000 bytes foi enviado, o que correu perfeitamente bem, então o teste foi realizado com pacotes de 512 bytes, após os quais quase perceberam uma perda de tráfego de 80%. Consulte esta topologia de teste de laboratório:
Execute estes recursos:
DMVPN sobre IPSec
NBAR (como parte da instrução de correspondência de política de QoS)
O Dynamic Multipoint VPN (DMVPN) está entre os dois roteadores ASR1k. O tráfego foi gerado do IXIA para o IXIA na nuvem DMVPN com tamanho de pacote de 512 bytes a 50.000 pps. Outro fluxo é configurado para tráfego de encaminhamento expresso (EF - Expedited Forwarding) de IXIA para IXIA
Com o fluxo acima, percebemos perda de tráfego em ambos os fluxos para até quase 30.000 pps.
Não houve muitas quedas de saída incrementando e poucas quedas foram vistas na classe EF ou em outras classes, exceto da classe padrão da política de serviço.
Foram encontradas quedas no QFP usando quedas de estatísticas ativas de qfp de hardware de plataforma e essas quedas aumentaram rapidamente.
Outras quedas de IPSec foram verificadas para QFP usando o comando show platform hardware qfp ative feature ipsec data drops
Foi observado que o contador de queda para o contador IN_PSTATE_CHUNK_ALLOC_FAIL correspondia ao valor IpsecInput no QFP drops e o mesmo com IpsecOutput correspondente ao OUT_PSTATE_CHUNK_ALLOC_FAIL contador.
Esse problema é observado devido ao defeito de software# CSCuf25027 .
A solução para esse problema é desabilitar o recurso Netflow e Network Based Application Recognition (NBAR) no roteador. Se você quiser executar todos os recursos e ter um throughput melhor, a melhor opção é atualizar para ASR1002-X ou ASR1006 com ESP-100.