ICMP Redirect引起的網(wǎng)絡(luò)丟包

場景

當(dāng)網(wǎng)絡(luò)設(shè)備發(fā)下發(fā)送給自己的數(shù)據(jù)包，下一跳地址和發(fā)送源地址在同一個(gè)子網(wǎng)時(shí)，就會回復(fù)一個(gè)icmp redirect報(bào)文，用于向發(fā)送源設(shè)備指出存在一個(gè)更加優(yōu)化的路由。當(dāng)源設(shè)備接收到這個(gè)icmp redirect報(bào)文后，后續(xù)數(shù)據(jù)包就會直接發(fā)送給新的下一跳。

創(chuàng)新互聯(lián)專注于江漢企業(yè)網(wǎng)站建設(shè),自適應(yīng)網(wǎng)站建設(shè),商城系統(tǒng)網(wǎng)站開發(fā)。江漢網(wǎng)站建設(shè)公司,為江漢等地區(qū)提供建站服務(wù)。全流程定制網(wǎng)站設(shè)計(jì)，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，創(chuàng)新互聯(lián)專業(yè)和態(tài)度為您提供的服務(wù)

引起原因

這一般都是由于策略路由（PBR）或者不優(yōu)化的路由（錯(cuò)誤的靜態(tài)）引起的。

  +---+
  |   +----------+ ---+
  +---+          |    |
10.1.1.2/24      |    |
                 |    |          +---+
                 |LAN +----------+   |
                 |    |          +---+
                 |    |        10.1.1.1/24
  +---+          |    |
  |   +----------+----+
  +---+
10.1.1.3/24

如圖所示，假設(shè)10.1.1.2去往10.1.1.3的的數(shù)據(jù)包被策略路由強(qiáng)行發(fā)網(wǎng)10.1.1.1，10.1.1.1會發(fā)現(xiàn)下一跳和自己在同一個(gè)網(wǎng)段，接下來將會向10.1.1.2回復(fù)一個(gè)ICMP Redirect。

                    +---+
                    |   +----------+ ---+
                    +---+          |    |
                  10.1.1.2/24      |    |
                                   |    |          +---+
                                   |LAN +----------+   |
                                   |    |          +---+
                                   |    |        10.1.1.1/24
                    +---+          |    |
192.168.1.0/24<-----+   +----------+----+
                    +---+
                  10.1.1.3/24

如上圖，還有一種路由不優(yōu)化的情況，假設(shè)路由設(shè)置如下：
10.1.1.2
ip route 192.168.1.0/24 10.1.1.1
10.1.1.1
ip route 192.168.1.0/24 10.1.1.3
10.1.1.3
ip route 192.168.1.0/24 x.x.x.x

這種情況下，10.1.1.1同樣也會向10.1.1.2回復(fù)ICMP Redirect。

危害

由于需要網(wǎng)絡(luò)設(shè)備回復(fù)ICMP Redirect報(bào)文，數(shù)據(jù)包需要發(fā)送給CPU進(jìn)行處理，這將增加CPU額外的負(fù)擔(dān)。
為了避免這種情況（或***），Nexus在硬件層面對需要ICMP Redirect報(bào)文進(jìn)行限速。
目前, IP redirects通過Layer 3 Time-to-Live (TTL) 速率限制。默認(rèn)是500個(gè)包每秒。如果超過這個(gè)值，將帶來丟包。

N7K# show hardware rate-limiter 
Units for Config: packets per secondAllowed, Dropped & Total: aggregated since last clear counters
rl-1: STP and Fabricpath-ISIS
rl-2: L3-ISIS and OTV-ISIS
rl-3: UDLD, LACP, CDP and LLDP
rl-4: Q-in-Q and ARP request
rl-5: IGMP, NTP, DHCP-Snoop, Port-Security, Mgmt and Copy traffic


Module: 1Rate-limiter PG Multiplier: 1.00

  R-L Class           Config           Allowed         Dropped            Total
 +------------------+--------+---------------+---------------+-----------------+
  L3 mtu                   500               0               0                 0
  L3 ttl                   500               0               0                 0
  L3 control             10000               0               0                 0

解決方案及建議

1、關(guān)閉ICMP Redirect

int vlan xx no ip redirect

2、調(diào)整Hardware Rade-limite值

Example:N7K(config)# hardware rate-limiter layer-3 ttl 1000

本文參考文檔
Cisco Nexus 7000 Series NX-OS Security Configuration Guide

網(wǎng)站欄目：CiscoNexus之“ipredirect”
分享鏈接：http://jinyejixie.com/article8/jdogip.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供搜索引擎優(yōu)化、虛擬主機(jī)、外貿(mào)建站、面包屑導(dǎo)航、建站公司、App設(shè)計(jì)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)