IOS-XE 16.3.2 pour Catalyst 3850/3650

2 min read

Jerome Durand

L’IOS-XE 16 (surnom Denali) tient décidemment toutes ses promesses! Cet operating system moderne unique reposant sur des ASIC programmables (UADP sur catalyst, QFP sur ASR1000 et x86 sur ISR/CSR) permet d’accélérer les innovations sur les réseaux d’entreprise. La version 16.3.1 avait déjà apporté cet été de nombreuses fonctionnalités sur 3650/3850 comme MPLS, AVC (Deep Packet Inspection), Campus Fabric (VXLAN/LISP), AVB (Audio Video Bridging), API programmatique Netconf/YANG… L’IOS-XE 16.3.2 sorti début novembre vient encore ajouter de nouvelles fonctionnalités autour de la visibilité, la sécurité, la programmabilité pour la connexion de tous les équipements du réseau. Un petit aperçu des nouveautés:

AVB (Audio-Video bridging) – Ajout de fonctions HQoS pour traiter en toute priorité les classes SR (Stream reservation) A et B définies dans AVB, avant de gérer la QoS “classique” pour les classes non-SR. La suite de protocoles AVB va ainsi permettre de faire converger sur Ethernet des environnements voix/vidéo qui requierent un transport déterministe (par exemple pour la sonorisation d’une salle, il est utile que le son sorte en même temps des nombreux haut-parleurs)
Support de MVPN (Multicast VPN) – Cela vient compléter le support des L3VPN MPLS disponibles depuis la 16.3.1 avec l’ajout du service multicast. On est sur un modèle Rosen GRE dans cette version.
AVC (Application Visibility and Control) – Comme sur les routeurs, on peut maintenant associer à chaque flux Netflow l’application associée reconnue par NBAR2, notre moteur de DPI (Deep packet inspection). J’avais dans un précédent article expliqué comment déployer cette fonctionnaité et visualiser les statistiques sur l’interface Web du commutateur. On sait aujourd’hui exporter toutes les stats vers un collecteur Netflow qui présentera des statistiques agrégées du réseau.
Support de MACSEC MKA (MACsec Key Agreement) pour les interconnexions switch-switch ou switch-host. Précédemment le protocole SAP était utilisé pour chiffrer les liaisons entre 2 switchs. On supporte maintenant MKA comme pour le déploiement MACsec avec les hosts. On va pouvoir utiliser un chiffrement AES-256 (au lieu de clés de 128 précédemment). Attention évidemment car seuls les derniers modèles de 3650/3850 permettent ce chiffrement plus avancé reposant sur des clés de 256 bits (modèles 10GE et mGig)
Support du mGig downshift – J’avais abordé dans cet article cette amélioration Cisco par rapport au standard 802.3bz. Il s’agit de pouvoir diminuer le débit d’une liaison mGig quand cette dernière est de trop mauvaise qualité. Un lien mGig (Multigigagbit Ethernet) initialement négocié en 5Git/s pourra par exemple être automatiquement renégocié en 2.5Gbit/s si l’on détecte des problèmes réguliers sur la liaison.
Support de PXE boot – PXE va pouvoir être utilisé pour charger l’IOS souhaité au démarrage. Je rappelle que nous avons déjà depuis pus de 2 ans la solution plug and play pour faire un zero-touch provisionning sécurisé d’un équipement (configuration et IOS). PXE va ici compléter la solution dans des environnements où il serait plus adapté.
Nouveaux modèles YANG – On a introduit Netconf et un bon nombre de modèles YANG dans la version 16.3.1. La version 16.3.2 apporte le support de nouveaux modèles YANG, étandant la capacité de manager l’équiepement via des API programmatiques. L’objectif est ici d’avoir une solution standardisée, plus aisée que le CLI pour manager l’équipement depuis un outil de management, d’orchestration ou un contrôleur. Je vous encourage à tester la fonction “capability discovery”, intégrée dans Netconf pour voir ce que le switch sait faire. Plus d’infos dans un prochain article!