docs/docs_vfw.rst

   1 .. _docs_vfw:
   2
   3 vFirewall Use Case
   4 ------------------
   5
   6 Source files
   7 ~~~~~~~~~~~~
   8
   9 - vFirewall/vSink template file: https://git.onap.org/demo/tree/heat/vFWCL/vFWSNK/base_vfw.yaml?h=dublin
  10 - vFirewall/vSink environment file: https://git.onap.org/demo/tree/heat/vFWCL/vFWSNK/base_vfw.env?h=dublin
  11
  12 - vPacketGenerator template file: https://git.onap.org/demo/tree/heat/vFWCL/vPKG/base_vpkg.env?h=dublin
  13 - vPacketGenerator environment file: https://git.onap.org/demo/tree/heat/vFWCL/vPKG/base_vpkg.env?h=dublin
  14
  15 VVP Report
  16 ~~~~~~~~~~
  17
  18 :download:`vFWCL/vPKG report <files/vFWCL_vPKG_report.json>`
  19
  20 :download:`vFWCL/vFWSNK report <files/vFWCL_vFWSNK_report.json>`
  21
  22 Description
  23 ~~~~~~~~~~~
  24
  25 The use case is composed of three virtual functions (VFs): packet generator, firewall, and traffic sink.
  26 These VFs run in three separate VMs. The packet generator sends packets to the packet sink through the firewall.
  27 The firewall reports the volume of traffic passing though to the ONAP DCAE collector. To check the traffic volume
  28 that lands at the sink VM, you can access the link http://sink_ip_address:667 through your browser and enable
  29 automatic page refresh by clicking the "Off" button. You can see the traffic volume in the charts.
  30
  31 The packet generator includes a script that periodically generates different volumes of traffic. The closed-loop
  32 policy has been configured to re-adjust the traffic volume when high-water or low-water marks are crossed.
  33
  34 Since Casablanca, we have used a vFWCL service tag for this testing instead of the vFW service tag. vFW servic tag
  35 is a regression for onboard and instantiation of a single VNF service (all three VMs in the same VNF) where as the
  36 vFWCL is a two VNF service (vFW+ vSNK and separeate vPKG)
  37
  38 ./demo-k8s.sh onap instantiateVFWCL can be used to onboard and instantiate a vFWCL via robot scripts or follow the procedure to use the GUI that is available in the documentation.
  39
  40
  41 Closed-Loop for vFirewall Use Case
  42 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  43
  44 Through the ONAP Portal's Policy Portal, we can find the configuration and operation policies that are currently
  45 enabled for the vFirewall use case:
  46
  47 - The configuration policy sets the thresholds for generating an onset event from DCAE to the Policy engine. Currently, the high-water mark is set to 700 packets while the low-water mark is set to 300 packets. The measurement interval is set to 10 seconds.
  48 - When a threshold is crossed (i.e. the number of received packets is below 300 packets or above 700 packets per 10 seconds), the Policy engine executes the operational policy to request APPC to adjust the traffic volume to 500 packets per 10 seconds.
  49 - APPC sends a request to the packet generator to adjust the traffic volume.
  50 - Changes to the traffic volume can be observed through the link http://sink_ip_address:667.
  51
  52
  53 Adjust packet generator
  54 ~~~~~~~~~~~~~~~~~~~~~~~
  55
  56 The packet generator contains 10 streams: fw_udp1, fw_udp2, fw_udp3, ..., fw_udp10. Each stream generates 100 packets
  57 per 10 seconds. A script in /opt/run_traffic_fw_demo.sh on the packet generator VM starts automatically and alternates high
  58 traffic (i.e. 10 active streams at the same time) and low traffic (1 active stream) every 5 minutes.
  59
  60 To adjust the traffic volume produced by the packet generator, run the following command in a shell, replacing PacketGen_IP in
  61 the HTTP argument with localhost (if you run it in the packet generator VM) or the packet generator IP address:
  62
  63 ::
  64
  65   curl -X PUT \
  66   https://PacketGen_IP:8445/restconf/config/stream-count:stream-count/streams \
  67   -H 'Accept: application/json' \
  68   -H 'Content-Type: application/json' \
  69   -H 'Postman-Token: 88610924-938b-4d64-a682-0b0aabed4a6d' \
  70   -H 'cache-control: no-cache' \
  71   -d '{
  72     "streams": {
  73         "active-streams": 5
  74     }}'
  75
  76
  77 The command above enables 5 streams.
  78
  79
  80
  81 Preconditions
  82 ~~~~~~~~~~~~
  83
  84 The control loop name in DCAE's TCA micro-service needs to match the Operational Policy control loop name.
  85 Due to timing robot scripts that setup the operational policy do not change the control loop name in DCAE.
  86 Do the following to update DCAE's consul entry for TCA to match the name assigned by robot to the operational
  87 policy. The control loop name generated by policy can be viewed in the log.html page on robot from the
  88 instantiateVFWCL.
  89
  90 -  Connect to Consul: http://<k8s_host_ip>/ui/#/dc1/services (change the IP based on the K8S cluster IP assignment)
  91 -  Click Key/Value on the bar at the top of the Consul menu
  92 -  Select “dcaegen2-analytics-tca” microservice from the list on the left
  93 -  Search for "closedLoopControlName" key in the configuration policy JSON object
  94 -  Replace the standard closed loop name with the one generated by robot
  95 -  Click “Update” button to update the configuration policy
  96
  97 Running the Use Case
  98 ~~~~~~~~~~~~~~~~~~~~
  99
 100 Users can run the use case using the automated Robot Framework or manually. For using the Robot Framework in an ONAP instance installed with OOM, users have to ssh to the Rancher VM and run the following command:
 101
 102 ::
 103
 104   bash oom/kubernetes/robot/demo-k8s.sh <namespace> vfwclosedloop <pgn-ip-address>
 105
 106 The script sets the packet generator to high and low rates, and checks whether the policy kicks in to modulate the rates back to medium. At the end of the test , robot sets the streams back to Medium so that it is setup for the next test.
 107
 108 For documentation about running the use case manually for previous releases, please look at the videos and the material available at this `wiki page`__.
 109
 110 __ https://wiki.onap.org/display/DW/Running+the+ONAP+Demos
 111
 112 Although videos are still valid, users are encouraged to use the Heat templates linked at the top of this page rather than the old Heat templates in that wiki page.
 113
 114 Known issues and resolution
 115 ~~~~~~~~~~~~~~~~~~~~~~~~~~~
 116 The packet generator may become unresponsive to external inputs like changing the number of active streams. To solve the problem, reboot the packet generator VM.
 117
 118 Policy can lock the target VNF if there are too many failed attempts due to mis-configuration etc. Set the streams to medium and wait 30 minutes or so and the lock in policy will expire. Monitoring the DMaaP topic for DCAE_CL_OUTPUT can be used to confirm that no TCA events are coming in from the VNF through VES/TCA.
 119
 120 ::
 121    http://<k8s-host>:30227/events/unauthenticated.DCAE_CL_OUTPUT/g1/c3?timeout=5000
 122