أستكشاف أخطاء تصنيف الشبكة الفرعية L3Out وإصلاحها في قائمة التحكم في الوصول (ACI)

المقدمة

يصف هذا المستند تصنيف الشبكات الفرعية الخارجية داخل شبكات ACI الخاصة ب L3Out من Cisco،

الاختصارات

• بي دي: مجال الجسر
• برونو: مجموعة نقاط النهاية
• ExEPG: مجموعة نقاط النهاية الخارجية
• ضلع: قاعدة معلومات التوجيه
• تردد VRF: التوجيه وإعادة التوجيه الظاهري
• معرف الفئة: العلامة التي تعرف EPG

تصنيف EPG الخارجي

يمثل EPG الخارجي في Cisco ACI الشبكات الخارجية الموجهة المتصلة من خلال L3Out. وكما هو الحال بالنسبة لكيفية تصنيف شبكة EPG العادية لنقاط النهاية، يقوم فريق حماية مستوى التحكم (EPG) الخارجي بتصنيف الشبكات الفرعية الخارجية على أساس كل معرف فئة مورد (VRF)، مما يعني أن كل شبكة فرعية يجب أن تكون فريدة ضمن سياق تردد الراديو الظاهري (VRF) الخاص بها.

من المفاهيم الخاطئة الشائعة أن الشبكة الفرعية EPG الخارجية تتضمن البادئات المقبولة فقط عبر بروتوكول التوجيه الديناميكي. ومع ذلك، عند إنشاء L3Out، هناك تصفية إعلانات واردة افتراضية لخريطة المسار؛ لذلك، يتم قبول جميع البادئات المعلن عنها بواسطة بروتوكول التوجيه الديناميكي بشكل افتراضي. الغرض الأساسي من تحديد شبكات فرعية تحت ExEPG هو التصنيف فقط لتعيين PCtag فريد للشبكات الفرعية الموجودة في ExEPG لتنفيذ العقد وتطبيق السياسة.

يتيح هذا التصنيف إمكانية التحكم في النهج متعدد المستويات. على سبيل المثال، يمكن أن يقوم مجاور خارجي واحد بالإعلان عن شبكة فائقة ل ACI، والتي يمكن بعد ذلك تجزئتها إلى ExEPG متعددة. وهذا يسمح بتطبيق إجراءات عقد مختلفة على الشبكات الفرعية المميزة، مثل السماح لبروتوكولات EPG الداخلية المحددة بالاتصال فقط بالشبكات الفرعية الخارجية المعينة أو إعادة توجيه حركة مرور البيانات الموجهة لبعض البادئات إلى عقدة PBR قبل الوصول إلى الوجهة النهائية لها.

يوضح هذا المخطط كيفية تصنيف Cisco ACI للشبكات الفرعية الخارجية استنادا إلى شبكات EPG الخارجية، مما يتيح تقسيم حركة المرور الدقيقة وإنفاذ العقد.

علامات شبكات EPG الفرعية الخارجية

لتصنيف البادئات الخارجية وإدارتها داخل ExEPG في قائمة التحكم في الوصول (ACI)، يتم تكوين علامات شبكة فرعية معينة عند إنشاء بادئة شبكة فرعية تحت ExEPG. يوضح هذا القسم تفاصيل كل علامة والاستخدام المقصود منها:

• الشبكة الفرعية الخارجية ل EPG الخارجي:
  تشير هذه العلامة إلى أن الشبكة الفرعية تقع خارج بنية واجهة التحكم في الوصول (ACI) ولا يتم تكوينها داخل أي مجال جسر أو EPG. يجب إستخدامه فقط عندما يتم الإعلان عن البادئة من قبل جار التوجيه أو حقنه بشكل ثابت في RIB. هذه العلامة ممكنة بشكل افتراضي.

• تصدير الشبكة الفرعية للتحكم في المسار:
  تشير هذه العلامة إلى أنه يتم الإعلان عن الشبكة الفرعية من واجهة التحكم في الوصول (ACI) إلى جار التوجيه عبر بروتوكول التوجيه الديناميكي. ويجب عدم تمكينها في نفس الوقت مع الشبكة الفرعية الخارجية لعلامة EPG الخارجية، حيث أن القيام بذلك قد يؤدي إلى حلقات توجيه من الطبقة 3. بما أن واجهة التحكم في الوصول (ACI) تصنف الشبكة الفرعية كشبكة خارجية كما تقوم بالإعلان عنها مرة أخرى، فقد يؤدي ذلك إلى توجيه حالات عدم التناسق بالرغم من آليات تجنب التكرار في بروتوكولات التوجيه.

• الشبكة الفرعية للتحكم في المسار المشترك:
  يتم تعيين هذه العلامة عندما يتم تصميم بادئة الشبكة الفرعية بحيث يتم مشاركتها عبر العديد من شبكات VRF، مما يتيح تسريب المسار بين السياقات.

• الشبكة الفرعية لاستيراد الأمان المشترك:
  يستخدم هذا الأمر بالاقتران مع علامة الشبكة الفرعية للتحكم في المسار المشترك، مما يتيح إمكانية مشاركة علامات أمان الشبكات الفرعية الخارجية عبر شبكات VRF مختلفة، مما يسهل تنفيذ السياسة بشكل متناسق.

• إستيراد الشبكة الفرعية للتحكم في المسار:
  يسمح هذا العلم بالتحكم المتعمق في البادئات التي يتم استقبالها من جيران التوجيه. وبشكل افتراضي، تقبل واجهة برمجة التطبيقات (ACI) جميع إعلانات المسارات الواردة؛ يتطلب تمكين هذه العلامة تنشيط تنفيذ التحكم في المسار لتصفية البادئات الواردة.

• مقطع التجميع:
  ينطبق فقط على الشبكة الفرعية رباعية-0 (0.0.0.0/0)، يلخص هذا القسم جميع البادئات في RIB الخاصة بالتصدير أو الاستيراد الكلي. عند تسرب الشبكات الفرعية إلى شبكات VRF أخرى، يتم تلخيصها كمسارات مشتركة مجمعة لتحسين جداول التوجيه.

أوامر التحقق من الصحة واستكشاف الأخطاء وإصلاحها

توجيه

للبدء، يجب أن يكون المسار موجودا في جدول التوجيه الخاص ب VRF على محولات ورقة الحدود. على سبيل المثال، يعرض هذا الأمر مسار BGP في VRF tz:tz-VRF_1:

Leaf101# show ip route bgp vrf tz:tz-VRF_1
IP Route Table for VRF "tz:tz-VRF_1"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>

172.16.1.0/24, ubest/mbest: 1/0
*via 10.10.1.2%tz:tz-VRF_1, [20/0], 00:00:04, bgp-65002, external, tag 65003
Leaf101#

وهذا يؤكد أنه تم تثبيت المسار في جدول توجيه VRF وأنه متوفر لإعادة توجيه القرارات.

تصنيف

بعد وجود المسار في جدول التوجيه، يحدد التصنيف كيفية معالجة حركة المرور استنادا إلى السياسة. في قائمة التحكم في الوصول (ACI)، يتم ربط التصنيف ب ExEPG والشبكات الفرعية المقترنة به.

للتحقق من تصنيف الشبكة الفرعية تحت ExEPG، يمكن الاستعلام عن APIC لفئة L3extInstP، التي تمثل مثيل EPG الخارجي. تسرد L3extSubnet التابعة الخاصة بها الشبكات الفرعية التي تم تكوينها بموجب ExEPG هذا. على سبيل المثال:

moquery -c l3extInstP -f 'l3ext.InstP.dn*"[ tenant name ].*[ l3out name ]"' -x rsp-subtree=children rsp-subtree-class=l3extSubnet

APIC# moquery -c l3extInstP -f 'l3ext.InstP.dn*"tz.*l3out"' -x rsp-subtree=children rsp-subtree-class=l3extSubnet 
Total Objects shown: 1

# l3ext.InstP
name : tz-ExEPG_1
!-- cut for brevity --!
configSt : applied
descr : 
dn : uni/tn-tz/out-l3out/instP-tz-ExEPG_1
!-- cut for brevity --!
floodOnEncap : disabled
isSharedSrvMsiteEPg : no
lcOwn : local
matchT : AtleastOne
mcast : no
modTs : 2025-09-10T00:36:49.239+00:00
monPolDn : uni/tn-common/monepg-default
nameAlias : 
pcEnfPref : unenforced
pcTag : 32771
pcTagAllocSrc : idmanager
prefGrMemb : exclude
prio : unspecified
rn : instP-tz-ExEPG_1
scope : 3047430
status : modified
targetDscp : unspecified
triggerSt : triggerable
txId : 1152921504612318828
uid : 15374
userdom : :all:

# l3ext.Subnet
ip : 172.16.1.0/24
!-- cut for brevity --!
dn : uni/tn-tz/out-l3out/instP-tz-ExEPG_1/extsubnet-[172.16.1.0/24]
extMngdBy : 
lcOwn : local
modTs : 2025-09-10T01:05:13.249+00:00
monPolDn : uni/tn-common/monepg-default
!-- cut for brevity --!
rn : extsubnet-[172.16.1.0/24]
scope : import-security
status : 
uid : 15374
userdom : :all:

APIC#

إذا لم يتم إرجاع أي إخراج لفئة L3extSubnet، فإنه يشير إلى عدم تكوين شبكات فرعية ضمن EPG الخارجي. بدون شبكات فرعية تم تكوينها، لا يمكن ل ACI إرفاق pcTag بشبكة حركة المرور الفرعية الواردة، مما يؤدي إلى إسقاط حركة المرور رغم المسار الموجود في جدول التوجيه.

هناك جانب آخر مهم يجب ملاحظته، وهو نطاق الشبكة الفرعية، ويمثل هذا العلامات المحددة للشبكة الفرعية المعنية:

• أمان الاستيراد

تم وضع علامة على الشبكة الفرعية باستخدام الشبكة الفرعية الخارجية ل EPG الخارجي.

• التصدير-rtctrl

تم وضع علامة على الشبكة الفرعية باستخدام التحكم في مسار التصدير.

• الاستيراد-rtctrl

تم وضع علامة على الشبكة الفرعية باستخدام التحكم في مسار الاستيراد.

• أمان مشترك

تم وضع علامة على الشبكة الفرعية باستخدام الشبكة الفرعية لاستيراد الأمان المشترك.

• shared-rtctrl

تم وضع علامة على الشبكة الفرعية باستخدام التحكم في المسار المشترك.

تقوم بروتوكولات التوجيه وعمليات مستوى التحكم بتحديث جداول التوجيه عند تلقي بادئة من جهاز مجاور مذكور، والتي تتم برمجتها بعد ذلك في جداول إعادة توجيه HAL L3. تمثل المسارات الخاصة بالطراز HAL من المستوى الثالث المسارات الفعلية للطبقة 3 المبرمجة في جداول إعادة توجيه الأجهزة (ASIC) على المحولات الطرفية. يتم اشتقاق هذه المسارات من بروتوكولات التوجيه وحسابات جدول التوجيه ويتم إستخدامها لإعادة توجيه القرارات.

<-- When the prefix is not configured under the External EPG, a classification of 0xf is seen -->
Leaf101# vsh_lc -c 'show platform internal hal l3 routes vrf tz:tz-VRF_1' | egrep "Prefix/Len|172.16.1.0" | cut -d '|' -f 2,3,4,19,24 
VRF |   Prefix/Len  | RT|CLSS| Flags 
4675| 172.16.1.0/ 24| UC| f|spi,dpi
Leaf101# 

<-- When the prefix is configured under the External EPG, a classification of the pcTag in hexadecimal is seen -->
Leaf101# vsh_lc -c 'show platform internal hal l3 routes vrf tz:tz-VRF_1' | egrep "Prefix/Len|172.16.1.0" | cut -d '|' -f 2,3,4,19,24 
VRF |   Prefix/Len  | RT|CLSS| Flags 
4675| 172.16.1.0/ 24| UC|8003|spi,dpi
Leaf101# 

Leaf101# vsh_lc -c 'dec 0x8003'
32771
Leaf101#

بعد ذلك، عند تكوين شبكة فرعية باستخدام الشبكة الفرعية الخارجية لعلامة EPG الخارجية في ExEPG، تقوم عملية داخلية تسمى إدارة السياسات (نهج mgr) بتحديث جدول تعيين البادئة إلى pcTag الخاص بها باستخدام إدخال الشبكة الفرعية هذا و pcTag المقترن. يعمل مدير السياسات كمحرك لتنسيق السياسات المركزية الخاصة بالنسيج، حيث يعمل على ترجمة تعريفات السياسات عالية المستوى إلى تكوينات قابلة للتنفيذ عبر بنية واجهة برمجة التطبيقات (ACI). وهذا يضمن اتصال التطبيقات بشكل متناسق وآمن وسلوك الشبكة من خلال فرض علامات الكمبيوتر الصحيحة لتصنيف حركة المرور وقرارات إعادة التوجيه استنادا إلى الشبكات الفرعية الخارجية التي تم تكوينها.

Leaf101# vsh -c 'show system internal policy-mgr prefix' | egrep "tz:tz-VRF_1"
3047430 36 0x80000024 Up tz:tz-VRF_1 ::/0 15 True True False False 
3047430 36 0x24 Up tz:tz-VRF_1 0.0.0.0/0 15 True True False False 
3047430 36 0x24 Up tz:tz-VRF_1 172.16.1.0/24 32771 True True False False 
Leaf101# 

وهذا يؤكد أن البادئة 172.16.1.0/24 يتم الإعلان عنها بواسطة المحول الطرفي لواجهة وحدة التحكم في الوصول (ACI) المجاور، وقد قامت واجهة التحكم في الوصول (ACI) بتصنيف البادئة bellow pcTag 32771

العقود

قاعدة تقسيم المناطق هي العملية الأساسية التي تفرض سياسات العقد بين مجموعات تطوير البرامج (بما في ذلك مجموعات تطوير البرامج (ExEPG) داخل البنية. يمكن إستخدام معرف فئة المورد (VRF) (النطاق) و pcTag الخاص ب EPG الخارجي لتحديد قواعد الاتصال المطبقة بين ملقمات EPG المصدر والوجهة والتحقق منها. وفي الأساس، تترجم قواعد تقسيم المناطق علاقات العقود الرفيعة المستوى إلى قواعد محددة قابلة للتنفيذ مبرمجة على المحولات الطرفية.

ومن الجوانب الهامة التي ينبغي أخذها في الاعتبار مكان تثبيت العقد في النسيج. بشكل افتراضي، يتم تكوين VRF باستخدام توجيه "فرض التحكم في السياسة" الذي تم تعيينه على المدخل. يحدد هذا الإعداد أنه تم تثبيت قاعدة تقسيم المناطق لعقد معين على المحول الطرفي حيث توجد نقطة نهاية المصدر.

بالنسبة لهذه العملية، تكون حركة المرور واردة من L3Out، ويتم تثبيت قاعدة تقسيم المناطق على ورقة الحدود التي تتصل بذلك L3Out، حيث أن هذه الورقة تعمل كورقة مصدر لحركة المرور التي تدخل النسيج.

Leaf101# show zoning-rule scope 3047430 | egrep "Rule|---|32771"
+---------+--------+--------+----------+----------------+---------+---------+-------------------+----------------------+------------------------+
| Rule ID | SrcEPG | DstEPG | FilterID |      Dir       | operSt  |  Scope  |        Name       |        Action        |        Priority        |
+---------+--------+--------+----------+----------------+---------+---------+-------------------+----------------------+------------------------+
|  4441   | 49153  | 32771  |     5    |     bi-dir     | enabled | 3047430 |     tz:Contract   |        permit        |      fully_qual(7)     |
|  4500   | 32771  | 49153  |     5    | uni-dir-ignore | enabled | 3047430 |     tz:Contract   |        permit        |      fully_qual(7)     |
+---------+--------+--------+----------+----------------+---------+---------+-------------------+----------------------+------------------------+
Leaf101# 

توجيه النقل

يتيح توجيه النقل للنسيج أن يعمل كشبكة عبور من خلال إعلان المسارات الخارجية التي يتم تعلمها من خرج L3Out إلى آخر. لتكوين توجيه النقل بشكل صحيح، يجب وضع علامة على الشبكة الفرعية الواردة باستخدام الشبكة الفرعية الخارجية لعلامة EPG الخارجية.

وفي الوقت نفسه، يجب أن يكون لدى L3Out الذي يعلن عن هذه الشبكة الفرعية لنظراء خارجيين الآخرين علامة الشبكة الفرعية للتحكم في توجيه التصدير التي تم تمكينها على الشبكة الفرعية المقابلة. يسمح هذا العلم بإعادة توزيع الشبكة الفرعية والإعلان عنها من البنية من خلال بروتوكول التوجيه الذي تم تكوينه على L3Out هذا.

وأخيرا، يلزم تكوين عقد بين L3out المستلم والمصدر لإكمال عملية توزيع المسار.

القضايا المشتركة في تصنيف EPG الخارجي للشبكة الفرعية

pcTag 15

في السابق، في هذا المستند، تمت الإشارة إلى أن الشبكة الفرعية ExEPG تساعدك على تصنيف الشبكات الفرعية في PCtag الصحيح لأسباب تتعلق بتنفيذ السياسة. والاستثناء المهم لهذا التصنيف هو الشبكة الفرعية الرباعية-0 (0.0.0.0/0) عند تكوينها مع الشبكة الفرعية الخارجية لعلامة EPG الخارجية. يتم تعيين هذه الشبكة الفرعية دائما ل pcTag 15 المحجوزة، والتي تعمل بشكل فعال كحرف بدل لجميع حركة المرور الخارجية داخل VRF.

يمثل هذا المخطط المشكلة التي تواجه تكوين الرباعي-0 مع الشبكة الفرعية الخارجية ل EPG الخارجي على العديد من ExEPG داخل نفس VRF:

• غالبا ما يتم خطأ خطأ الشبكة الفرعية الرباعية-0 باعتبارها المسار الافتراضي. بينما يكون هذا صحيحا في بعض الأحيان - كما هو الحال عندما يعلن جار التوجيه الديناميكي عن المسار الافتراضي فقط إلى ACI L3Out - يكون دور الشبكة الفرعية الرباعية-0 في ACI أوسع نطاقا كتصنيف للكافة.
• من الممارسات الشائعة تكوين العديد من شبكات ExEPG باستخدام الشبكة الفرعية الرباعية-0 لقبول جميع البادئات التي يعلن عنها أحد الجيران. وعلى الرغم من أن هذا يحقق هدف القبول الواسع النطاق، إلا أنه يمكن أن يؤدي إلى توجيه غير متوقع عندما يتم تكوين العديد من ملقمات ExEPG المزودة بالرباعي Quad-0 داخل نفس VRF. عندما يتم تكوين ملحقات ExEPG متعددة ضمن نفس VRF باستخدام رباعي-0 كشبكة فرعية خارجية، لا يمكن ل ACI بشكل محدد تحديد أي مخرج L3Out للاستخدام لشبكة فرعية وجهة محددة. بدلا من ذلك، فإنه يختار L3Out بشكل اعتباطي.
• قد يؤدي هذا السلوك إلى توجيه غير متماثل، أو تقطع حركة المرور، أو حتى إنخفاض حركة المرور إذا لم يكن L3Out المحدد بشكل عشوائي يحتوي على العقود اللازمة للسماح بالاتصال.

الشبكات الفرعية المتداخلة

غير مسموح بتكوين الشبكات الفرعية المتطابقة عبر بروتوكولات ExEPG المختلفة. محاولة القيام بذلك يثير خطأ F0467: إدخال البادئة المستخدم بالفعل في EPG آخر، مما يمنع تكرار الشبكة الفرعية داخل VRF.

ومع ذلك، يمكن أن توجد شبكات فرعية متداخلة عبر شبكات VRF مختلفة لأن كل ملف VRF يحتفظ بسياق جدول توجيه مستقل. يسمح هذا الفصل بتكوين الشبكة الفرعية نفسها في بروتوكولات EPG التي تنتمي إلى شبكات VRF مختلفة. وعلى الرغم من ذلك، يعد الحذر أمرا بالغ الأهمية عند تنفيذ تسجيل مسار معرف فئة المورد (VRF) الذي يتضمن هذه الشبكات الفرعية المتداخلة، لأنه يمكن أن يؤدي إلى قرارات إعادة توجيه غير متماثلة بسبب التعارضات في تصنيف الشبكة الفرعية (pcTag) في مقابل معلومات التوجيه (RIB).

تتضمن السيناريوهات الرئيسية ما يلي:

• طريق يتسرب من إثنان VRF إلى ثالث VRF:
  عندما يقوم إثنان من VRF بتسريب الشبكة الفرعية نفسها إلى VRF ثالث، يقوم VRF المستقبل بتثبيت أول شبكة فرعية تتلقاها استنادا إلى السياسة المشتركة من APIC. إذا قام المحول الطرفي الذي يعالج عمليات إعادة تمهيد VRF هذه أو تغييرات إختيار التوجيه، يمكن أن يتم تحديث جدول التوجيه إلى L3Out مختلف، مما يؤدي إلى سلوك إعادة توجيه غير متناسق.

• L3Out محلي إلى VRF يتداخل مع شبكات فرعية مسربة:
  في التصميمات التي يتم فيها إستخدام تسريب المسار، إذا تم تكوين L3Out ExEPG محلي باستخدام الشبكة الفرعية نفسها الخاصة بشبكة فرعية مسربة، فإن إدخال التوجيه المحلي دائما ما تكون له الأولوية على المسارات المسربة.

تسلط هذه الحالات الضوء على أن مشاكل إعادة التوجيه غير المتماثلة تنشأ من طبقة قرار التصنيف وإعادة التوجيه، وليس من جدول التوجيه نفسه. بينما يربط تصنيف الشبكة الفرعية شبكة فرعية بشبكة فرعية مع L3Out و ExEPG معينة لتنفيذ السياسة، يمكن أن يشير جدول التوجيه إلى وجهة L3Out مختلفة. قد يؤدي عدم التطابق هذا إلى إعادة توجيه حركة المرور بشكل غير متناسق، مما يؤدي إلى مشاكل اتصال محتملة أو فجوات في تطبيق السياسة.

إستيراد تغيير السلوك الافتراضي للتحكم في المسار

وبشكل افتراضي، تقبل ACI جميع إعلانات المسارات الواردة من الجيران. للتحكم في البادئات التي يتم قبولها، يجب تمكين تنفيذ التحكم في المسار: الوارد على الكائن الجذر L3Out:

انتقل إلى المستأجرين > [ اسم المستأجر ] > الشبكة > L3out > [ اسم L3out].

يقوم هذا الإجراء بإنشاء خريطة مسار ضمن بروتوكول التوجيه المحدد.

Border Leaf# show ip bgp neighbors vrf tz:tz-VRF1 | egrep route-map
Outbound route-map configured is exp-l3out-ExEPG-peer-2981888, handle obtained
Inbound route-map configured is imp-l3out-ExEPG-peer-2981888, handle obtained

Border Leaf# show route-map imp-l3out-ExEPG-peer-2981888
route-map imp-l3out-ExEPG-peer-2981888, permit, sequence 15801 
Match clauses:
ip address prefix-lists: IPv4-peer49155-2981888-exc-ext-inferred-import-dst 
ipv6 address prefix-lists: IPv6-deny-all 
Set clauses:

Border Leaf# show ip prefix-list IPv4-peer49155-2981888-exc-ext-inferred-import-dst 
ip prefix-list IPv4-peer49155-2981888-exc-ext-inferred-import-dst: 1 entries
seq 1 permit 172.16.1.0/24 
Border Leaf# 

وبشكل افتراضي، يسمح مخطط مسار الاستيراد هذا لجميع البادئات الواردة. لتعديل هذا السلوك:

انتقل إلى المستأجرين > [ اسم المستأجر] > الشبكة > L3out > [ L3out name] > خريطة المسار للتحكم في مسار الاستيراد والتصدير

حدد مخطط مسار الاستيراد الافتراضي أو قم بإنشاء مخطط جديد باستخدام أيقونة التروس في أعلى اليمين.

في قسم السياق، قم بإنشاء قاعدة مطابقة جديدة مقترنة.

في قسم مطابقة القواعد، قم بالتمرير إلى بادئة المطابقة وأضفت الشبكة (الشبكات) الفرعية المحددة التي تريد التحكم فيها.

بعد إرسال السياسات، يتغير إجراء إستيراد خريطة المسار وفقا لذلك، مع فرض تصفية البادئات المطلوبة.

Border Leaf# show route-map imp-l3out-ExEPG-peer-2981888
route-map imp-l3out-ExEPG-peer-2981888, deny, sequence 8001 
Match clauses:
ip address prefix-lists: IPv4-peer49155-2981888-exc-ext-in-default-import2tz0tz-dst 
ipv6 address prefix-lists: IPv6-deny-all 
Set clauses:

Border Leaf#