المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

المخطط

لماذا يلزم إستخدام الرسم البياني للخدمة من المستوى الثاني في واجهة التحكم في الوصول (ACI)؟

تكوين الرسم البياني لخدمة L2

التحقق من حركة مرور L2 PBR على ASA

التحقق من L2 PBR على الورقة

الأخطاء التي تم رؤيتها في حالة فشل إختبار الاتصال L2Ping

التقاط إختبارات اتصال L2

تدفق حركة المرور من نقطة نهاية SRC إلى DST

تكوين ASA

المقدمة

يصف هذا المستند كيفية تكوين تكوين رسم بياني الطبقة 2 للخدمة والتحقق من صحته في Cisco Application Centric Infrastructure (ACI).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- فهم كيفية عمل الرسم البياني للخدمة من الطبقة الثالثة في واجهة برمجة التطبيقات (ACI)

- فهم كيفية تكوين مجموعة سياسة نقطة النهاية ونطاقات الجسر والعقد في واجهة التحكم في الوصول (ACI)

- فهم كيفية تكوين ASAv (تطبيق الأمان القابل للتكيف الظاهري) كجدار حماية شفاف

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- إصدار APIC: 6.0 (3g)

- الوحدة الطرفية H/W: N9K-C93180YC-FX

- الوحدة الطرفية S/W: n9000-16.0 (3g)

- عقدة الورق 101 و 102 و 103

- نشر ASAv على خادم ESXi

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المخطط

المخطط

لا يتم عرض تكوين EPG1 و EPG2 في هذا المستند، ويجب تكوينه قبل تعلم اليد ونقطة النهاية.

1. التحقق من صحة نقطة نهاية EPG1 الفعلية x.1.1.10 التي تم التعرف عليها (العقدة 101).

نقاط نهاية العميل

2. يتم إستهلاك EPG1 للعقد ABC.

العقد المستهلك

3. التحقق من صحة EPG2 يحتوي على نقطة نهاية X.1.2.15تم التعلم (العقدة 104).

نقطة نهاية العميل

4. يتم توفير ABC للعقد بواسطة EPG2.

العقد المقدم

لماذا يلزم إستخدام الرسم البياني للخدمة من المستوى الثاني في واجهة التحكم في الوصول (ACI)؟

- في Cisco ACI، يمكن إدراج أجهزة خدمة L4-L7 في الطبقة 3 (L3)، الطبقة 2 (L2)، أو الطبقة 1 (L1).

- إدخال الخدمة من المستوى الثالث: يقوم الجهاز الخارجي (على سبيل المثال، جدار الحماية ونظام منع التسلل (IPS) باتخاذ قرارات التوجيه وإعادة توجيه حركة مرور البيانات استنادا إلى عناوين IP.

- إدخال الخدمة من المستوى الثاني: تتم إعادة توجيه حركة المرور استنادا إلى عناوين MAC دون مشاركة توجيه. ويكون هذا مفيدا لجدران الحماية الشفافة أو أجهزة IPS.

- يتم إستخدام التوجيه المستند إلى سياسة (PBR) من المستوى الثاني عند إدخال جهاز خدمة من المستوى الثاني، مثل بروتوكول IPS أو جدار حماية شفاف في قائمة التحكم في الوصول (ACI).

- تظل آلية إعادة توجيه حركة المرور هي نفسها لكل من L3 و L2 PBR.

- الفارق الرئيسي:

- L3 PBR: تتم إعادة توجيه حركة المرور إلى عنوان IP (يشارك الجهاز في التوجيه).

- L2 PBR: تتم إعادة توجيه حركة المرور إلى عنوان MAC (يعمل الجهاز في الطبقة 2).

- في L2 PBR، يتم ربط عناوين MAC بشكل ثابت بالواجهات الطرفية لضمان إعادة توجيه حركة المرور المناسبة.

لمزيد من المعلومات حول حالات إستخدام PBR من المستوى الأول/النشط أو النشط/النشط L1/L2، راجع التقرير الرسمي ل PBR.

تكوين الرسم البياني لخدمة L2

خطوة 1. يشكل مستهلك bd يعين ك con-bd1.

يجب تمكين توجيه البث الأحادي، يجب تعيين البث الأحادي غير المعروف من المستوى 2 على وكيل الأجهزة ولا يلزم وجود شبكة فرعية لمجالات con و prov Bridge (BDs).

تكوين CONS BD

التكوين 2 ل Cons BD

الخطوة 2. قم بتكوين الموفر المسمى ك prov-bd1.

تكوين Prov BD

التكوين 2 ل PROV BD

الخطوة 3. تكوين سياسة إتفاقية مستوى خدمة IP (SLA) باستخدام نوع SLA L2Ping.

انتقل إلى المستأجر > سياسات > بروتوكول > IP SLA > سياسات مراقبة IP SLA، ثم انقر بزر الماوس الأيمن فوق إنشاء سياسة.

سياسة IP SLA

الخطوة 4. تكوين جهاز L4/L7.

انتقل إلى المستأجر > الخدمات > الأجهزة، ثم انقر بزر الماوس الأيمن فوق جهاز L4-L7 وقم بإنشائه.

جهاز L4-L7

الخطوة 5. التحقق من نظرة عامة على إعادة التوجيه المستندة إلى السياسة (يمكنك التحقق من هذا بعد تكوين 5a و 5b).

سياسة إعادة توجيه المستوى 4-L7

الخطوة 5.1. تكوين سياسة إعادة التوجيه المستندة إلى سياسة L4-L7 لأجهزة الأمان المعدلة (ASA) داخل الواجهة (لا حاجة إلى تحديد MAC أو IP، يتم ملؤها بواسطة APIC نفسه).

انتقل إلى مستأجر > سياسات > بروتوكول > إعادة توجيه قائمة على سياسة L4-L7، ثم انقر بزر الماوس الأيمن فوق إنشاء سياسة.

تكوين سياسة إعادة توجيه المستوى 4-L7

الخطوة 5.2. تكوين سياسة إعادة التوجيه المستندة إلى سياسة L4-L7 لواجهة ASA الخارجية (لا حاجة إلى تحديد MAC أو IP، يتم ملؤها بواسطة APIC نفسه).

انتقل إلى مستأجر > سياسات > بروتوكول > إعادة توجيه قائمة على سياسة L4-L7، ثم انقر بزر الماوس الأيمن فوق إنشاء سياسة.

تكوين سياسة إعادة توجيه المستوى 4-L7 2

الخطوة 6. تكوين قالب الرسم البياني للخدمة.

انتقل إلى مستأجر > خدمات > قالب الرسم البياني للخدمة، ثم انقر بزر الماوس الأيمن فوق قالب الرسم البياني للخدمة L4-L7 وأنشئ.

تكوين الرسم البياني للخدمة

الخطوة 7. تكوين نهج تحديد الجهاز.

انتقل إلى مستأجر > خدمات > نهج تحديد الجهاز، ثم انقر بزر الماوس الأيمن فوق نهج تحديد الجهاز وقم بإنشائه.

تكوين الرسم البياني للخدمة 2

++ سياق الواجهة المنطقية للمستهلك

تكوين المستهلك لنهج تحديد الجهاز

سياق الواجهة المنطقية للموفر ++

تكوين موفر نهج تحديد الجهاز

ملاحظة: نهج تحديد الجهاز إذا كان سيتم إنشاؤه تلقائيا في حالة إستخدام خيار تطبيق الرسم البياني للخدمة.

الخطوة 8. قم بتطبيق PBR من أجل التعاقد على موضوع abc.

انتقل إلى مستأجر > عقد > موضوع العقد > L4-L7 Service Graph > transparent_fw.

كون

تكوين العقد

الخطوة 9. إذا تم النشر بنجاح، تحقق من الصحة تحت الرسم البياني المثيل المنشور (ابحث عن الحالة).

التحقق من صحة الرسم البياني للخدمة

++ التحقق من واجهات نظام المجموعة والشبكات المحلية الظاهرية (VLANs) المدمجة ومعرفات فئات موصل الوظائف.

التحقق من صحة الرسم البياني للخدمة 2

التحقق من حركة مرور L2 PBR على ASA

طبقة الأمان (SSH) من نقطة نهاية Src إلى نقطة النهاية المحددة التي يمكنك رؤيتها في إدخال جدول المحتوى على ASA.

التحقق من صحة ASA

التحقق من L2 PBR على الورقة

1. البرمجة عبر الشبكة المحلية الظاهرية (VLAN) على عقدة الورق 102.

PBR vlan 2525 and 2526 will get programmed on leaf node 102 and mac addresses will be statically tied to interfaces

bgl-aci07-apic100# fabric 102 show endpoint

----------------------------------------------------------------

Node 102 (bgl-aci07-leaf2)

----------------------------------------------------------------

Legend:

S - static           s - arp              L - local            O - peer-attached

V - vpc-attached     a - local-aged       p - peer-aged        M - span

B - bounce           H - vtep             R - peer-attached-rl D - bounce-to-proxy

E - shared-service   m - svc-mgr

+-----------------------------------+---------------+-----------------+--------------+-------------+

VLAN/                           Encap           MAC Address       MAC Info/       Interface

Domain                          VLAN            IP Address        IP Info

+-----------------------------------+---------------+-----------------+--------------+-------------+

28/l3_out_pk_tn:l3_out_vrf_pk_1           vlan-2525    024a.e954.b591 LS                    eth1/14

1/l3_out_pk_tn:l3_out_vrf_pk_1            vlan-2526    02c0.282b.d1cf LS                    eth1/14

2. إعادة توجيه السياسة وقاعدة تقسيم المناطق على عقدة المستهلك (101) والمزود (104).

++ Redirect policy on consumer node

bgl-aci07-apic100# fabric 101 show service redir info

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

----------------------------------------------------------------

===============================================================================================================================================================

LEGEND

TL: Threshold(Low)  |  TH: Threshold(High) |  HP: HashProfile  |  HG: HealthGrp  | BAC: Backup-Dest |  TRA: Tracking | RES: Resiliency | W: Weight

===============================================================================================================================================================

List of Dest Groups

GrpID Name            destination                                                    HG-name                          BAC W   operSt   operStQual      TL  TH  HP  TRA RES

===== ====            ===========                                                    ==============                   === === =======  ============    === === === === ===

7     destgrp-7       dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] l3_out_pk_tn::HG1                N   1   enabled  no-oper-grp     0   0   sym yes no

8     destgrp-8       dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]  l3_out_pk_tn::HG2                N   1   enabled  no-oper-grp     0   0   sym yes no

List of destinations

Name                                                           bdVnid          vMac                 vrf                       operSt     operStQual      HG-name

====                                                           ======          ====                 ====                      =====      =========       =======

dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] vxlan-16744328  02:4A:E9:54:B5:91    l3_out_pk_tn:l3_out_vrf_pk_1 enabled    no-oper-dest    l3_out_pk_tn::HG1

dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]  vxlan-16056296  02:C0:28:2B:D1:CF    l3_out_pk_tn:l3_out_vrf_pk_1 enabled    no-oper-dest    l3_out_pk_tn::HG2

List of Health Groups

HG-Name                                    HG-OperSt  HG-Dest                                                                HG-Dest-OperSt

=======                                    =========  =======                                                                ==============

l3_out_pk_tn::HG1                          enabled    dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224]]        up

l3_out_pk_tn::HG2                          enabled    dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]]         up

List of Backup Destinations

Name                                                           primaryDestName                                                DestGroup

====                                                           ==============                                                 =========

List of AclRules

AclRuleVnid     DestGroup       OperSt   OperStQual

===========     =========       ======   ==========

++ Zoning rule on consumer Node

bgl-aci07-apic100# fabric 101 show zoning-rule  | grep redir

|   4228  | 32771  | 49157  | default  |     bi-dir     | enabled | 2228224  |                                                   |           redir(destgrp-7)          |       src_dst_any(9)       |

|   4231  | 49157  | 32771  | default  | uni-dir-ignore | enabled | 2228224  |                                                   |           redir(destgrp-8)          |       src_dst_any(9)       |

|   4230  | 32771  |   15   | default  |    uni-dir     | enabled | 2228224  |                                                   |           redir(destgrp-7)          |       src_dst_any(9)       |

|   4229  | 16386  | 32771  | default  |    uni-dir     | enabled | 2228224  |                                                   |           redir(destgrp-8)          |       src_dst_any(9)       |

++ Redirect Policy on Provider Node

bgl-aci07-apic100# fabric 104 show service redir info

----------------------------------------------------------------

Node 104 (bgl-aci07-leaf4)

----------------------------------------------------------------

===============================================================================================================================================================

LEGEND

TL: Threshold(Low)  |  TH: Threshold(High) |  HP: HashProfile  |  HG: HealthGrp  | BAC: Backup-Dest |  TRA: Tracking | RES: Resiliency | W: Weight

===============================================================================================================================================================

List of Dest Groups

GrpID Name            destination                                                    HG-name                          BAC W   operSt   operStQual      TL  TH  HP  TRA RES

===== ====            ===========                                                    ==============                   === === =======  ============    === === === === ===

3     destgrp-3       dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] l3_out_pk_tn::HG1                N   1   enabled  no-oper-grp     0   0   sym yes no

4     destgrp-4       dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]  l3_out_pk_tn::HG2                N   1   enabled  no-oper-grp     0   0   sym yes no

List of destinations

Name                                                           bdVnid          vMac                 vrf                       operSt     operStQual      HG-name

====                                                           ======          ====                 ====                      =====      =========       =======

dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] vxlan-16744328  02:4A:E9:54:B5:91    l3_out_pk_tn:l3_out_vrf_pk_1 enabled    no-oper-dest    l3_out_pk_tn::HG1

dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]  vxlan-16056296  02:C0:28:2B:D1:CF    l3_out_pk_tn:l3_out_vrf_pk_1 enabled    no-oper-dest    l3_out_pk_tn::HG2

List of Health Groups

HG-Name                                    HG-OperSt  HG-Dest                                                                HG-Dest-OperSt

=======                                    =========  =======                                                                ==============

l3_out_pk_tn::HG1                          enabled    dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224]]        up

l3_out_pk_tn::HG2                          enabled    dest-[143a:41d1:9c75:4973:8501:bcf:d12b:28c0]-[vxlan-2228224]]         up

List of Backup Destinations

Name                                                           primaryDestName                                                DestGroup

====                                                           ==============                                                 =========

++ Zoning rule on provider node

bgl-aci07-apic100# fabric 104 show zoning-rule | grep redir

|   4220  | 32771  | 49157  | default  |     bi-dir     | enabled | 2228224  |                                 | redir(destgrp-3) |       src_dst_any(9)       |

|   4221  | 49157  | 32771  | default  | uni-dir-ignore | enabled | 2228224  |                                 | redir(destgrp-4) |       src_dst_any(9)       |

الأخطاء التي تم رؤيتها في حالة فشل إختبار الاتصال L2Ping

في حالة فشل إختبارات اتصال L2Pings عبر جهاز PBR، ستلاحظ أن PBR لا يزال في حالة النشر وأن الأخطاء F4203 و F2833 و F2911 التي تم تربيتها تشير إلى وجود تتبع/مجموعة صحية معطلة.

التقاط إختبارات اتصال L2

يمكنك التقاط إختبارات اتصال L2Pings باستخدام tcpdump على واجهة المرور لمعرفة ما إذا تم إرسالها واستقبالها بشكل صحيح. إذا رأيت فقط إرسال وحدة المعالجة المركزية (CPU) مرسلة وغير مستلمة، فمن المتوقع حدوث الأخطاء المذكورة مسبقا ويجب عليك أستكشاف أخطاء ASA وإصلاحها أكثر لسبب إسقاطها (ارجع إلى قسم تكوين ASA).

Capturing L2Pings using tcpdump on PBR Node 102

bgl-aci07-leaf2# tcpdump -i tahoe0 -w /data/techsupport/l2_pbr1.pcap

tcpdump: listening on tahoe0, link-type EN10MB (Ethernet), capture size 262144 bytes

^C4858 packets captured

4875 packets received by filter

0 packets dropped by kernel

In order to deocde the tcpdump

cat /data/techsupport/l2_pbr1.pcap | knet_parser.py --decode tahoe --pcap | less

** Search for mac 00ab.8752.3100

++ CPU transmit packets

Frame 505

Time: 2024-10-29T05:55:28.707136+00:00

Header: ieth CPU Transmit

sup_tx:1, ttl_bypass:0, opcode:0x0, bd:0x207, outer_bd:0x0, dl:0, span:0, traceroute:0, tclass:5

src_idx:0x0, src_chip:0x0, src_port:0x0, src_is_tunnel:0, src_is_peer:0

dst_idx:0x0, dst_chip:0x0, dst_port:0x0, dst_is_tunnel:0

Len: 72

Eth: 00ab.8752.3100 > 024a.e954.b591, len/ethertype:0x721

Frame 506

Time: 2024-10-29T05:55:28.707297+00:00

Header: ieth CPU Transmit

sup_tx:1, ttl_bypass:0, opcode:0x0, bd:0x208, outer_bd:0x0, dl:0, span:0, traceroute:0, tclass:5

src_idx:0x0, src_chip:0x0, src_port:0x0, src_is_tunnel:0, src_is_peer:0

dst_idx:0x0, dst_chip:0x0, dst_port:0x0, dst_is_tunnel:0

Len: 72

Eth: 00ab.8752.3100 > 02c0.282b.d1cf, len/ethertype:0x721

++CPU recived packets

Frame 509

Time: 2024-10-10T20:16:37.580855+00:00

Header: ieth_extn CPU Receive

sup_qnum:0x33, sup_code:0x4d, istack:ISTACK_SUP_CODE_PBR_TRACK_REFRESH(0x4d)

Header: ieth

sup_tx:0, ttl_bypass:0, opcode:0x0, bd:0x209, outer_bd:0x2, dl:0, span:0, traceroute:0, tclass:0

src_idx:0x32, src_chip:0x0, src_port:0x6, src_is_tunnel:0, src_is_peer:0

dst_idx:0x1, dst_chip:0x0, dst_port:0x3d, dst_is_tunnel:0

Len: 76

Eth: 00ab.8752.3100 > 024a.e954.b591, len/ethertype:0x8100(802.1q)

802.1q: vlan:2526, cos:0, len/ethertype:0x721

Frame 510

Time: 2024-10-10T20:16:37.580891+00:00

Header: ieth_extn CPU Receive

sup_qnum:0x33, sup_code:0x4d, istack:ISTACK_SUP_CODE_PBR_TRACK_REFRESH(0x4d)

Header: ieth

sup_tx:0, ttl_bypass:0, opcode:0x0, bd:0x20a, outer_bd:0x2, dl:0, span:0, traceroute:0, tclass:0

src_idx:0x32, src_chip:0x0, src_port:0x6, src_is_tunnel:0, src_is_peer:0

dst_idx:0x1, dst_chip:0x0, dst_port:0x3d, dst_is_tunnel:0

Len: 76

Eth: 00ab.8752.3100 > 02c0.282b.d1cf, len/ethertype:0x8100(802.1q)

802.1q: vlan:2525, cos:0, len/ethertype:0x721

تدفق حركة المرور من نقطة نهاية SRC إلى DST

++ Endpoint X.1.1.10 want to send traffic to X.1.2.15

++ If destination is not learned on consumer/source leaf, PBR will be performed on destination leaf

++ For this case we are assuming endpoint X.1.2.15 is learned on Leaf 101 so PBR/Redirection will be performed on Leaf101 ( consumer Leaf)

bgl-aci07-apic100# fabric 101 show endpoint

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

----------------------------------------------------------------

Legend:

S - static           s - arp              L - local            O - peer-attached

V - vpc-attached     a - local-aged       p - peer-aged        M - span

B - bounce           H - vtep             R - peer-attached-rl D - bounce-to-proxy

E - shared-service   m - svc-mgr

+-----------------------------------+---------------+-----------------+--------------+-------------+

VLAN/                           Encap           MAC Address       MAC Info/       Interface

Domain                          VLAN            IP Address        IP Info

+-----------------------------------+---------------+-----------------+--------------+-------------+

l3_out_pk_tn:l3_out_vrf_pk_1                               X.1.2.15                       tunnel6 ===> Remote EP Entry

17                                        vlan-3516    10b3.d514.3516 L                      eth1/5 ===> Local EP Entry

l3_out_pk_tn:l3_out_vrf_pk_1              vlan-3516        X.1.1.10 L                      eth1/5

++ EPM entry to get the PC TAG

bgl-aci07-apic100# fabric 101 show system internal epm endpoint ip X.1.1.10

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

---------------------------------------------------------------

MAC : 10b3.d514.3516 ::: Num IPs : 1

IP# 0 : X.1.1.10 ::: IP# 0 flags :  ::: l3-sw-hit: No

Vlan id : 17 ::: Vlan vnid : 11792 ::: VRF name : l3_out_pk_tn:l3_out_vrf_pk_1

BD vnid : 16744307 ::: VRF vnid : 2228224

Phy If : 0x1a004000 ::: Tunnel If : 0

Interface : Ethernet1/5

Flags : 0x80005c04 ::: sclass : 32771 ::: Ref count : 5 ==> sclass

EP Create Timestamp : 10/11/2024 09:15:44.430334

EP Update Timestamp : 10/29/2024 10:45:35.458416

EP Flags : local|IP|MAC|host-tracked|sclass|timer|

bgl-aci07-apic100# fabric 101 show system internal epm endpoint ip X.1.2.15

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

----------------------------------------------------------------

MAC : 0000.0000.0000 ::: Num IPs : 1

IP# 0 : X.1.2.15 ::: IP# 0 flags :  ::: l3-sw-hit: No

Vlan id : 0 ::: Vlan vnid : 0 ::: VRF name : l3_out_pk_tn:l3_out_vrf_pk_1

BD vnid : 0 ::: VRF vnid : 2228224

Phy If : 0 ::: Tunnel If : 0x18010006

Interface : Tunnel6

Flags : 0x80004400 ::: sclass : 49157 ::: Ref count : 3 ==> sclass

EP Create Timestamp : 10/29/2024 10:38:34.949150

EP Update Timestamp : 10/29/2024 10:45:55.571786

EP Flags : IP|sclass|timer|

++ Traffic will be redirected based on redir(destgrp-7)

bgl-aci07-apic100# fabric 101 show zoning-rule src-epg 32771 dst-epg  49157

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

----------------------------------------------------------------

+---------+--------+--------+----------+--------+---------+---------+------+------------------+----------------+

| Rule ID | SrcEPG | DstEPG | FilterID |  Dir   |  operSt |  Scope  | Name |      Action      |    Priority    |

+---------+--------+--------+----------+--------+---------+---------+------+------------------+----------------+

|   4228  | 32771  | 49157  | default  | bi-dir | enabled | 2228224 |      | redir(destgrp-7) | src_dst_any(9) |

+---------+--------+--------+----------+--------+---------+---------+------+------------------+----------------+

++ Based on redirect policy traffic will be redirected to mac 02:4A:E9:54:B5:91

bgl-aci07-apic100# fabric 101 show service redir info

----------------------------------------------------------------

Node 101 (bgl-aci07-leaf1)

----------------------------------------------------------------

===============================================================================================================================================================

LEGEND

TL: Threshold(Low)  |  TH: Threshold(High) |  HP: HashProfile  |  HG: HealthGrp  | BAC: Backup-Dest |  TRA: Tracking | RES: Resiliency | W: Weight

===============================================================================================================================================================

List of Dest Groups

GrpID Name            destination                                                    HG-name                          BAC W   operSt   operStQual      TL  TH  HP  TRA RES

===== ====            ===========                                                    ==============                   === === =======  ============    === === === === ===

7     destgrp-7       dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] l3_out_pk_tn::HG1                N   1   enabled  no-oper-grp     0   0   sym yes no

List of destinations

Name                                                           bdVnid          vMac                 vrf                       operSt     operStQual      HG-name

====                                                           ======          ====                 ====                      =====      =========       =======

dest-[3d49:a399:3d4b:4ea1:8829:5991:b554:e94a]-[vxlan-2228224] vxlan-16744328  02:4A:E9:54:B5:91    l3_out_pk_tn:l3_out_vrf_pk_1 enabled    no-oper-dest    l3_out_pk_tn::HG

1

++ PBR mac addresses are never learnt remotely as IP/MAC learning is disabled for PBR BD

++ PBR mac addresses are statically binded to interfaces where L4/L7 device is connected and reported to Spine COOP

++ Traffic will be forwarded to SPINE PROXY

++ Spine has an COOP entry for 02:4A:E9:54:B5:91

bgl-aci07-apic100# fabric 201 show coop internal info repo ep key 16744328 02:4A:E9:54:B5:91

----------------------------------------------------------------

Node 201 (bgl-aci07-spine1)

----------------------------------------------------------------

Repo Hdr Checksum : 49503

Repo Hdr record timestamp : 10 29 2024 10:15:07 658496921

Repo Hdr last pub timestamp : 10 29 2024 10:15:07 661679296

Repo Hdr last dampen timestamp : 01 01 1970 00:00:00 0

Repo Hdr dampen penalty : 0

Repo Hdr flags : IN_OBJ ACTIVE

EP bd vnid : 16744328

EP mac :  02:4A:E9:54:B5:91 <<<<========== ASA MAC

flags : 0x480

repo flags : 0x102

Vrf vnid : 2228224

PcTag : 0x100c006

EVPN Seq no : 0

Remote publish timestamp: 01 01 1970 00:00:00 0

Snapshot timestamp: 10 29 2024 10:15:07 658496921

Tunnel nh : 10.0.144.66

MAC Tunnel  : 10.0.144.66

IPv4 Tunnel : 10.0.144.66

IPv6 Tunnel : 10.0.144.66

ETEP Tunnel : 0.0.0.0

num of active ipv4 addresses : 0

num of anycast ipv4 addresses : 0

num of ipv4 addresses : 0

num of active ipv6 addresses : 0

num of anycast ipv6 addresses : 0

num of ipv6 addresses : 0

Primary Path:

Current published TEP : 10.0.144.66

Backup Path:

BackupTunnel nh : 0.0.0.0

Current Backup (publisher_id): 0.0.0.0

Anycast_flags : 0

Current citizen (publisher_id): 10.0.144.66

Previous citizen : 10.0.144.66

Prev to Previous citizen : 10.0.144.66

Synthetic Flags : 0x5

Synthetic Vrf : 411

Synthetic IP : X.X.83.223

Tunnel EP entry: 0x7f20900167a8

Backup Tunnel EP entry: (nil)

TX Status: COOP_TX_DONE\

Damp penalty: 0

Damp status: NORMAL

Exp status: 0

Exp timestamp: 01 01 1970 00:00:00 0

Hash: 3209430840 owner: 10.0.144.65

++ Spine will forward this to PBR Leaf Node 102 based on COOP entry

++ PBR Leaf Node will forward this to ASA FW on interface E1/14

++ ASA FW will forward the traffic based on mac address table and send it back to PBR Leaf Node 102

++ PBR Leaf Node will look for Dst IP in the traffic and route it to Leaf 104 if remote endpoint entry exist else will do spine proxy

++ Leaf 104 will get this traffic forwarded to actual EP X.1.2.15 (Leaf4 does not learn the client IP address from this traffic because Endpoint Dataplane Learning is disabled for the PBR node bridge domain)

تكوين ASA

خطوة 1. قارن تشكيل.

ASA(config)# show running-config interface

!

interface GigabitEthernet0/0

bridge-group 1

nameif inside

security-level 100

!

interface GigabitEthernet0/1

bridge-group 1

nameif outside

security-level 0

!

interface BVI1

ip address 192.168.100.1 255.255.255.0 ==> In case BVI IP is not defined ASA will not switch the packets

!

خطوة 2. ماك يعلم ينبغي كنت معأق.

ASA(config)# show run mac-learn

mac-learn inside disable

mac-learn outside disable

بي بي آر:

الخطوة 3. جدول عناوين MAC الثابتة ل PBR MAC.

The mac statically binded to inside interface is the PBR mac generated by provider and vice versa

ASA(config)# show run mac-address-table

mac-address-table static outside 024a.e954.b591

mac-address-table static inside 02c0.282b.d1cf

الخطوة 4. تكوين قائمة التحكم في الوصول (ACL) لتمرير إختبارات اتصال L2.

ASA(config)# show access-list

access-list L2_PBR ethertype permit 721

ASA(config)# show run access-group

access-group L2_PBR in interface inside

access-group L2_PBR in interface outside