Vereinfachte EPG-Bereitstellung über die statische AAEP-Zuordnung

Einleitung

In diesem Dokument wird eine neue Funktion der ACI-Software Version 6.1(3f) beschrieben, die die Konfiguration eines AAEP vereinfacht.

Voraussetzungen

Anforderungen

Jede Endpunktgruppe (EPG) muss einer physischen Domäne explizit zugeordnet werden, bevor sie auf physischen Ports bereitgestellt werden kann. Ohne diese Verknüpfung konnte die EPG keine physische Infrastruktur nutzen, selbst wenn die zugrunde liegenden Zugriffsrichtlinien ordnungsgemäß konfiguriert waren.

Anmerkung: Das Attachable Access Entity Profile (AAEP) muss weiterhin ordnungsgemäß mit Domänen- und VLAN-Pool-Zuordnungen konfiguriert werden, um den Fehler F0467 zu vermeiden und eine erfolgreiche VLAN-Bereitstellung an den physischen Switch-Schnittstellen sicherzustellen.

Verwendete Komponenten

Um diese Funktion nutzen zu können, muss Ihre Cisco ACI-Software Version 6.1(3f) oder höher ausführen.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Vorteile

Die Zuordnung von AAEP direkt zu EPG vereinfacht die Bereitstellung, da eine Anwendungs-EPG in einem einzigen Konfigurationsschritt auf alle mit einem AAEP verbundenen Ports angewendet werden kann. Dieser Ansatz optimiert die Richtlinienanwendung über mehrere Schnittstellen hinweg. Dies ist besonders in großen Umgebungen mit zahlreichen Servern oder Clustern von Vorteil, da die Betriebseffizienz und Konsistenz in der gesamten Fabric verbessert werden.

AAEP automatisiert die Zuweisung von Virtual Local Area Networks (VLANs) durch die Verbindung von VLAN-Pools mit dem AAEP. So wird eine konsistente VLAN-Nutzung über alle verbundenen Ports sichergestellt und die Anzahl manueller Fehler reduziert.

Konfigurationsoptionen

EPG an zugehöriges statisches AAEP

Diese Einstellung finden Sie in der APIC-GUI unter:

Tenant > tenant_name > Anwendungsprofile > [EPG_Name] > Static AAEP

Wenn die Richtlinie direkt über die EPG konfiguriert wird, wird auf APIC-Ebene eine neue Instanz der fvRsAepAtt-Klasse erstellt. Dieses Objekt ist ein direktes untergeordnetes Element der EPG und stellt einen direkten Verweis zurück auf das AAEP her.

moquery-Ausgabe für fvRsAepAtt (EPG-initiierte Zuordnung):

Site1-apic1# moquery -c fvRsAepAtt
dn : uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG/rsaepAtt-CL2026_AEP
encap : vlan-506
primaryEncap : unknown

Wenn diese Verknüpfung aus der EPG hergestellt wird, wird das entsprechende infraRsFuncToEpg-Objekt (das die Beziehung zwischen dem angebundenen Entitätsprofil und der EPG darstellt) creator-Attribut auf SYSTEM festgelegt. Dies zeigt an, dass das System diese Beziehung automatisch auf Basis der EPG-Konfiguration erstellt hat.

Diese Einstellung finden Sie in der APIC-GUI unter:

Fabric > Zugriffsrichtlinien > Policies > Global > Attachable Access Entity Profiles > [AAEP_Name] > Anwendungs-EPGs

moquery Ausgabe für infraRsFuncToEpg (System gewartet):

Site1-Leaf106# moquery -c infraRsFuncToEpg
creator      : SYSTEM
dn           : uni/infra/attentp-CL2026_AEP/gen-default/rsfuncToEpg-[uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG]
encap        : vlan-506
primaryEncap : unknown

Beziehung zwischen den Cisco ACI-Klassen infraRsFuncToEpg und fvRsAepAtt zu fvAEPg:

+----------------------+          +---------------------+
|  infraRsFuncToEpg    |          |     fvRsAepAtt      |
|  (Relation from      |          |  (Relation from     |
|   Attachable Entity  |          |   EPG to Attachable |
|   Profile to EPG)    |          |   Entity Profile)   |
+-----------+----------+          +----------+----------+
           |                               |
           |                               |
           +-----------+   +---------------+
                       |   |
                       v   v
                +---------------------+
                |      EPG (fvAEPg)   |
                +---------------------+

Ein Hauptmerkmal von EPG-initiierten Zuordnungen ist, dass das infraRsFuncToEpg-Objekt unter Verweis auf das AAEP nicht direkt aus der AAEP-Konfiguration gelöscht werden kann. Der Versuch, dies zu tun, führt voraussichtlich zu einem Validierungsfehler:

"Das Objekt konnte nicht gelöscht werden. Validierung fehlgeschlagen: Das System kann nicht geändert werden, das unter Dn0=uni/infra/attentp-AAEP/gen-default/rsfuncToEpg-[uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG] erstellt wurde."

Dadurch wird sichergestellt, dass die Zuordnung mit der EPG-Konfiguration konsistent bleibt. Für beide Konfigurationsoptionen (EPG- oder AAEP-initiiert) können Änderungen nur zum Zeitpunkt der Erstkonfiguration vorgenommen werden.

AAEP für Associate-EPG

Beachten Sie, dass diese Funktion zur EPG-Zuordnung über AAEP in der ACI bereits seit mehreren Versionen besteht und nicht neu eingeführt wurde. Viele Kunden und Administratoren nutzen diese Funktion jedoch nicht, da sich die meisten Einführungsinformationen und Schulungsmaterialien auf die traditionelle Methode zur Zuordnung von EPG zu Domäne konzentrieren, wodurch der AAEP-basierte Ansatz weniger sichtbar wird.

In diesem Szenario wird das infraRsFuncToEpg-Objekterstellerattribut auf USER festgelegt, was darauf hinweist, dass diese Zuordnung von einem Benutzer auf AAEP-Ebene explizit konfiguriert wurde.

Diese Einstellung finden Sie in der APIC-GUI unter:

Fabric > Zugriffsrichtlinien > Policies > Global > Attachable Access Entity Profiles > [AAEP_Name] > Anwendungs-EPGs

moquery Ausgabe für infraRsFuncToEpg (vom Benutzer erstellt):

Site1-Leaf106# moquery -c infraRsFuncToEpg
creator : USER
dn : uni/infra/attentp-CL2026_AEP/gen-default/rsfuncToEpg-[uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG]
encap : vlan-506
primaryEncap : unknown

Ein wesentlicher Unterschied zu dieser Konfigurationsoption besteht darin, dass die statische AAEP-Konfiguration der EPG nicht die auf AAEP-Ebene konfigurierte Richtlinie widerspiegelt. Dies bedeutet, dass während die infraRsFuncToEpg-Klasse mit dem creator-Attribut erstellt wird, das auf USER festgelegt ist, ein entsprechendes fvRsAepAtt-Objekt nicht automatisch auf der EPG-Ebene generiert wird, um diese Zuordnung dem Benutzer visuell darzustellen.

+----------------------+
|  infraRsFuncToEpg    |
|  (Relation from      |
|   Attachable Entity  |
|   Profile to EPG)    |
+----------+-----------+
           |
           |
           v
+---------------------+
|      EPG (fvAEPg)   |
+---------------------+

Überprüfung

Auf APIC-Ebene:

Site1-apic1# moquery -c vlanCktEp -x 'query-target-filter=wcard(vlanCktEp.encap,"vlan-506")' | egrep "dn|epgDn|name"
dn : topology/pod-1/node-106/sys/ctx-[vxlan-2392066]/bd-[vxlan-16121790]/vlan-[vlan-506]
epgDn : uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG
name : CL2026_TNT:LAB_APP:WEB_EPG

Auf Leaf-Ebene:

Site1-Leaf106# show vlan encap-id 506
VLAN Name Status Ports 
---- -------------------------------- --------- -------- 
 14     CL2026_TNT:LAB_APP:WEB_EPG     active    Eth1/20 

Fehlerbehebung

Falsche Konfiguration der Zugriffsrichtlinie

Wenn die von einer EPG verwendete VLAN-Kapselung nicht ordnungsgemäß mit der Domäne im AAEP verknüpft ist, wird der Fehler F0467 ausgelöst, wodurch die VLAN-Bereitstellung auf Switch-Ebene verhindert wird. Dies erfordert eine sorgfältige Abstimmung der Tenant-Konfiguration (EPG/Domäne) mit den Fabric-Zugriffsrichtlinien (AAEP/VLAN-Pool).

Konfigurieren der statischen Zuordnung von EPG zu AAEP und Verpassen der jeweiligen Domänenzuordnung zum Abschließen der Zuordnung der Zugriffsrichtlinien

Dies führt zu einer ungültigen Pfadzuordnung, die durch einen F0467-Fehler am APIC identifiziert wurde, der je nach Konfiguration zur Domänenvalidierung erzwingen wahrscheinlich einen Ausfall verursacht.

Site1-apic1# moquery -c faultInst -f 'fault.Inst.code=="F0467"' 
code : F0467
changeSet : configQual:invalid-path, configSt:failed-to-apply, debugMessage:invalid-path: vlan-506 :There is no domain, associated with both EPG and Port, that has required VLAN;, temporaryError:no
descr : Configuration failed for node 106 due to Invalid Path Configuration, debug message: invalid-path: vlan-506 :There is no domain, associated with both EPG and Port, that has required VLAN;
dn : topology/pod-1/node-106/local/svc-policyelem-id-0/uni/epp/fv-[uni/tn-CL2026_TNT/ap-LAB_APP/epg-WEB_EPG]/node-106/attEntitypathatt-[CL2026_AEP]/rsstPathAtt-[sys/conng/path-[eth1/20]]/nwissues/fault-F0467
lastTransition : 2025-10-21T05:33:12.868+00:00
severity : critical

VLAN überschreiben 

Zugehörige Informationen

Bereitstellen einer EPG über einen AEP für mehrere Schnittstellen mithilfe der APIC-GUI

Cisco Application Centric Infrastructure (ACI) - Designleitfaden

Cisco On Demand Library - ACI-Objekte: Vermeiden des Übergangs von Konfigurationskabeln - BRKDCN-2647
ACI durchsetzen Domänenvalidierung