ACI durchsetzen Domänenvalidierung

Einleitung

In diesem Dokument werden die Einstellung zur Domänenvalidierung erzwingen und ihre Vorteile beschrieben. 

Domänenvalidierung erzwingen erklärt

Standardmäßig ist die Domänenvalidierung erzwingen nicht aktiviert. Wenn also eine EPG mit einem statischen {port, VLAN} konfiguriert ist, in dem keine Domäne mit diesem VLAN vorhanden ist, geschieht Folgendes: 

• Die Application Centric Infrastructure (ACI) löst den Fehler F0467 aus: "Die Konfiguration für <path> ist aufgrund der ungültigen Pfadkonfiguration fehlgeschlagen."
• VLAN wird auf der Schnittstelle bereitgestellt.
• Der Datenverkehr wird über die spezifische Schnittstelle weitergeleitet.

Diese Fehlkonfiguration kann durch Erzwingen der Domänenvalidierung verhindert werden.

Vorsicht: AKTIVIEREN SIE DIESE FUNKTION NICHT OHNE ANGEMESSENE SORGFALT AUF EINER VORHANDENEN FABRIC.

Diese Funktion kann nicht deaktiviert werden, nachdem sie aktiviert wurde. Bestehende Konfigurationen können funktionsfähig sein, selbst wenn sie falsch waren. Überprüfen Sie vor der Aktivierung die Domänenzuweisung zu den EPGs und den zugehörigen AEPs.

Domänenvalidierung erzwingen: Deaktiviert (Standardverhalten)

APIC CLI erzwingt Überprüfung der Domänenvalidierung. Der Standardstatus gibt an, dass die Domänenvalidierung deaktiviert ist.

APIC# moquery -c infraSetPol | egrep"domainValidation"
domainValidation               : no

Angenommen, das encap-VLAN 420 ist nicht an die Domäne/den AEP gebunden, die/der mit der EPG verknüpft ist. VLAN 420 wird weiterhin auf der erwarteten Schnittstelle bereitgestellt. 

leaf# show vlan encap-id 420 extended
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13 

"
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13                  
19   lc_TN:lc_BD                      vxlan-16416666   Eth1/13                  

leaf# show int eth 1/13 trunk | grep -A Allowed          
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
Eth1/13        1,19

APIC# moquery -c infraSetPol | egrep "domainValidation"
domainValidation               : yes

leaf# acidiag  touch clean 
This command can wipe out this device, Proceed? [y/N] y
leaf# reload
This command can reload the chassis, Proceed (y/n)? [n]: y

leaf# show int eth 1/13 trunk | grep -A 2 Allowed           
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
 Eth1/13        none

Die Aktivierung der Domänenvalidierung wird als Best Practice erachtet. Nach der Aktivierung gibt es keine Option zum Zurücksetzen der Änderung.

Eine POSTMAN-API zeigt an, dass der Beitrag zum Ändern der Einstellung nicht erfolgreich ist.

Die Domänenvalidierung ist nur einmal erforderlich. Weitere Änderungen sind nicht zulässig.

Da diese Einstellung in der ersten Version keine Standardeinstellung war, kann jede erzwungene Änderung in der Standardeinstellung dazu führen, dass eine falsche Konfiguration fehlschlägt, was zu Ausfällen führt. 

Aus diesem Grund ist die Einstellung vom Benutzer konfigurierbar.

Fehlerbehebung

Der Fehler F0467 wird für betroffene EPGs mit fehlenden Zugriffsrichtlinienzuordnungen ausgelöst.

Schnellstartisolierung zur Fehlerbehebung in diesem Artikel.

Zugehörige Informationen

• Adresse ACI-Fehlercode F0467: invalid-vlan, invalid-path, encap-already-in-use
• Einrichten einer ACI-Fabric: Konfigurationsbeispiel für die Ersteinrichtung > Systemeinstellungen
• Cisco Application Centric Infrastructure (ACI) - Designleitfaden > Validierung von EPG-Domänen