Homologation de route L4-L7 avec structure de transit - Procédure pas à pas de configuration

Options de téléchargement

PDF (3.5 MB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (3.3 MB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (3.2 MB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:30 mars 2016

ID du document:200407

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Configuration

Diagramme du réseau

Configuration

Vérifiez et dépannez

Introduction

Ce document décrit la procédure pas à pas de configuration du graphique de services L4-L7 avec appairage de route, où le consommateur et le fournisseur sont tous deux externes au fabric ACI (Application Centric Infrastructure).

Contribution de Zahid Hassan, ingénieur des services avancés Cisco.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

Pools de VLAN statiques qui seront utilisés pour le VLAN d'encapsulation entre les périphériques externes et le fabric ACI
Domaines physiques et routés externes qui relieront l'emplacement (noeud/chemin feuille) des périphériques externes et le pool de VLAN
Connexion de couche 3 à un réseau externe (L3Out)

Les étapes de configuration d'accès au fabric et L3Out précédentes ne sont pas couvertes dans ce document et ont été supposées avoir déjà été effectuées.

Components Used

Les informations contenues dans ce document sont basées sur les versions de logiciel suivantes :

Contrôleur Cisco APIC (Application Policy Infrastructure Controller) - 1.2(1m)
Package de périphériques ASA (Adaptive Security Appliance) - 1.2.4.8
ASA 5585 - 9.5(1)
Nexus 3064 - 6.0(2)U3(7)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

L'appairage de route est une fonctionnalité qui permet à un appareil de service tel qu'un équilibreur de charge ou un pare-feu d'annoncer son accessibilité via le fabric ACI jusqu'à un réseau externe.

Le cas d'utilisation présenté ici est un pare-feu physique qui est déployé en tant que graphique de service à deux branches, entre deux sorties L3ou groupes de terminaux externes (EPG). Le graphique de service est associé à un contrat entre le groupe de terminaux externe sur Leaf 101 (N3K-1) et le groupe de terminaux externe sur Leaf 102 (N3K-2). Le fabric ACI fournit un service de transit pour les routeurs (N3K-1 et N3K-2) et l'appairage de route est utilisé, avec le protocole de routage OSPF (Open Shortest Path First), pour échanger des routes entre le pare-feu et le fabric ACI.

Configuration

Diagramme du réseau

L'image suivante montre comment l'appairage de route fonctionne de bout en bout :

Configuration

Étape 1. Configurez Virtual Routing and Forwarding1 (VRF1), VRF2, Bridge Domain1 (BD1) et BD2. Associez BD1 à VRF1 et BD2 à VRF2, comme illustré sur l'image :

Étape 2. Téléchargez le package de périphériques ASA sous le périphérique L4-L7, comme l'illustre l'image :

Configurez le périphérique L4-L7 pour l'ASA 5585 physique (routé), comme indiqué sur l'image :

Étape 3. Configurez L3Out pour N3K-1 et associez-vous à BD1 et VRF1.

Le réseau routé externe est utilisé pour spécifier la configuration de routage dans le fabric ACI pour l'appairage de route, comme l'illustre l'image :

Note: Toutes les interfaces L3Out utilisées pour l'appairage de route doivent être configurées en tant qu'interface virtuelle de commutateur (SVI) avec un encap VLAN en conséquence.

Configurez le contrôle de route d'importation/exportation sur les sous-réseaux pour l'EPG externe N3K-1 L3Out, comme illustré dans l'image :

Configurez L3Out pour l'interface externe ASA et associez-vous à BD1 et VRF1, comme illustré dans l'image :

Configurez le contrôle de route Import/Export sur les sous-réseaux pour l'EPG externe L3Out ASA-External, comme illustré dans l'image :

Configurez L3out pour ASA-Internal et associez-le à BD2 et VRF2, comme illustré dans l'image :

Configurez le contrôle de route Import/Export sur les sous-réseaux pour l'EPG externe L3Out interne ASA, comme illustré dans l'image :

Configurez L3Out pour N3K-2 et associez-vous à BD2 et VRF2, comme illustré dans l'image :

Configurez le contrôle de route d'importation/exportation sur les sous-réseaux pour N3K-2 L3Out pour EPG externe, comme illustré dans l'image :

Étape 4. Créez un groupe de profils de fonction et configurez un profil de fonction à partir du modèle existant, comme illustré dans l'image :

Étape 5. Créez un contrat et modifiez le champ Étendue en Locataire, comme illustré dans l'image :

Étape 6. Comme l'illustre l'image, créez un modèle de graphique de service L4-L7 dans lequel l'association de graphique de service implique l'association d'une stratégie réseau routée externe et d'une configuration de routeur avec une stratégie de sélection de périphérique.

Configuration du routeur pour spécifier l'ID de routeur qui sera utilisé sur l'appareil de service (ASA 5585), comme illustré sur l'image :

Modifiez le type de contiguïté de L2 à L3, comme illustré sur l'image :

Appliquer le modèle de graphique de service, comme illustré dans l'image :

Associez le graphique de service au contrat, comme illustré sur l'image :

Ajoutez/modifiez le paramètre L4-L7 si nécessaire, comme l'illustre l'image :

Étape 7 : Route-tag Policy, configure Route-tag Policy for VRF1 (Tag:100), comme l'illustre l'image :

Configurez la stratégie de balise de route pour VRF2 (Tag:200), comme indiqué dans l'image :

Étape 8 : Vérifiez l'état et vérifiez la stratégie de sélection des périphériques, comme illustré sur l'image :

Vérifiez l'instance du graphique déployé, comme illustré dans l'image :