Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.
Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.
Ce document décrit comment configurer et vérifier le graphique des services L1 actifs/actifs dans l'infrastructure axée sur les applications (ACI).
Cisco vous recommande de prendre connaissance des rubriques suivantes :
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes
La configuration EPG1 et EPG2 n'est pas présentée dans ce document. Elle doit être configurée avant que la main et le point d'extrémité ne soient appris.
1. Validez le point de terminaison EPG1 haș 192.168.132.100 appris (noeud 101).
2. Le point de terminaison 192.168.132.200 a été appris pour la validation EPG2 (noeud 104).
Dans Cisco ACI, vous pouvez insérer un périphérique de service de couches 4 à 7 en tant que couche 3/couche 2/couche 1. La couche 3 signifie que le périphérique externe est capable d'effectuer une décision de routage pour transférer le trafic, tandis que la couche 2 signifie que le trafic doit être transféré uniquement sur la base de l'adresse MAC. Dans l'ACI, vous pouvez insérer un périphérique de couche 2 tel qu'un système de prévention des intrusions (IPS)/pare-feu transparent. Imaginez maintenant un scénario dans lequel le périphérique que vous allez rediriger le trafic ne peut pas prendre de décision de transfert. Dans ces cas, vous pouvez donc déployer le routage PBR (Policy-Based Routing) de couche 1.
Le transfert de trafic est identique pour les cas de PBR de couche 3 et de couche 2, la seule différence est que le trafic PBR de couche 3 est redirigé vers une adresse IP, comme pour le trafic PBR de couche 1/2 est redirigé vers une adresse MAC. Ces adresses MAC sont liées de manière statique à l’interface leaf à des fins de transmission. Vous allez en voir plus à ce sujet.
Pour plus d'informations sur les cas d'utilisation de PBR L1/L2 actif/en veille ou actif/actif, consultez le lien ; Livre blanc PBR.
Dans ce modèle de déploiement, aucune traduction VLAN n'est effectuée sur le périphérique de service et ses deux interfaces fonctionnent sur le même VLAN. Cette approche est généralement appelée mode en ligne ou mode filaire et est généralement utilisée pour les pare-feu et les systèmes de prévention des intrusions (IPS). Il est idéal lorsque le périphérique de service est censé exécuter des fonctions de sécurité sans participer au transfert de couche 2 ou 3.
À partir de la version 5.0 de l'ACI, le déploiement d'un graphique de services avec des périphériques de couches 4 à 7 en mode actif/actif est pris en charge. Pour ce faire, il attribue un encapsulage unique à chaque interface de périphérique L4-L7 (interface concrète) et exploite la configuration automatique de l'ACI de « Flood in encap » sur le service caché EPG. Cet EPG de service masqué est créé par l'ACI afin d'associer l'interface de périphérique L4-L7 au domaine de pont de service.
Les administrateurs n'ont pas besoin de configurer manuellement l'EPG de service masqué, car l'ACI active automatiquement « Flood in encap » pendant le processus de rendu du graphique de service.
Pour les déploiements actifs-actifs PBR de couche 1, l'étendue locale du port doit être configurée. Cela nécessite de placer les interfaces de cluster (connecteurs) du consommateur et du fournisseur du périphérique L4-L7 dans des domaines physiques distincts, chacun avec son propre pool de VLAN, tout en conservant la même plage de VLAN sur les deux domaines.
Référence : PBR White Paper.
Le routage de monodiffusion doit être activé, la monodiffusion inconnue de couche 2 doit être définie sur le proxy matériel et aucun sous-réseau n'est requis pour les domaines de pontage cons et prov.
Étape 1 : configuration du domaine du pont consommateur nommé cons_bd1.
Étape 2 : configurez le domaine du pont du fournisseur nommé prov-bd1.
Étape 3 : configuration de la politique de contrat de niveau de service IP avec le type de contrat L2Ping
Accédez à Tenant > Policies > Protocol > IP SLA > IP SLA Monitoring Policies, puis cliquez avec le bouton droit et créez une stratégie.
Étape 4 : configuration du périphérique L4/L7
Accédez à Tenant > Services > Devices, puis cliquez avec le bouton droit et créez un périphérique L4-L7.
Remarque : Pour le périphérique L1, chaque interface de cluster doit se trouver dans des domaines physiques différents pour l'étendue locale du port.
Étape 5 : configuration de la redirection basée sur les stratégies L4-L7 pour les interfaces interne et externe
Accédez à Tenant > Stratégies > Protocole > Redirection basée sur les stratégies C4-C7, puis cliquez avec le bouton droit et créez une stratégie.
++ Le nom de la stratégie est interne
++ Nous avons deux destinations L1, une pour chaque périphérique L1
++ Le nom de la stratégie est externe
++ Nous avons deux destinations L1, une pour chaque périphérique L1
Remarque : L'action de seuil bas doit être identique pour les deux stratégies de redirection L4-L7.
Étape 6 : configuration du modèle de graphique de service
Accédez à Locataire > Services > Modèle de graphique de service, puis cliquez avec le bouton droit et créez un modèle de graphique de service de couches 4 à 7.
Étape 7. Créez un contrat.
Accédez à Locataire > Contrat > Standard, puis cliquez avec le bouton droit et créez un contrat.
Étape 8. Appliquer le contrat en tant que consommateur et fournisseur à EPG1 et EPG2 respectivement.
Étape 9. Application du modèle de graphique de services de couches 4 à 7
Accédez à Locataire > Services > Modèle de graphique de service, puis cliquez avec le bouton droit sur PBR1 et appliquez le modèle de graphique de service L4-L7.
++ Ajouter un EPG client et fournisseur
++ Spécifier le contrat
++ cliquez sur Suivant
++ Spécifier les détails du connecteur client
++ Spécifier les détails du connecteur fournisseur
++ Cliquez sur Terminer
Étape 1 : vérification de la stratégie de sélection de périphériques créée après l'application du modèle de graphique de services
++ Vérifier le connecteur client
++ Configurer le connecteur du fournisseur
Étape 2 : vérification des instances de graphique déployées. Une instance s'affiche alors. Elle doit être à l'état appliqué.
++ Recherchez les interfaces de périphérique et les connecteurs de fonction où vous verrez PCTAG associé aux EPG de service
Étape 1 : vérification de l'application du graphique de services sur le noeud consommateur et fournisseur, ainsi que de l'état du groupe de contrôle d'intégrité
apic01# fabric 101,104 show service redir info
----------------------------------------------------------------
Node 101
----------------------------------------------------------------
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
List of Dest Groups
GrpID Name destination HG-name BAC operSt operStQual TL TH HP TRAC RES
===== ==== =========== ============== === ======= ============ === === === === ===
10 destgrp-10 dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] l1_pbr_tenant::HG1 N
2 destgrp-2 dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] l1_pbr_tenant::HG1 N enabled no-oper-grp 51 100 sym yes no
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] l1_pbr_tenant::HG2 N
List of destinations
Name bdVnid vMac vrf operSt operStQual HG-name
==== ====== ==== ==== ===== ========= =======
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:99:99 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:66:66 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
List of Health Groups
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
l1_pbr_tenant::HG1 enabled dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369]] up
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369]] up
l1_pbr_tenant::HG2 enabled dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369]] up
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369]] up
----------------------------------------------------------------
Node 104
----------------------------------------------------------------
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
List of Dest Groups
GrpID Name destination HG-name BAC operSt operStQual TL TH HP TRAC RES
===== ==== =========== ============== === ======= ============ === === === === ===
3 destgrp-3 dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] l1_pbr_tenant::HG1 N
4 destgrp-4 dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] l1_pbr_tenant::HG1 N
List of destinations
Name bdVnid vMac vrf operSt operStQual HG-name
==== ====== ==== ==== ===== ========= =======
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:66:66 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:99:99 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
List of Health Groups
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
l1_pbr_tenant::HG1 enabled dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369]] up
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369]] up
l1_pbr_tenant::HG2 enabled dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369]] up
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369]] up
Étape 2 : vérification de la création de la liaison MAC statique sur les noeuds de service (102 et 103)
apic01# fabric 102-103 show endpoint vrf l1_pbr_tenant:l1_pbr_vrf
----------------------------------------------------------------
Node 102
----------------------------------------------------------------
Legend:
S - static s - arp L - local O - peer-attached
V - vpc-attached a - local-aged p - peer-aged M - span
B - bounce H - vtep R - peer-attached-rl D - bounce-to-proxy
E - shared-service m - svc-mgr
+-----------------------------------+---------------+-----------------+--------------+-------------+
VLAN/ Encap MAC Address MAC Info/ Interface
Domain VLAN IP Address IP Info
+-----------------------------------+---------------+-----------------+--------------+-------------+
23/l1_pbr_tenant:l1_pbr_vrf vlan-1310 10b3.d514.7777 LS eth1/6
24/l1_pbr_tenant:l1_pbr_vrf vlan-1301 10b3.d514.9999 LS eth1/5
----------------------------------------------------------------
Node 103
----------------------------------------------------------------
Legend:
S - static s - arp L - local O - peer-attached
V - vpc-attached a - local-aged p - peer-aged M - span
B - bounce H - vtep R - peer-attached-rl D - bounce-to-proxy
E - shared-service m - svc-mgr
+-----------------------------------+---------------+-----------------+--------------+-------------+
VLAN/ Encap MAC Address MAC Info/ Interface
Domain VLAN IP Address IP Info
+-----------------------------------+---------------+-----------------+--------------+-------------+
40/l1_pbr_tenant:l1_pbr_vrf vlan-1310 10b3.d514.7777 LS eth1/6
1/l1_pbr_tenant:l1_pbr_vrf vlan-1301 10b3.d514.6666 LS eth1/5
1. 2000 paquets ping ICMP sont générés de EP1 vers EP2 qui vont être redirigés vers le périphérique L1.
switch1# ping 192.168.132.200 vrf l1_pbr1 count 2000 >>>>> sending 2000 packets
64 bytes from 192.168.132.200: icmp_seq=464 ttl=251 time=0.859 ms
64 bytes from 192.168.132.200: icmp_seq=465 ttl=251 time=0.872 ms
64 bytes from 192.168.132.200: icmp_seq=466 ttl=251 time=0.844 ms
64 bytes from 192.168.132.200: icmp_seq=467 ttl=251 time=0.821 ms
64 bytes from 192.168.132.200: icmp_seq=468 ttl=251 time=0.814 ms
64 bytes from 192.168.132.200: icmp_seq=469 ttl=251 time=0.846 ms
64 bytes from 192.168.132.200: icmp_seq=470 ttl=251 time=0.863 ms
64 bytes from 192.168.132.200: icmp_seq=471 ttl=251 time=0.819 ms
64 bytes from 192.168.132.200: icmp_seq=472 ttl=251 time=0.802 ms
64 bytes from 192.168.132.200: icmp_seq=473 ttl=251 time=0.851 ms
64 bytes from 192.168.132.200: icmp_seq=474 ttl=251 time=0.815 ms
2. Validez les compteurs d’interfaces sur les noeuds 102 et 103 qui sont connectés au périphérique L1.
apic01# fabric 102-103 show interface ethernet 1/5-6 | grep "Node\|Ethernet\|RX\|packets\|TX"
Node 102
Ethernet1/5 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: 10b3.d5c5.8f25 (bia 10b3.d5c5.8f25)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
2008 unicast packets 2 multicast packets 0 broadcast packets >>>>>2000 packets recieved from L1 device
2010 input packets 213180 bytes
0 jumbo packets 0 storm suppression bytes
TX
2009 unicast packets 1 multicast packets 0 broadcast packets >>>>> 2000 packets transmitted towards L1 device
2010 output packets 213003 bytes
0 jumbo packets
Ethernet1/6 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: 10b3.d5c5.8f26 (bia 10b3.d5c5.8f26)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
9 unicast packets 2 multicast packets 0 broadcast packets
11 input packets 1286 bytes
0 jumbo packets 0 storm suppression bytes
TX
9 unicast packets 1 multicast packets 0 broadcast packets
10 output packets 1003 bytes
0 jumbo packets
Node 103
Ethernet1/5 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: a453.0e75.9a85 (bia a453.0e75.9a85)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
2009 unicast packets 1 multicast packets 0 broadcast packets >>>>> 2000 packets recieved from L1 device
2010 input packets 213003 bytes
0 jumbo packets 0 storm suppression bytes
TX
2008 unicast packets 1 multicast packets 0 broadcast packets >>> 2000 packets transmitted towards L1 device
2009 output packets 212897 bytes
0 jumbo packets
Ethernet1/6 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: a453.0e75.9a86 (bia a453.0e75.9a86)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
9 unicast packets 1 multicast packets 0 broadcast packets
10 input packets 1003 bytes
0 jumbo packets 0 storm suppression bytes
TX
9 unicast packets 1 multicast packets 0 broadcast packets
10 output packets 1003 bytes
0 jumbo packets
Remarque : Les compteurs d’interface ont été effacés sur les noeuds 102 et 103 avant le test du trafic.
Révision | Date de publication | Commentaires |
---|---|---|
1.0 |
25-Mar-2025
|
Première publication |