ACIケーススタディ：NXOS CLIから最後のスタティックポートバインディングを削除すると物理ドメインがEPGから分離される

はじめに

このドキュメントでは、ACIでドメイン検証機能が有効になっている場合に、リーフスイッチのAPIC CLIからすべてのスタティックポートバインディングを削除することによる影響について説明します。

前提条件

アプリケーションセントリックインフラストラクチャ(ACI)の設定とドメイン検証機能の基本的な知識。

ACIのドメイン検証機能の詳細については、次を参照してください。

https://www.cisco.com/c/en/us/support/docs/software/aci-data-center/221206-understand-aci-enforce-domain-validation.html#:~:text=13%201%2C19-,Enforce%20Domain%20Validation%3A%20Enabled,NOT%20programmed%20on%20the%20interface

セットアップとトポロジ

この設定では、2つの異なる方法を使用して、ACIリーフスイッチインターフェイスにVlanをプログラムします

1. Leaf01ポートのインターフェイスポリシーグループ(IPG)に接続されているAttachable Access Entity Profile(AAEP)に、エンドポイントポリシーグループ(EPG)マッピングが設定されています。
2. Leaf04ポートIPGに接続されたAAEPにはEPGマッピングがありませんが、「静的ポートバインディング」はCLIを介して実行され、VLANをプッシュします。

2つのリーフ – 01および04

モデル：N9K-C93180YC-FX

• バージョン：16.0(3e)

• IPGポリシー： ipg_1
• aaep1（リーフ01に使用）
• システムCDP対応
• システムLLDP対応

• IPGポリシー：ipg_2
• aaep_static（Leaf04に使用）
• システムCDP対応
• システムLLDP対応

• リーフインターフェイスセレクタ：Leaf_101_interface_profile
• port 8-9
•  ipg_1

• リーフインターフェイスセレクタ：Leaf_104_interface_profile
• port 8-9
•  ipg_2

• スイッチプロファイル：Leaf_101
• リーフ101
• Leaf_101_interface_profile（リーフインターフェイスのプロファイル）

• スイッチプロファイル：Leaf_104
• リーフ104
• Leaf_104_interface_profile（リーフインターフェイスのプロファイル）

• テナント：abc-tn、アプリケーションプロファイル：abc-ap、EPG:epg-1、BD:bd-1

• 物理ドメイン：abc-dom、VLANプール：スタティック：abc-vlan-pool(150-152)

• ドメインsample-domはEPG epg-1にマッピングされます

ケース スタディ

この実習では、NXOS® CLIからスタティックポートバインディングを削除した場合の影響を確認します。このドキュメントの動作では、「NXOS® CLI（CLIのみ）からすべてのスタティックポートマッピングを削除すると、APICはEPGから物理ドメインを削除します」と表示されます。現在のCLI設計では、最後のスタティックポートが削除されると、物理ドメインとEPGの関連付けに対してクリーンアップが発生します。これは、最適な設定を維持し、特定のシナリオでVLANの重複を避けるためです。同じことは、GUIやAPIを介して行われる設定には関係ありません。

この動作が影響を与えるのは、同じEPGの下で混合されたAEPアソシエーションへの静的ポート接続とEPGの両方の展開を含む設定デザインのACIファブリックだけです。これはまれです。

物理ドメインがEPGから削除され、ドメイン検証機能がファブリックで有効になっている場合、APICはEPGインターフェイスからすべてのVLANを削除します。

この問題は、Cisco Bug ID CSCwj74262 CLI設定での設定のクリーンアップに関して予想される現在の動作の変更)ですでに対処されています

必要な手順

手順 1：ドメイン検証が有効になっていることを確認します。

apic1# moquery -c infraSetPol | egrep "domainValidation"

domainValidation               : yes

シナリオでドメイン検証が無効になっている場合、影響はEPGから物理ドメインの関連付けが削除されることはなく、これはリーフインターフェイスからVLANを削除することにはなりません。

ステップ 2Vlanは、AAEPとEPGのマッピングにより、リーフ101でプログラムされます。

apic1# fabric 101 show vlan encap-id 151

----------------------------------------------------------------

 Node 101 (bgl-aci07-leaf01)

----------------------------------------------------------------




 VLAN Name                             Status    Ports                          

 ---- -------------------------------- --------- -------------------------------

 14   abc-tn:abc-ap:epg-1       active    Eth1/8, Eth1/9




 VLAN Type  Vlan-mode 

 ---- ----- ----------

 14   enet  CE        

ステップ 3スタティックマッピングが行われないため、リーフ104用にプログラミングされていないVLAN。

apic1# fabric 104 show vlan encap-id 151

----------------------------------------------------------------

 Node 104 (leaf04)

----------------------------------------------------------------
++ No vlan programmed



 VLAN Name                             Status    Ports                          

 ---- -------------------------------- --------- -------------------------------




 VLAN Type  Vlan-mode 

 ---- ----- ----------

ステップ 3APIC CLIからリーフ104上のNXOS®スタイル設定

apic1(config)# leaf 104

apic1(config-leaf)# interface eth 1/8-9

apic1(config-leaf-if)# switchport trunk allowed vlan 151 tenant abc-tn application abc-ap epg epg-1 <<== add static path binding

ステップ 4APIC fvIfConn MOが作成された場合の検証

apic1# moquery -c fvIfConn | grep dn | grep abc

dn                 : uni/epp/fv-[uni/tn-abc-tn/ap-abc-ap/epg-epg-1]/node-101/attEntitypathatt-[abc-aaep]/conndef/conn-[vlan-151]-[0.0.0.0] <<<=== MO created due to EPG to AAEP Mapping

dn                 : uni/epp/fv-[uni/tn-abc-tn/ap-abc-ap/epg-epg-1]/node-104/stpathatt-[eth1/8]/conndef/conn-[vlan-151]-[0.0.0.0] <<<==== MO created due to static port binding in step 3

dn                 : uni/epp/fv-[uni/tn-abc-tn/ap-abc-ap/epg-epg-1]/node-104/stpathatt-[eth1/9]/conndef/conn-[vlan-151]-[0.0.0.0]

ステップ 5ノード104から構成を削除

apic1(config-leaf)# interface eth 1/8-9

apic1(config-leaf-if)# no switchport trunk allowed vlan 151 tenant abc-tn application abc-ap epg epg-1 <<== Delete static path binding

apic1(config-leaf-if)#

ステップ 6CLIで構成が削除されたときにバックエンドで起動されたクリーンアップスクリプトにより、ドメインが削除されました。

ステップ 7検証強制機能によりVLANプログラミングが削除されました（ドメインがEPGに関連付けられていないため、VLANはプログラムされません）。

apic1# fabric 101 show vlan encap-id 151

----------------------------------------------------------------

 Node 101 (leaf01)

----------------------------------------------------------------




 VLAN Name                             Status    Ports                          

 ---- -------------------------------- --------- -------------------------------

++ vlan got removed


 VLAN Type  Vlan-mode 

 ---- ----- ----------