ステップ 1

メニュー バーで、 [テナント（Tenants）] > [テナントの追加（Add Tenant）]をクリックします。

ステップ 2

次に [テナントの作成（Create Tenant）] ダイアログ ボックスで、次のタスクを実行します：

1.   [名前（Name）] フィールドに、名前を入力します。

2.   [セキュリティ ドメイン（Security Domains）] セクションで、 [+] をクリックして、 [セキュリティ ドメインの作成（Create Security Domain）] ダイアログ ボックスを開きます。

3.   [名前（Name）] フィールドに、セキュリティ ドメインの名前を入力して、 [送信（Submit）]をクリックします。

4. 次に [テナントの作成（Create Tenant）] ダイアログ ボックスで、作成したセキュリティ ドメイン用に [更新（Update）] をクリックします。

5. 必要に応じて他のフィールドに入力します。

6.   [送信（Submit）]をクリックします。

   この tenant_name > [ネットワーキング（Networking）] 画面が表示されます。

ステップ 3

  [作業（Work）] ペインで、 [VRF] アイコンをキャンバスにドラッグして、 [VRFの作成（Create VRF）] ダイアログ ボックスを開き、次のタスクを実行します：

1.   [名前（Name）] フィールドに、名前を入力します。

2. 必要に応じて他のフィールドに入力します。

3.   [送信（Submit）] をクリックして VRF インスタンスの設定を完了します。

ステップ 4

  [作業（Work）] ペインで、 [ブリッジ ドメイン（Bridge Domain）] アイコンを、VRF インスタンスを囲む円内のキャンバスにドラッグして、2 つを接続します。  [ブリッジドメインの作成（Create Bridge Domain）] ダイアログボックスが表示されたら、次のいずれかのタスクを実行します。

1.   [名前（Name）] フィールドに、名前を入力します。

2. 必要に応じて他のフィールドに入力します。

3.   [次へ（Next）]をクリックします。

4. 次に [サブネット（Subnets）] セクションで、 [+] をクリックして、 [サブネットの作成（Create Subnet）] ダイアログ ボックスを閉じます。

5.   [ゲートウェイ IP（Gateway IP）] フィールドに、IP アドレスとサブネット マスクを入力します。

6. 必要に応じて他のフィールドに入力します。

7.   [OK]をクリックします。

8.   [ブリッジドメインの作成（Create Bridge Domain）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

9.   [次へ（Next）]をクリックします。

10. 必要に応じてフィールドに入力します。

11.   [OK] をクリックして、ブリッジ ドメインの設定を完了します。

ステップ 5

  [作業（Work）] ペインで、 [L3] アイコンを、VRF インスタンスを囲む円内のキャンバスにドラッグして、2 つを接続します。  [外部ルーテッドの作成（Create Routed Outside）] ダイアログ ボックスが表示されたら、次のいずれかのタスクを実行します。

1.   [名前（Name）] フィールドに、名前を入力します。

2.   [ノードとインターフェイス プロトコル プロファイル（Nodes and Interfaces Protocol Profiles）] セクションで、 [+] をクリックして、 [ノード プロファイルの作成（Create Node Profile）] ダイアログ ボックスを開きます。

3.   [名前（Name）] フィールドに、名前を入力します。

4.   [ノード（Nodes）] セクションで、 [+] をクリックして、 [ノードの選択（Select Node）] ダイアログ ボックスを閉じます。

5.   [ノード ID（Node ID）] ドロップダウン リストから、ノードを選択します

6.   [ルータ ID（Router ID）] フィールドに、ルータ ID を入力します。

7. リスト [スタティック ルート（Static Routes）] セクションで、 [+] をクリックして、 [スタティック ルートの作成（Create Static Route）] ダイアログ ボックスを開きます。

8.   [プレフィックス（Prefix）] フィールドに、IPv4 アドレスまたは IPv6 アドレスを入力します。

9.   [ネクスト ホップ アドレス（Next Hop Addresses）] セクションで、 [+] をクリックして、 [ネクスト ホップの作成（Create Next Hop）] ダイアログ ボックスを閉じます。

10.   [ネクスト ホップ アドレス（Next Hop Address）] フィールドに、IPv4 アドレスまたは IPv6 アドレスを入力します。

11.   [設定（Preference）] フィールドに、数字を入力します。

12. 必要に応じて他のフィールドに入力します。

13.   [OK]をクリックします。

14. 次に [静的ルートの作成（Create Static Route）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

15.   [OK]をクリックします。

16.   [ノードの選択（Select Node）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

17.   [OK]をクリックします。

18.   [ノード プロファイルの作成（Create Node Profile）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

19.   [OK]をクリックします。

20.   [BGP]、 [OSPF]または [EIGRP] のチェックボックスを必要に応じてオンにします。

21. 必要に応じて他のフィールドに入力します。

22.   [次へ（Next）]をクリックします。

23. 必要に応じてフィールドに入力します。

24.   [OK] をクリックしてレイヤ 3 の構成を完了します。

ステップ 1

メニュー バーで、 [テナント（Tenants）] を選択し、EPG を作成するテナントを選択します。

ステップ 2

ナビゲーション ウィンドウでテナントのフォルダ [アプリケーション プロファイル（Application Profiles）] フォルダ、およびアプリケーション プロファイルのフォルダを展開します。

ステップ 3

  [アプリケーション EPG（Application EPG）] フォルダを右クリックし、 [アプリケーション EPG の作成（Create Application EPG）] ダイアログ ボックスで、次の操作を実行します：

1.   [名前（Name）] フィールドに、EPG の名前（db）を追加します。

2.   [ブリッジ ドメイン（Bridge Domain）] フィールドで、ドロップダウン リストからブリッジ ドメイン（bd1）を選択します。

3.   [VM ドメインプロファイルへの関連付け（Associate to VM Domain Profiles）] チェックボックスをオンにします。  [次へ（Next）]をクリックします。

4.   ステップ 2 > [ドメイン（Domains）] エリアで [VM ドメインプロファイルへの関連付け（Associate to VM Domain Profiles）] を展開し、ドロップダウン リストから、適切な VMM ドメインを選択します。

5.   [展開の緊急性（Deployment Immediacy）] ドロップダウンリストで、デフォルト値を受け入れるか、いつポリシーが Cisco APIC から物理リーフ スイッチに展開されるかを選択します。

6.   解決の緊急性 (Resolution Immediacy) ドロップダウンリストで、いつポリシーが物理リーフ スイッチから仮想リーフに展開されるかを選択します。

   Cisco AVS が設定されている場合は、 即時（Immediate） または オンデマンド(On Demand)を選択します。 Cisco ACI Virtual Edge または VMware VDS が設定されている場合は、 即時（Immediate）、 オンデマンド(On Demand)または [事前プロビジョニング（Pre-provision）]を選択します。

7. （オプション） [区切り文字（Delimiter）] フィールドに、|、~、!、@、^、+、または = のいずれかの記号を入力します。

   記号を入力しなかった場合、システムは VMware ポートグループ名のデリミタとしてデフォルトの | を使用します。

8. Cisco ACI Virtual Edge または Cisco AVS を利用している場合は、[カプセル化モード（Encap Mode）] ドロップダウン リストから、カプセル化モードを選択します。

   次のいずれかのカプセル化モードを選択できます。

   • [VXLAN]：これはドメインの VLAN 設定を上書きし、EPG は VXLAN カプセル化を使用します。ただし、ドメインでマルチキャスト プールが設定されていない場合は、EPG に対してエラーが発生します。

   • [VLAN]：これはドメインの VXLAN 設定を上書きし、EPG は VLAN カプセル化を使用します。ただし、ドメインで VLAN プールが設定されていない場合は、EPG に対してエラーがトリガーされます。

   • [自動（Auto）]： EPG は、VMM ドメインと同じカプセル化モードを使用します。これはデフォルトの設定です。

9.   Cisco ACI Virtual Edgeを使用している場合、 [スイッチング モード（Switching Mode）] ドロップダウンリストから、 [ネイティブ（native）] または [AVE]を選択します。

     [ネイティブ（native）]を選択した場合、EPG はVMware VDS を介して切り替えられます。 [AVE]を選択した場合、EPG は Cisco ACI Virtual Edgeを介して切り替えられま：。デフォルトは [ネイティブ（native）]です。

10.   [更新（Update）] をクリックして [終了（Finish）]をクリックします。

ステップ 4

  [アプリケーション プロファイルの作成（Create Application Profile）] ダイアログボックスで、さらに 2 つの EPG を作成します。同じブリッジ ドメイン、同じデータセンター内に、3 つの EPG を作成します。これらは、db、app、および web です。

ステップ 1

メニュー バーで、 [テナント（Tenants）] を選択し、実行するテナント名を選択します。  [ナビゲーション（Navigation）] ペインで、 tenant-name および [コントラクト（Contracts）] を展開します。

ステップ 2

  [標準（Standard）] > [コントラクトの作成（Create Contract）]を右クリックします。

ステップ 3

  [コントラクトの作成（Create Contract）] ダイアログ ボックスで、次のタスクを実行します：

1.   [名前（Name）] フィールドに、コントラクト名を入力します。

2.   [+] アイコン（ [サブジェクト（Subjects）] の隣にあるもの）をクリックして、新しいサブジェクトを追加します。

3.   [コントラクト サブジェクトの作成（Create Contract Subject）] ダイアログボックスで、サブジェクト名を [名前（Name）] フィールドに入力します。

   （注）	この手順では、フィルタをコントラクトのサブジェクトに関連付けます。

4. TCAMのコントラクト使用最適化機能を有効にするには、次のことを確認します： [両方向に適用（Apply Both Directions）] および [フィルタ ポートの反転（Reverse Filter Ports）] 有効になっていいること。

5.   [+] アイコンをクリックして [フィルタ（Filters）]を展開します。

6. ダイアログボックスで、ドロップダウン メニューから、すでに設定したフィルタを選択します。または [フィルタの作成（Create Filter）]を選択します。

7.   [ディレクティブ（Directives）] フィールドで、 [ポリシー圧縮の有効化（Enable Policy Compression）] を選択します。

8.   アクション（Action） フィールドで、 [許可（Permit）] または [拒否（Deny）]を選択します。

   （注）	現在、 [拒否（Deny）] アクションはサポートされていません。最適化は [許可（Permit）] アクションに対してのみ行われます。

9. （任意）   優先順位（Priority） フィールドで、優先順位レベルを選択します

10.   [更新（Update）]をクリックします。

ステップ 4

  [コントラクト サブジェクトの作成（Create Contract Subject）] ダイアログボックスで、 [OK]をクリックします。

ステップ 5

  [コントラクトの作成（Create Contract）] ダイアログボックスで、 [送信（Submit）]をクリックします。

ステップ 1

メニュー バーで [テナント（Tenants）] > [すべてのテナント（All Tenants）] をクリックします。

ステップ 2

コントラクトを作成しているテナントをダブルクリックします。

ステップ 3

ナビゲーション バーで、 [コントラクト（Contracts）] を展開し、 [フィルタ（Filter）]を右クリックし、 [フィルタの作成（Create Filter）]を選択します。

ステップ 4

フィルタ名を入力し、許可または拒否するトラフィックを定義する条件を追加して、 [送信（Submit）]をクリックします。

ステップ 5

  [標準（Standard）]を右クリックし、 [コントラクトの作成（Create Contract）]を選択します。

ステップ 6

コントラクト名を入力し、範囲を設定し、[+] アイコンをクリックしてサブジェクトを追加します。

ステップ 7

繰り返して別のサブジェクトを追加します。

ステップ 8

  [送信（Submit）]

ステップ 9

コントラクトのすべてのサブジェクトの例外を追加する手順は、次のとおりです：

1. コントラクトをクリックし、 [コントラクトの例外（Contract Exception）]をクリックします。

2. サブジェクトを追加し、許可または拒否するように設定します。

3. [+] アイコンをクリックしてコントラクトを追加します。

4. 例外の名前とタイプを入力します。

5. 正規表現を [コンシューマ正規表現（Consumer Regex）] および [プロバイダ正規表現（Provider Regex）] フィールドに入力して、コントラクトのすべてのサブジェクトから除外する EPG を定義します。

ステップ 10

コントラクトの 1 つのサブジェクトに例外を追加する手順は、次のとおりです：

1. サブジェクトをクリックし、 [サブジェクトの例外（Subject Exception）]をクリックします。

2. [+] アイコンをクリックしてコントラクトの例外を追加します。

3. 例外の名前とタイプを入力します。

4. 正規表現を [コンシューマ正規表現（Consumer Regex）] および [プロバイダ正規表現（Provider Regex）] に入力して、コントラクトのすべてのサブジェクトから除外する EPG を定義します。

ステップ 1

メニューバーで、 [テナント（Tenants）] > [すべてのテナント（All Tenants）]を選択します。

ステップ 2

[作業（Work）] ペインで、テナントの名前をダブルクリックします。

ステップ 3

EPG のタイプに応じて、次の一連の手順のいずれかを実行します。

ステップ 1

コンフィギュレーション モードを開始します。

apic1# configure

ステップ 2

テナントを作成または選択します。

apic1(config)# tenant Tenant-l3out

ステップ 3

外部 Layer 3 EPG を作成または選択します。

apic1(config-tenant)# external-l3 epg ext-epg

ステップ 4

外部 EPG を VRF インスタンスにバインドします。

apic1(config-tenant-l3ext-epg)# vrf member vrf1

ステップ 5

EPG 内分離を有効にします。

(config-tenant-l3ext-epg)# isolation enforce

(config-tenant-l3ext-epg)# no isolation enforce

ステップ 6

エンドポイント間の目的のトラフィックを許可するコントラクトを内部 EPG に割り当てます。

apic1(config-tenant-l3ext-epg)# contract intra-epg contr-intra

ステップ 1

次の例のような XML POST 要求を使用してセレクタを設定します。

<?xml version="1.0" encoding="UTF-8"?>
<polUni>
  <infraInfra>
    <infraAccPortP name="Ports-1-12" status="deleted"/>

    <!-- VMM VLAN range -->
    <fvnsVlanInstP name="test" allocMode="dynamic">
      <fvnsEncapBlk name="encap" from="vlan-10" to="vlan-100"/>
    </fvnsVlanInstP>

    <!-- Static VLAN range -->
    <fvnsVlanInstP name="test" allocMode="static">
      <fvnsEncapBlk name="default" from="vlan-101" to="vlan-4095"/>
    </fvnsVlanInstP>

    <infraAttEntityP name="test">
      <infraRsDomP tDn="uni/phys-test"/>
      <infraRsDomP tDn="uni/l3dom-test"/>
      <infraRsDomP tDn="uni/vmmp-VMware/dom-test"/>
    </infraAttEntityP>

    <!-- Node profile -->
    <infraNodeP name="test">
      <infraLeafS name="test" type="range">
        <infraNodeBlk name="default" from_="101" to_="102"/>
      </infraLeafS>
      <infraRsAccPortP tDn="uni/infra/accportprof-test"/>
    </infraNodeP>

    <!-- Port profile -->
    <infraAccPortP name="test">
      <!-- 12 regular ports -->
      <infraHPortS name="ports1Through12" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="1" toPort="12"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accportgrp-test"/>
      </infraHPortS>

      <!-- 2 ports in PC -->
      <infraHPortS name="portsForPc1" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="13" toPort="14"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testPc"/>
      </infraHPortS>

      <!-- 2 ports in PC -->
      <infraHPortS name="portsForPc2" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="15" toPort="16"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-pc"/>
      </infraHPortS>

      <!-- 2 ports in PC for FEX -->
      <infraHPortS name="portsForFex" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="17" toPort="18"/>
        <infraRsAccBaseGrp tDn="uni/infra/fexprof-default/fexbundle-test" fexId="111"/>
      </infraHPortS>

      <!-- 2 ports in PC for VPC -->
      <infraHPortS name="portsForVpc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="19" toPort="20"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testVpc"/>
      </infraHPortS>
    </infraAccPortP>

    <!-- FEX profile -->
    <infraFexP name="default">
      <infraFexBndlGrp name="default"/>

      <!-- 12 FEX ports -->
      <infraHPortS name="ports1Through12" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="1" toPort="12"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accportgrp-test"/>
      </infraHPortS>

      <!-- 3 ports in FEX PC -->
      <infraHPortS name="portsForPc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="13" toPort="16"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testPcOnFex"/>
      </infraHPortS>

      <!-- 3 ports in FEX VPC -->
      <infraHPortS name="portsForVpc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="17" toPort="19"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testVpcOnFex"/>
      </infraHPortS>
    </infraFexP>

    <!-- Functional profile -->
    <infraFuncP>
      <!-- Regular port group -->
      <infraAccPortGrp name="test">
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccPortGrp>

      <!-- PC -->
      <infraAccBndlGrp name="testPc" lagT="link">
        <infraRsLacpPol tnLacpLagPolName="testPc"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- VPC -->
      <infraAccBndlGrp name="testVpc" lagT="node">
        <infraRsLacpPol tnLacpLagPolName="testVpc"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- PC on FEX -->
      <infraAccBndlGrp name="testPcOnFex" lagT="link">
        <infraRsLacpPol tnLacpLagPolName="testPcOnFex"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- VPC on FEX -->
      <infraAccBndlGrp name="testVpcOnFex" lagT="node">
        <infraRsLacpPol tnLacpLagPolName="testVpcOnFex"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>
    </infraFuncP>

    <!-- Link aggregation policies -->
    <lacpLagPol name="testPc" minLinks='1' maxLinks='10'/>
    <lacpLagPol name="testVpc" minLinks='1' maxLinks='10'/>
    <lacpLagPol name="testPcOnFex" minLinks='2' maxLinks='5'/>
    <lacpLagPol name="testVpcOnFex" minLinks='2' maxLinks='10'/>
  </infraInfra>

  <fabricInst>
    <fabricProtPol name="testVpc">
      <fabricExplicitGEp name="testVpc" id="101">
        <fabricNodePEp id="101"/>
        <fabricNodePEp id="102"/>
      </fabricExplicitGEp>
    </fabricProtPol>
  </fabricInst>

  &lt;physDomP name="test">
    <infraRsVlanNs tDn="uni/infra/vlanns-test-static"/>
  &lt;/physDomP>

  <l3extDomP name="test">
    <infraRsVlanNs tDn="uni/infra/vlanns-test-static"/>
  </l3extDomP>
</polUni>

ステップ 2

次の例のような XML POST 要求を使用してテナントを設定します。

<?xml version="1.0" encoding="UTF-8"?>
<polUni>
   <fvTenant name="Tenant-l3out">
      <vzBrCP intent="install" name="contr-intra" scope="context">
         <vzSubj consMatchT="AtleastOne" name="subj" revFltPorts="yes">
            <vzRsSubjFiltAtt action="permit" priorityOverride="default"               tnVzFilterName="flt-ssh" />
         </vzSubj>
      </vzBrCP>
      <vzBrCP intent="install" name="contr2" scope="context">
         <vzSubj consMatchT="AtleastOne" name="contr2-subj" revFltPorts="yes">
            <vzRsSubjFiltAtt action="permit" priorityOverride="default"               tnVzFilterName="flt-ftp" />
         </vzSubj>
      </vzBrCP>
      <vzBrCP intent="install" name="contr1" scope="context">
         <vzSubj consMatchT="AtleastOne" name="subj-http" revFltPorts="yes">
            <vzRsSubjFiltAtt action="deny" priorityOverride="default"               tnVzFilterName="flt-http" />
         </vzSubj>
      </vzBrCP>
      <l3extOut enforceRtctrl="export" mplsEnabled="no" name="l3out1">
         <l3extRsL3DomAtt tDn="uni/l3dom-test" />
         <l3extRsEctx tnFvCtxName="vrf1" />
         <l3extLNodeP name="l3out1_nodeProfile" tag="yellow-green">
            <l3extRsNodeL3OutAtt rtrId="172.16.0.1" rtrIdLoopBack="yes"               tDn="topology/pod-1/node-101" />
            <l3extLIfP name="l3out1_interfaceProfile" tag="yellow-green">
               <l3extRsPathL3OutAtt addr="192.168.15.1/24" autostate="disabled"                  encap="unknown" encapScope="local" ifInstT="l3-port" ipv6Dad="enabled"                  isMultiPodDirect="no" llAddr="::" mac="00:22:BD:F8:19:FF"                  mode="regular" mtu="inherit"                  tDn="topology/pod-1/paths-101/pathep-[eth1/10]" />
            </l3extLIfP>
         </l3extLNodeP>

         <!--
           Set pcEnfPref to "enforced" to enable intra-Ext-EPG isolation.
           Set pcEnfPref to "unenforced" to disable intra-Ext-EPG isolation.
         -->
         <l3extInstP floodOnEncap="disabled" matchT="AtleastOne"            name="l3epg1" pcEnfPref="unenforced" prefGrMemb="exclude">
            <l3extSubnet ip="172.16.0.0/16" scope="import-security" />
            <fvRsCons tnVzBrCPName="contr2" />
            <fvRsIntraEpg tnVzBrCPName="contr-intra" />
         </l3extInstP>
      </l3extOut>
      <fvCtx bdEnforcedEnable="no" ipDataPlaneLearning="enabled" knwMcastAct="permit"         name="vrf1" pcEnfDir="egress" pcEnfPref="unenforced" vrfIndex="0">
         <fvRsVrfValidationPol />
         <vzAny matchT="AtleastOne" prefGrMemb="disabled" />
      </fvCtx>
      <fvBD OptimizeWanBandwidth="no" arpFlood="yes" epClear="no" hostBasedRouting="no"         intersiteBumTrafficAllow="no" intersiteL2Stretch="no" ipLearning="yes"         ipv6McastAllow="no" limitIpLearnToSubnets="yes" llAddr="::"         mac="00:22:BD:F8:19:FF" mcastAllow="no" multiDstPktAct="bd-flood" name="bd-web"         type="regular" unicastRoute="yes" unkMacUcastAct="proxy" unkMcastAct="flood"         v6unkMcastAct="flood" vmac="not-applicable">
         <fvSubnet ip="192.168.1.254/24" ipDPLearning="enabled" preferred="no"            scope="private" virtual="no" />
         <fvRsCtx tnFvCtxName="vrf1" />
         <fvRsBdToEpRet resolveAct="resolve" />
      </fvBD>
      <fvBD OptimizeWanBandwidth="no" arpFlood="yes" epClear="no" hostBasedRouting="no"         intersiteBumTrafficAllow="no" intersiteL2Stretch="no" ipLearning="yes"         ipv6McastAllow="no" limitIpLearnToSubnets="yes" llAddr="::"         mac="00:22:BD:F8:19:FF" mcastAllow="no" multiDstPktAct="bd-flood" name="bd-app"         type="regular" unicastRoute="yes" unkMacUcastAct="proxy" unkMcastAct="flood"         v6unkMcastAct="flood" vmac="not-applicable">
         <fvSubnet ip="192.168.2.254/24" ipDPLearning="enabled" preferred="no"            scope="private" virtual="no" />
         <fvRsCtx tnFvCtxName="vrf1" />
         <fvRsBdToEpRet resolveAct="resolve" />
      </fvBD>
      <vzFilter name="flt-ftp">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="ftpData"            dToPort="ftpData" etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"            matchDscp="unspecified" name="ftp" prot="tcp" sFromPort="unspecified"            sToPort="unspecified" stateful="no" />
      </vzFilter>
      <vzFilter name="flt-ssh">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="ssh" dToPort="ssh"            etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"            matchDscp="unspecified" name="ssh" prot="tcp" sFromPort="unspecified"            sToPort="unspecified" stateful="no" />
      </vzFilter>
      <vzFilter name="flt-http">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="http" dToPort="http"            etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"            matchDscp="unspecified" name="flt1" prot="tcp" sFromPort="unspecified"            sToPort="unspecified" stateful="no" />
      </vzFilter>
      <fvAp name="ap-app1">
         <fvAEPg floodOnEncap="disabled" hasMcastSource="no" isAttrBasedEPg="no"            matchT="AtleastOne" name="epg-app" pcEnfPref="unenforced"            prefGrMemb="exclude" shutdown="no">
            <fvRsProv intent="install" matchT="AtleastOne" tnVzBrCPName="contr2" />
            <fvRsProv intent="install" matchT="AtleastOne" tnVzBrCPName="contr1" />
            <fvRsPathAtt encap="vlan-103" instrImedcy="immediate" mode="native"               primaryEncap="unknown" tDn="topology/pod-1/paths-101/pathep-[eth1/3]" />
            <fvRsDomAtt bindingType="none" classPref="encap" encap="unknown"               encapMode="auto" epgCos="Cos0" epgCosPref="disabled" instrImedcy="lazy"               netflowDir="both" netflowPref="disabled" numPorts="0" portAllocation="none"               primaryEncap="unknown" primaryEncapInner="unknown" resImedcy="immediate"               secondaryEncapInner="unknown" switchingMode="native" tDn="uni/phys-test"               untagged="no" vnetOnly="no" />
            <fvRsBd tnFvBDName="bd-app" />
         </fvAEPg>
         <fvAEPg floodOnEncap="disabled" hasMcastSource="no"            isAttrBasedEPg="no" matchT="AtleastOne" name="epg-web" pcEnfPref="unenforced"            prefGrMemb="exclude" shutdown="no">
            <fvRsPathAtt encap="vlan-104" instrImedcy="immediate" mode="native"               primaryEncap="unknown" tDn="topology/pod-1/paths-101/pathep-[eth1/4]" />
            <fvRsDomAtt bindingType="none" classPref="encap" encap="unknown"               encapMode="auto" epgCos="Cos0" epgCosPref="disabled" instrImedcy="lazy"               netflowDir="both" netflowPref="disabled" numPorts="0" portAllocation="none"               primaryEncap="unknown" primaryEncapInner="unknown" resImedcy="immediate"               secondaryEncapInner="unknown" switchingMode="native" tDn="uni/phys-test"               untagged="no" vnetOnly="no" />
            <fvRsCons intent="install" tnVzBrCPName="contr1" />
            <fvRsBd tnFvBDName="bd-web" />
         </fvAEPg>
      </fvAp>
   </fvTenant>
</polUni>

ステップ 1

まず [テナント（Tenants）] > tenant-name > [アプリケーション プロファイル（Application Profiles）]に移動し、 [AP 名（AP-name）]

ステップ 2

を展開し、 [アプリケーション EPG（Application EPGs）] を右クリックして、 [アプリケーション EPG の作成（Create Application EPG）]を選択します。

ステップ 3

次に [EPG コントラクトマスター（EPG Contract Master）]からコントラクトを継承する EPG の名前を入力します。

ステップ 4

次に [ブリッジ ドメイン（Bridge Domain）] フィールドで、共通/デフォルトのブリッジ ドメインまたは以前に作成したブリッジ ドメインを選択するか、この EPG のブリッジ ドメインを作成します。

ステップ 5

次に [EPG コントラクトマスター（EPG Contract Master）] フィールドで、+ 記号をクリックして事前に設定したアプリケーション プロファイルと EPG を選択し、 [更新（Update）]をクリックします。

ステップ 6

最後に 終了（Finish）をクリックします。

ステップ 7

コントラクト マスターなど、EPG に関する情報を表示するには、 [テナント（Tenants）] > tenant-name > [アプリケーション プロファイル（Application Profiles）] > AP-name > [アプリケーション EPG（Application EPGs）] > EPG-nameに移動します。  [EPG コントラクトマスター（EPG Contract Master）]を表示するには、 [全般（General）]をクリックします。

ステップ 8

継承されるコントラクトに関する情報を表示するには、 EPG-name を展開して、 [コントラクト（Contracts）] をクリックします。

ステップ 1

  [テナント（Tenants）] > tenant-name > [アプリケーション プロファイル（Application Profiles）]に移動し、 AP-nameを展開します。

ステップ 2

  uSeg EPG を右クリックして、 [uSeg EPG の作成（Create uSeg EPG）]を選択します。

ステップ 3

コントラクト マスターからコントラクトを継承する EPG の名前を入力します。

ステップ 4

  [ブリッジ ドメイン（Bridge Domain）] フィールドで、共通/デフォルトのブリッジ ドメインまたは以前に作成したブリッジ ドメインを選択するか、この EPG のブリッジ ドメインを作成します。

ステップ 5

  uSeg-EPG-nameをクリックします。  [EPG コントラクトマスター（EPG Contract Master）] フィールドで、[+] 記号をクリックしてアプリケーション プロファイルと EPG（コントラクト マスターとして機能する）を選択し、 [更新（Update）]をクリックします。

ステップ 6

  [終了（Finish）]をクリックします。

ステップ 7

コントラクトに関する情報を表示するには、 [テナント（Tenants） > tenant-name > [アプリケーション プロファイル（Application Profiles）] > AP-name > [uSeg EPG（uSeg EPGs）]に移動し、 EPG-name を展開して、 [コントラクト（Contracts）] をクリックします。をクリックします。

ステップ 1

  [テナント（Tenants）] > tenant-name > [ネットワーキング（Networking）] > [L2Outs]に移動します。

ステップ 2

  L2Out-nameを展開します。

ステップ 3

  [外部 EPG（External EPGs）] を右クリックし、 [外部EPGの作成（Create External EPG）] を選択します。

ステップ 4

外部ネットワークの名前を入力し、必要に応じてその他の属性を追加します。

ステップ 5

  [送信（Submit）]をクリックします。

ステップ 6

  [外部 EPG（External EPGs）]を展開します。

ステップ 7

  external-epg-nameをクリックします。

ステップ 8

  [外部 EPG（External EPG）] パネルで、 [L2Out コントラクト マスター（L2Out Contract Masters）] フィールドの + 記号をクリックします。

ステップ 9

この外部 L2Out EPG の L2Out および L2Out コントラクト マスターを選択します。

ステップ 10

  [更新（Update）]をクリックします。

ステップ 11

この外部 L2Out EPG によって継承されたコントラクトを表示するには、外部 EPG 名をクリックし、 [コントラクト（Contracts）] > [継承コントラクト（Inherited Contracts）]をクリックします。

ステップ 1

外部 L3Out EPG のコントラクト継承を設定するには、 [テナント（Tenants）] > tenant-name > [ネットワーキング（Networking）] > [L3Outs]に移動します。

ステップ 2

外部 L3Out EPG につながる L3Out-name を 展開します。

ステップ 3

次に [外部 EPG（External EPGs）] を右クリックして、 [外部EPGの作成（Create External EPG）] を選択します。

ステップ 4

外部 EPG の名前を入力し、オプションでサブネットおよびその他の属性を追加します。

ステップ 5

次に [送信（Submit）]をクリックします。

ステップ 6

次に [ネットワーク（Networks）]を展開します。

ステップ 7

次に network-nameをクリックします。

ステップ 8

次に [外部 EPG（External EPG）] パネルで [+] 記号をクリックします （[L3Out コントラクト マスター（L3Out Contract Master）] フィールドにあります）。

ステップ 9

この外部 L3Out EPG の L3Out コントラクト マスターとして機能する L3Out および外部 EPG を選択します。

ステップ 10

最後に [更新（Update）]をクリックします。

ステップ 11

この外部 L3Out EPG によって継承されたコントラクトを表示するには、外部 EPG 名をクリックし、 [コントラクト（Contracts）] > [継承コントラクト（Inherited Contracts）]をクリックします。

ステップ 1

メニューバーで、 [テナント（Tenants）] > [tenant-name]をクリックします。

ステップ 2

次に [ナビゲーション（Navigation）] ペインで、テナント、 [ネットワーキング（Networking）]、および [VRF（VRFs）]を展開します。

ステップ 3

コントラクト優先グループを設定する VRF 名をクリックします。

ステップ 4

次に [優先グループ メンバー（Preferred Group Member）] フィールドで、 [有効（Enabled）]をクリックします。

ステップ 5

次に [送信（Submit）]をクリックします。

ステップ 6

次に [ナビゲーション（Navigation）] ペインで、 [アプリケーション プロファイル（Application Profiles）] を展開し、テナント VRF のアプリケーション プロファイルを作成または展開します。

ステップ 7

次に [アプリケーション EPG（Application EPGs）] を展開し、コントラクト優先グループを使用する EPG をクリックします。

ステップ 8

次に [ポリシー（Policy）] および [全般（General）] タブを選択します。

ステップ 9

次に [優先グループ メンバー（Preferred Group Member）] フィールドで、 [含める（Include）]をクリックします。

ステップ 10

最後に [送信（Submit）]をクリックします。

ステップ 1

メニュー バーで、 [テナント（Tenants）] > tenant_nameを選択します。

ステップ 2

[ナビゲーション（Navigation）] ペインで [ポリシー（Policies）] > [プロトコル（Protocol）] > [L4 ～ L7 サービス EPG ポリシー（L4-L7 Service EPG Policy）]を選択します。

ステップ 3

[ナビゲーション（Navigation）] ペインで、 [L4 ～ L7 サービス EPG ポリシー（L4-L7 Service EPG Policy）] を右クリックし、 [L4 ～ L7 サービス EPG ポリシーの作成（Create L4-L7 Service EPG Policy）]を選択します。

ステップ 4

  [名前（Name）] フィールドにポリシーの一意の名前を入力します。

ステップ 5

オプション。ポリシーの説明を [説明（Description）] フィールドに入力します。

ステップ 6

  [優先グループ メンバー（Preferred Group Member）] [Preferred Group Member] フィールドで、EPG を優先メンバーとして除外するか含めるかを選択します。

ステップ 7

  [送信（Submit）]をクリックします。

ステップ 1

メニュー バーで、 [テナント（Tenants）] > <tenant name>を選択します。

ステップ 2

  [ナビゲーション（Navigation）] ペインで、 [コントラクト（Contracts）] を展開し、 [標準（Standard）]を右クリックし、 [コントラクトの作成（Create Contract）]を選択します。

ステップ 3

  [コントラクトの作成（Create Contract）]ダイアログ ボックスで、次の操作を実行します：

1.   [名前（Name）] フィールドに、コントラクトの名前を入力します。

2.   [範囲（Scope）] フィールドで、そのスコープ（[VRF]、[テナント（Tenant）]、または [グローバル（Global）]）を選択します

3. オプション。コントラクトに適用するターゲット DSCP または QoS クラスを設定します。

4. [+] アイコンをクリックして [サブジェクト（Subjects）]を展開します。

ステップ 4

[コントラクトのサブジェクトの作成（Create Contract Subject）] ダイアログボックスで、次の操作を実行します：

ステップ 5

サブジェクトの名前、そしてオプションとして説明を入力します。

ステップ 6

オプション。ターゲット DSCP のドロップダウン リストから、サブジェクトに適用する DSCP を選択します。

ステップ 7

コントラクトを両方向でなくコンシューマからプロバイダの方向にのみ適用するのでない限り、 [両方向に適用（Apply Both Directions）] はオンにしたままにしておきます。

ステップ 8

  [フィルタ ポートの反転（Reverse Filter Ports）] は、 [両方向に適用（Apply Both Directions）] をオフにしていた場合にはオンのままにして、レイヤ 4 の送信元ポートと宛先ポートを交換し、ルールがプロバイダからコンシューマに適用されるようにします。

ステップ 9

[+] アイコンをクリックして [フィルタ（Filters）]を展開します。

ステップ 10

  [名前（Name）] ドロップダウンリストから、オプションを選択します。たとえば、 [arp]、 [デフォルト（default）]、 [est]、または [icmp]、または以前に設定したフィルタを選択します。

ステップ 11

  [ディレクティブ（Directives）] ドロップダウンリストで、 [ログ（log）]をクリックします。

ステップ 12

（任意） このサブジェクトで実行するアクションを [拒否（Deny）] に変更します（またはアクションをデフォルトの [許可（Permit）]のままにします。

ステップ 13

（任意） サブジェクトの優先順位を設定します。

ステップ 14

  [更新（Update）]をクリックします。

ステップ 15

  [OK]をクリックします。

ステップ 16

  [送信（Submit）]をクリックします。

ステップ 1

コントラクト許可ルールにより送信できたパケットまたはフローのロギングを有効にするには、次のコマンドを使用します：

configure
tenant <tenantName>
contract <contractName> type <permit>
subject <subject Name>
access-group <access-list> <in/out/both> log

apic1# configure
apic1(config)# tenant BDMode1 
apic1(config-tenant)# contract Logicmp type permit
apic1(config-tenant-contract)# subject icmp
apic1(config-tenant-contract-subj)# access-group arp both log

ステップ 2

許可ロギングを無効にするには、access-group コマンドの no 形式を使用します。たとえば、 no access-group arp both log コマンドを使用します。

この設定では、次の例のように XML で post を送信します。

<vzBrCP dn="uni/tn-Tenant64/brc-C64" name="C64" scope="context">
    <vzSubj consMatchT="AtleastOne" name="HTTPSsbj" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-HTTPSsbj">
         <vzRsSubjFiltAtt action="permit" directives="log" forceResolve="yes" priorityOverride="default"  rn="rssubjFiltAtt-PerHTTPS" tDn="uni/tn-Tenant64/flt-PerHTTPS" tRn="flt-PerHTTPS" tnVzFilterName="PerHTTPS"/>
    </vzSubj>
    <vzSubj consMatchT="AtleastOne" name="httpSbj" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-httpSbj">
        <vzRsSubjFiltAtt action="deny" directives="log" forceResolve="yes" priorityOverride="default"  rn="rssubjFiltAtt-httpFilter" tDn="uni/tn-Tenant64/flt-httpFilter" tRn="flt-httpFilter" tnVzFilterName="httpFilter"/>
    </vzSubj>
    <vzSubj consMatchT="AtleastOne" name="subj64" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-subj64">
        <vzRsSubjFiltAtt action="permit" directives="log" forceResolve="yes" priorityOverride="default"  rn="rssubjFiltAtt-icmp" tDn="uni/tn-common/flt-icmp" tRn="flt-icmp" tnVzFilterName="icmp"/>
    </vzSubj>
</vzBrCP>

ステップ 1

メニュー バーで、 [テナント（Tenants）] > <tenant name>を選択します。

ステップ 2

  [ナビゲーション（Navigation）] ペインで、 [コントラクト（Contracts）] を展開します。

ステップ 3

  [禁止（Taboos）] を右クリックし、 [禁止コントラクトの作成（Create Taboo Contract）]を選択します。

ステップ 4

[禁止コントラクトの作成（Create Taboo Contract）] ダイアログ ボックスで、次の操作を実行して禁止コントラクトを指定します：

1.   [名前（Name）] フィールドに、コントラクトの名前を入力します。

2. オプション。  [説明（Description）] フィールドに、禁止コントラクトの説明を入力します。

3. [+] アイコンをクリックして [サブジェクト（Subjects）]を展開します。

ステップ 5

  [禁止コントラクト サブジェクトの作成（Create Taboo Contract Subjects）] ダイアログ ボックスで、次の操作を実行します：

1. [サブジェクトのアイデンティティの指定（Specify Identity of Subject）] エリアに、名前と説明（オプション）を入力します。

2. [+] アイコンをクリックして [フィルタ（Filters）]を展開します。

3.   [名前（Name）] ドロップダウンリストから、デフォルト値のいずれか（<tenant_name>/arp、 <tenant_name>/default、 <tenant_name>/est、 <tenant_name>/icmpなど）を選択して、以前に作成したフィルタを選択します。または[フィルタの作成（Create Filter）]を選択します。

ステップ 6

  [送信（Submit）]をクリックします。

ステップ 1

禁止コントラクト拒否ルールのためにドロップされたパケットまたはフローのロギングを有効にするには、次のコマンドを使用します：

configure
tenant <tenantName>
contract <contractName> type <deny>
subject <subject Name>
access-group <access-list> <both> log

apic1# configure
apic1(config)# tenant BDMode1 
apic1(config-tenant)# contract dropFTP type deny
apic1(config-tenant-contract)# subject dropftp
apic1(config-tenant-contract-subj)# access-group ftp both log

ステップ 2

拒否ロギングを無効にするには、アクセスグループ コマンドの no 形式を使用します。たとえば、 no access-group https both log コマンドを使用します。

タブー契約を設定するロギングを拒否する、次の例のように XML で post を送信します。

<vzTaboo dn="uni/tn-Tenant64/taboo-TCtrctPrefix" name="TCtrctPrefix" scope="context">
    <vzTSubj name="PrefSubj" rn="tsubj-PrefSubj"">
        <vzRsDenyRule directives="log" forceResolve="yes" rn="rsdenyRule-default" tCl="vzFilter"  tDn="uni/tn-common/flt-default" tRn="flt-default"/>
    </vzTSubj>
</vzTaboo>

ステップ 1

メニュー バーで、 [テナント（Tenants）] > <tenant name>を選択します。

ステップ 2

  [ナビゲーション（Navigation）] ペインで、 [テナント（Tenant）]<tenant name>をクリックします。

ステップ 3

  [テナント（Tenants）]<tenant name> [作業（Work）] ペインで、 [操作（Operational）] タブをクリックします。

ステップ 4

  [操作（Operational）] タブで フロー（Flows） タブをクリックします。

レイヤ 3 ドロップ ログ データを表示するには、REST API を使用して次のクエリを送信します。

GET https://apic-ip-address/api/class/acllogDropL3Flow

<?xml version="1.0" encoding="UTF-8"?>
<imdata totalCount="2">
    <acllogPermitL3Flow childAction="" dn="topology/pod-1/node-101/ndbgs/acllog/tn-common/ctx-inb         /permitl3flow-spctag-333-dpctag-444-sepgname-unknown-depgname-unknown-sip-[100:c000:a00:700:b00:0:f00:0]         -dip-[19.0.2.10]-proto-udp-sport-17459-dport-8721-smac-00:00:15:00:00:28-dmac-00:00:12:00:00:25-sintf-         [port-channel5]-vrfencap-VXLAN: 2097153" dstEpgName="unknown" dstIp="19.0.2.10" dstMacAddr="00:00:12:00:00:25"          dstPcTag="444" dstPort="8721" lcOwn="local" modTs="never" monPolDn="" protocol="udp" srcEpgName="unknown"          srcIntf="port-channel5" srcIp="100:c000:a00:700:b00:0:f00:0" srcMacAddr="00:00:15:00:00:28" srcPcTag="333"          srcPort="17459" status="" vrfEncap="VXLAN: 2097153"/>
    <acllogPermitL3Flow childAction="" dn="topology/pod-1/node-102/ndbgs/acllog/tn-common/ctx-inb         /permitl3flow-spctag-333-dpctag-444-sepgname-unknown-depgname-unknown-sip-[100:c000:a00:700:b00:0:f00:0]-dip-         [19.0.2.10]-proto-udp-sport-17459-dport-8721-smac-00:00:15:00:00:28-dmac-00:00:12:00:00:25-sintf-         [port-channel5]-vrfencap-VXLAN: 2097153" dstEpgName="unknown" dstIp="19.0.2.10" dstMacAddr="00:00:12:00:00:25"          dstPcTag="444" dstPort="8721" lcOwn="local" modTs="never" monPolDn="" protocol="udp" srcEpgName="unknown"          srcIntf="port-channel5" srcIp="100:c000:a00:700:b00:0:f00:0" srcMacAddr="00:00:15:00:00:28" srcPcTag="333"          srcPort="17459" status="" vrfEncap="VXLAN: 2097153"/>
</imdata>
    

ステップ 1

次に show acllog drop l3 flow tenant common vrf default detail コマンドを使用して、共通テナントのレイヤ 3 拒否ログに関する詳細情報を表示する例を示します。

apic1# show acllog deny l3 flow tenant common vrf default detail
SrcPcTag  : 49153
DstPcTag  : 32773
SrcEPG    : uni/tn-TSW_Tenant0/ap-tsw0AP0/epg-tsw0ctx0BD0epg6
DstEPG    : uni/tn-TSW_Tenant0/ap-tsw0AP0/epg-tsw0ctx0BD0epg5
SrcIp     : 16.0.2.10
DstIp     : 19.0.2.10
Protocol  : udp
SrcPort   : 17459
DstPort   : 8721
SrcMAC    : 00:00:15:00:00:28
DstMAC    : 00:00:12:00:00:25
Node      : 101
SrcIntf   : port-channel5
VrfEncap  : VXLAN: 2097153  

ステップ 2

次に show acllog deny l2 flow tenant common vrf tsw0connctx0 detail コマンドを使用して、共通テナントのレイヤ 3 拒否ログに関する詳細情報を表示する例を示します。

apic1# show acllog deny l2 flow tenant common vrf tsw0connctx0 detail
SrcPcTag DstPcTag   SrcEPG           DstEPG          SrcMAC            DstMAC         Node   SrcIntf   vlan
––––––––– ––––––––– ––––––––––––––––  –––––––––––––-  ––––––––––––––––––-  –––––––––––––––––-   –––––   –––––––––  ––––––
 32773    49153   uni/tn-TSW       uni/tn-TSW  00:00:11:00:00:11  11:00:32:00:00:33   101     port-     2
                  _Tenant0/ap-     _Tenant0/ap-                                               channel8
                  tsw0AP0/epg-     tsw0AP0/epg-
                  tsw0ctx0BD0epg5  tsw0ctx0BD0epg6 

ステップ 3

次に show acllog permit l3 pkt tenant <tenant name> vrf <vrf name> [detail] コマンドを使用して、送信された共通 VRF ACL レイヤ 3 許可パケットに関する詳細情報を表示する例を示します。

apic1# show acllog permit l3 pkt tenant common vrf default detail acllog permit l3 packets detail:
srcIp      : 10.2.0.19
dstIp      : 10.2.0.16
protocol   : udp
srcPort    : 13124
dstPort    : 4386
srcIntf    : port-channel5
vrfEncap   : VXLAN: 2097153
pktLen     : 112
srcMacAddr : 00:00:15:00:00:28
dstMacAddr : 00:00:12:00:00:25
timeStamp  : 2015-03-17T21:31:14.383+00:00

ステップ 4

次に show acllog permit l2 pkt tenant <tenant name> vrf <vrf name> srcintf <s interface> コマンドを使用して、インターフェイス port-channel15 から送信されたデフォルトのVRFレイヤ 2 パケットに関する情報を表示する例を示します。

apic1# show acllog permit l2 pkt tenant common vrf default srcintf port-channel5         
acllog permit L2 Packets 
      Node          srcIntf       pktLen     timeStamp    
 --------------  --------------  --------  -------------- 
                 port-channel5      1      2015-03-17T21: 
                                           31:14.383+00:00