简介
本文档介绍如何在以应用为中心的基础设施(ACI)中配置和验证主用/主用L1服务图。
先决条件
要求
Cisco 建议您了解以下主题:
- 了解第3层服务图在ACI中如何工作
- 了解如何在ACI中配置终端策略组、桥接域和合同
使用的组件
本文档中的信息基于以下软件和硬件版本:
- APIC版本:5.3(2a)
- 枝叶硬件:N9K-C93180YC-FX、N9K-C93180YC-EX
- 枝叶软件:n9000-15.3(2a)
- 枝叶节点101、102、103、104
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您的网络处于活动状态,请确保您了解任何命令的潜在影响
拓扑

本文档中未显示EPG1和EPG2配置,必须在手前对其进行配置,且必须学习终端。
1.验证EPG1已获ș知的终端192.168.132.100(节点101)。

2.验证EPG2是否已获知终端192.168.132.200(节点104)。

为什么ACI中需要L1服务图?
在思科ACI中,您可以将L4-L7服务设备插入为L3/L2/L1。第3层表示外部设备能够执行路由决策来转发流量,而第2层表示仅根据MAC地址转发流量。在ACI中,您可以插入第2层设备,例如入侵防御系统(IPS)/透明防火墙。现在想象一下以下场景:您要重定向流量的设备无法做出任何转发决策,因此,在这些情况下,您可以部署L1策略型路由(PBR)。
流量转发对于L3和L2 PBR情况是相同的,唯一的区别是,L3 PBR流量被重定向到IP地址,而L1/L2 PBR流量被重定向到MAC地址。这些MAC地址被静态绑定到枝叶接口以用于转发。您会进一步看到这方面的更多内容。
有关主用/备用或主用/主用L1/L2 PBR使用案例的详细信息,请参阅链路;PBR白皮书。
关于L1设备
在此部署模式中,不会在服务设备上执行VLAN转换,并且其两个接口在同一个VLAN上运行。此方法通常称为内联模式或有线模式,通常用于防火墙和入侵防御系统(IPS)。 当期望服务设备在不参与第2层或第3层转发的情况下执行安全功能时,它非常理想。
主用/主用L1 PBR
从ACI版本5.0开始,支持在主用/主用模式下部署具有第4-7层设备的服务图。这可以通过为每个L4-L7设备接口(具体接口)分配唯一的封装并利用在隐藏服务EPG上自动配置“封装中泛洪”(Flood in encap)的ACI来实现。此隐藏服务EPG由ACI创建,以将L4-L7设备接口与服务网桥域相关联。
管理员无需手动配置隐藏的服务EPG,因为ACI会在服务图形呈现过程中自动启用“Flood in encap”。
对于L1 PBR主用 — 主用部署,必须配置端口本地范围。这要求将L4-L7设备的消费者和提供商群集接口(连接器)置于单独的物理域中,每个域都有自己的VLAN池,同时在两个域中保持相同的VLAN范围。
参考:PBR白皮书。
L1服务图的配置
必须启用单播路由,L2未知单播必须设置为Hardware proxy,cons和prov网桥域不需要子网。
步骤1.配置名为cons_bd1的使用者网桥域。

步骤2.配置名为prov-bd1的提供程序网桥域。


第3步:使用SLA类型L2Ping配置IP服务级别协议(SLA)策略。
导航到Tenant > Policies > Protocol > IP SLA > IP SLA Monitoring Policies,然后右键点击并创建策略。

步骤4.配置第4/7层设备。
导航到租户>服务>设备,然后右键单击并创建L4-L7设备。

注意:对于L1设备,对于端口本地范围,每个集群接口必须位于不同的物理域中。
步骤5.为内部和外部接口配置基于L4-L7策略的重定向。
导航到Tenant > Policies > Protocol > L4-L7 Policy based redirect,然后右键单击并创建策略。
++策略名称在内部
++我们有两个L1目的地,每个L1设备对应一个

++策略名称外部
++我们有两个L1目的地,每个L1设备对应一个

注意:两个L4-L7重定向策略的阈值关闭操作必须相同。
步骤6.配置Service graph模板。
导航到Tenant > Services > Service Graph Template,然后右键单击并创建L4-L7服务图模板。

步骤7.创建合同。
导航到租户>合同>标准,然后右键单击并创建合同。

步骤8.将合同作为消费者和提供商分别应用于EPG1和EPG2。

步骤9.应用L4-L7服务图模板。
导航到Tenant > Services > Service Graph Template,然后右键点击PBR1并应用L4-L7服务图模板。

++添加消费者和提供商EPG
++指定合同

++击“下一步”
++指定使用者连接器详细信息

++指定提供程序连接器详细信息

++单击“完成”
在APIC GUI上验证L1服务图
步骤1.验证应用服务图模板后创建的设备选择策略。
++验证消费者连接器

++配置提供商连接器

步骤2.验证部署的图形实例,您将在其中看到一个实例,该实例必须处于已应用状态。

++检查设备接口和功能连接器,您将在其中看到与服务EPG关联的PCTAG

在APIC CLI上验证L1服务图
步骤1.验证服务图是否与运行状况组状态一起应用于消费者和提供商节点。
apic01# fabric 101,104 show service redir info
----------------------------------------------------------------
Node 101
----------------------------------------------------------------
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
List of Dest Groups
GrpID Name destination HG-name BAC operSt operStQual TL TH HP TRAC RES
===== ==== =========== ============== === ======= ============ === === === === ===
10 destgrp-10 dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] l1_pbr_tenant::HG1 N
2 destgrp-2 dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] l1_pbr_tenant::HG1 N enabled no-oper-grp 51 100 sym yes no
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] l1_pbr_tenant::HG2 N
List of destinations
Name bdVnid vMac vrf operSt operStQual HG-name
==== ====== ==== ==== ===== ========= =======
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:99:99 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:66:66 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
List of Health Groups
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
l1_pbr_tenant::HG1 enabled dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369]] up
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369]] up
l1_pbr_tenant::HG2 enabled dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369]] up
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369]] up
----------------------------------------------------------------
Node 104
----------------------------------------------------------------
=======================================================================================================================================
LEGEND
TL: Threshold(Low) | TH: Threshold(High) | HP: HashProfile | HG: HealthGrp | BAC: Backup-Dest | TRA: Tracking | RES: Resiliency
=======================================================================================================================================
List of Dest Groups
GrpID Name destination HG-name BAC operSt operStQual TL TH HP TRAC RES
===== ==== =========== ============== === ======= ============ === === === === ===
3 destgrp-3 dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] l1_pbr_tenant::HG1 N
4 destgrp-4 dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] l1_pbr_tenant::HG2 N enabled no-oper-grp 51 100 sym yes no
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] l1_pbr_tenant::HG1 N
List of destinations
Name bdVnid vMac vrf operSt operStQual HG-name
==== ====== ==== ==== ===== ========= =======
dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:66:66 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369] vxlan-15794150 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:77:77 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG2
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369] vxlan-16252846 10:B3:D5:14:99:99 l1_pbr_tenant:l1_pbr_vrf enabled no-oper-dest l1_pbr_tenant::HG1
List of Health Groups
HG-Name HG-OperSt HG-Dest HG-Dest-OperSt
======= ========= ======= ==============
l1_pbr_tenant::HG1 enabled dest-[2958:ddd3:6eda:4ede:8bb4:1b66:8b19:1eb4]-[vxlan-2490369]] up
dest-[8301:bb59:e940:4233:81c6:e007:437e:45f]-[vxlan-2490369]] up
l1_pbr_tenant::HG2 enabled dest-[476f:9be9:5aab:4454:a5d6:8c9e:7017:61eb]-[vxlan-2490369]] up
dest-[d438:790d:6fdb:4485:bab7:197d:ef61:9a59]-[vxlan-2490369]] up
步骤2.验证是否已在服务节点(102和103)上创建静态MAC绑定。
apic01# fabric 102-103 show endpoint vrf l1_pbr_tenant:l1_pbr_vrf
----------------------------------------------------------------
Node 102
----------------------------------------------------------------
Legend:
S - static s - arp L - local O - peer-attached
V - vpc-attached a - local-aged p - peer-aged M - span
B - bounce H - vtep R - peer-attached-rl D - bounce-to-proxy
E - shared-service m - svc-mgr
+-----------------------------------+---------------+-----------------+--------------+-------------+
VLAN/ Encap MAC Address MAC Info/ Interface
Domain VLAN IP Address IP Info
+-----------------------------------+---------------+-----------------+--------------+-------------+
23/l1_pbr_tenant:l1_pbr_vrf vlan-1310 10b3.d514.7777 LS eth1/6
24/l1_pbr_tenant:l1_pbr_vrf vlan-1301 10b3.d514.9999 LS eth1/5
----------------------------------------------------------------
Node 103
----------------------------------------------------------------
Legend:
S - static s - arp L - local O - peer-attached
V - vpc-attached a - local-aged p - peer-aged M - span
B - bounce H - vtep R - peer-attached-rl D - bounce-to-proxy
E - shared-service m - svc-mgr
+-----------------------------------+---------------+-----------------+--------------+-------------+
VLAN/ Encap MAC Address MAC Info/ Interface
Domain VLAN IP Address IP Info
+-----------------------------------+---------------+-----------------+--------------+-------------+
40/l1_pbr_tenant:l1_pbr_vrf vlan-1310 10b3.d514.7777 LS eth1/6
1/l1_pbr_tenant:l1_pbr_vrf vlan-1301 10b3.d514.6666 LS eth1/5
流量验证
1.正在从EP1到EP2生成2000 ICMP ping数据包,这些数据包将被重定向到L1设备。
switch1# ping 192.168.132.200 vrf l1_pbr1 count 2000 >>>>> sending 2000 packets
64 bytes from 192.168.132.200: icmp_seq=464 ttl=251 time=0.859 ms
64 bytes from 192.168.132.200: icmp_seq=465 ttl=251 time=0.872 ms
64 bytes from 192.168.132.200: icmp_seq=466 ttl=251 time=0.844 ms
64 bytes from 192.168.132.200: icmp_seq=467 ttl=251 time=0.821 ms
64 bytes from 192.168.132.200: icmp_seq=468 ttl=251 time=0.814 ms
64 bytes from 192.168.132.200: icmp_seq=469 ttl=251 time=0.846 ms
64 bytes from 192.168.132.200: icmp_seq=470 ttl=251 time=0.863 ms
64 bytes from 192.168.132.200: icmp_seq=471 ttl=251 time=0.819 ms
64 bytes from 192.168.132.200: icmp_seq=472 ttl=251 time=0.802 ms
64 bytes from 192.168.132.200: icmp_seq=473 ttl=251 time=0.851 ms
64 bytes from 192.168.132.200: icmp_seq=474 ttl=251 time=0.815 ms
2.验证节点102和103上连接到L1设备的接口计数器。
apic01# fabric 102-103 show interface ethernet 1/5-6 | grep "Node\|Ethernet\|RX\|packets\|TX"
Node 102
Ethernet1/5 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: 10b3.d5c5.8f25 (bia 10b3.d5c5.8f25)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
2008 unicast packets 2 multicast packets 0 broadcast packets >>>>>2000 packets recieved from L1 device
2010 input packets 213180 bytes
0 jumbo packets 0 storm suppression bytes
TX
2009 unicast packets 1 multicast packets 0 broadcast packets >>>>> 2000 packets transmitted towards L1 device
2010 output packets 213003 bytes
0 jumbo packets
Ethernet1/6 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: 10b3.d5c5.8f26 (bia 10b3.d5c5.8f26)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
9 unicast packets 2 multicast packets 0 broadcast packets
11 input packets 1286 bytes
0 jumbo packets 0 storm suppression bytes
TX
9 unicast packets 1 multicast packets 0 broadcast packets
10 output packets 1003 bytes
0 jumbo packets
Node 103
Ethernet1/5 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: a453.0e75.9a85 (bia a453.0e75.9a85)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
2009 unicast packets 1 multicast packets 0 broadcast packets >>>>> 2000 packets recieved from L1 device
2010 input packets 213003 bytes
0 jumbo packets 0 storm suppression bytes
TX
2008 unicast packets 1 multicast packets 0 broadcast packets >>> 2000 packets transmitted towards L1 device
2009 output packets 212897 bytes
0 jumbo packets
Ethernet1/6 is up
Hardware: 100/1000/10000/25000/auto Ethernet, address: a453.0e75.9a86 (bia a453.0e75.9a86)
30 seconds input rate 0 bits/sec, 0 packets/sec
30 seconds output rate 64 bits/sec, 0 packets/sec
RX
9 unicast packets 1 multicast packets 0 broadcast packets
10 input packets 1003 bytes
0 jumbo packets 0 storm suppression bytes
TX
9 unicast packets 1 multicast packets 0 broadcast packets
10 output packets 1003 bytes
0 jumbo packets
注意:在测试流量之前,已清除节点102和103上的接口计数器。