本文档介绍修复以下思科以应用为中心的基础设施(ACI)VMware Virtual Machine Manager(VMM)集成故障的后续步骤:故障F606347(VM控制器上的端口组添加或删除失败)、故障F606350(分布式虚拟交换机上的LACP Lag策略更新失败)和故障F606391(在主机上找不到物理适配器的链路层发现协议/思科发现协议邻接信息)。
在使用ACI VMM域与VMware vCenter和分布式虚拟交换机(DVS)集成的交换矩阵中会出现这些故障。ACI通过vCenter API持续将策略(包括端口组生命周期、链路汇聚控制协议(LACP)延迟策略和物理上行链路拓扑)与DVS同步。当同步失败或缺少先决条件发现信息时,ACI会引发这些故障,以显现条件供操作员检查。
当ACI无法作为EPG到VMM域策略同步的一部分在VM控制器(例如VMware vCenter)上添加或删除端口组时,会引发此故障。当EPG与VMM域关联或从VMM域取消关联时,APIC会指示VM控制器在分布式虚拟交换机(DVS)上创建或删除相应的端口组。 如果管理此操作的有限状态机(FSM)未成功完成,ACI将在受影响的VMM域控制器对象上引发故障F606347。
"Code" : "F606347", "Description" : "[FSM:FAILED]: Addition or Deletion of Port Group for: (uni/tn-<TENANT>/ap-<APP-PROFILE>/epg-<EPG>) Tenant: <TENANT> associated with either EPG:(Ap: <APP-PROFILE> Epg: <EPG>) or Services:(LDevInst: EPpInfo: ) on VM Controller: <VMC> VM Domain: <VMM-NAME> VM Provider: <VM-Provider>, failed with error: (TASK:ifc:vmmmgr:CompEpPDAddorDelExtPol)", "Dn" : "uni/vmmp-<VM-Provider>/dom-<VMM-NAME>/ctrlr-[<VMC>]/fault-F606347"
此故障通常由ACI版本和VM控制器版本之间的通信或兼容性问题引起。联系思科技术支持中心(TAC)之前,请完成以下步骤。
端口组操作通过vCenter API执行。如果APIC无法到达VM控制器,FSM将超时并引发故障。
apic1# show vmware domain name成功的HTTPS响应确认APIC可以向vCenter进行身份验证。连接失败或身份验证错误表示在端口组操作成功之前必须解决网络或凭证问题。| grep " Leader" <VMM-NAME> apic2 Leader apic2# pingPING <VC-IP> (<VC-IP>) 56(84) bytes of data. 64 bytes from <VC-IP>: icmp_seq=1 ttl=63 time=0.312 ms ^C apic2# curl -k -X POST -H 'Accept: application/json' --basic \ -u @vsphere.local: \ https:// /rest/com/vmware/cis/session
在VMM域中配置的vCenter帐户必须有效,并且必须具有在DVS上创建和删除端口组的足够权限。
ACI软件版本和VM控制器版本之间的不兼容可能导致端口组API调用以静默方式失败,或返回APIC FSM无法从中恢复的意外错误。
apic# moquery -c faultInst -x 'query-target-filter=eq(faultInst.code,"F606347")'输出中的description字段包含FSM错误详细信息,包括VM控制器名称、VM域、VM提供程序以及触发操作的EPG。使用此信息将调查范围缩小到所涉及的特定EPG和VMM域。
如果完成上述步骤后故障仍未清除,请收集以下信息并向Cisco TAC提交案例:
moquery输出的完整故障DN和说明文本。当EPG与VMM域关联时,ACI会通过vCenter API对DVS上的相应端口组进行编程。有限状态机(FSM)任务CompEpPDAddorDelExtPol管理此生命周期操作。FSM尝试添加或删除端口组,并转换到一组状态。如果任何状态转换失败(例如,由于vCenter返回的API错误、超时或身份验证失败),则FSM标记为FAILED,并且在受影响的VM控制器的vmmCtrlr对象上引发故障F606347。
常见的故障场景包括:
当ACI尝试通过vCenter API在DVS上更新LACP延迟策略且操作失败时,会引发此故障。ACI将LACP配置作为VMM域策略同步的一部分推送到DVS,尤其是当LACP策略与连接到DVS的VMM域相关联时。当无法应用更新时,ACI在受影响的枝叶节点上引发故障F606350。
"Code" : "F606350", "Description" : "Updating LACP Lag Policy at DVS failed.", "Dn" : "topology/pod-<podId>/node-<leafNodeId>/local/svc-policyelem-id-0/uni/epp/fv-[uni/vmmp-VMware/dom-<domainName>]/node-<leafNodeId>/stpathatt-[<interface>]/conndef/conn-[<vxlan>]-[0.0.0.0]/fault-F606350"
ACI将自动重试此任务。APIC和vCenter之间的瞬时vCenter API延迟或瞬时连接中断可能导致此故障的单个实例。在许多情况下,重试成功,故障自行清除。
如果您观察到反复或持续的故障,请在联系思科技术支持中心(TAC)之前采取以下步骤:
apic1# show vmware domain name shared-dvs | grep " Leader"
shared-vc apic2 Leader
apic2# nslookup
apic2# ping
PING () 56(84) bytes of data.
64 bytes from : icmp_seq=1 ttl=63 time=0.237 ms
64 bytes from : icmp_seq=2 ttl=63 time=0.406 ms
^C
--- ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 0.237/0.321/0.406/0.084 ms
apic2# curl -k -X POST -H 'Accept: application/json' --basic -u @vsphere.local: https:///rest/com/vmware/cis/session > cookie.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
100 408 0 408 0 0 1393 0 --:--:-- --:--:-- --:--:-- 1397
ACI VMM集成使用vCenter API代表交换矩阵对DVS配置进行编程。当LACP策略与VMM域接口策略组(infraAccPortGrp)关联时,ACI会将该策略转换为DVS LACP组配置并将其推送到vCenter。推送操作可能会由于以下原因失败:
当ACI在VMM域管理的主机上找不到物理网络适配器(vmnic)的链路层发现协议(LLDP)或思科发现协议(CDP)邻接信息时,会引发此故障。ACI使用LLDP或CDP来发现哪个枝叶交换机端口物理连接到主机上的每个vmnic。如果没有此邻接信息,ACI无法将VM流量从DVS正确映射到对应的枝叶端口,这会影响该主机上虚拟机的策略部署和终端学习。
"Code" : "F606391", "Description" : "LLDP/CDP Adjacency information not found for physical adapters on the host.", "Dn" : "topology/pod-<podId>/node-<leafNodeId>/local/svc-policyelem-id-0/uni/epp/fv-[uni/vmmp-VMware/dom-<domainName>]/node-<leafNodeId>/stpathatt-[<interface>]/conndef/conn-[<vxlan>]-[0.0.0.0]/fault-F606391"
此故障需要在路径中的三个点手动验证LLDP或CDP配置:vCenter中的DVS、ESXi主机和物理枝叶交换机。请按顺序完成以下步骤。
DVS发现协议设置控制DVS是否通告和侦听LLDP或CDP帧,这些协议是互斥的,如ACI VMM故障排除指南中所述。如果禁用或设置为仅通告,则APIC无法从vCenter读取邻接信息。
连接到主机(或主机所连接的上游接入交换机)的枝叶交换机接口必须启用LLDP或CDP。在ACI中,LLDP和CDP由应用于相关端口上使用的接口策略组的接口策略控制。
leaf101# show lldp neighbors输出列出了每个接口及其发现的邻居。主机的vmnic或上游接入交换机必须出现在预期接口的邻居表中。如果输出中缺少接口,则枝叶不会在该端口上接收LLDP帧,这表明LLDP在上游被阻止或在连接的设备上被禁用。
leaf101# show cdp neighbors主机或上游交换机必须出现在预期接口的输出中。
如果主机vmnic连接到中间物理接入交换机(不直接连接到ACI枝叶),则必须通过交换机转发LLDP或CDP帧才能到达枝叶。在中间交换机上验证以下内容:
更改配置后,验证APIC现在能够解析主机的物理上行链路拓扑。在APIC GUI中,导航到VM Networking > VMware > [DVS Domain] > [DVS Name] > Hosts > [Host Name] > Physical Interfaces,并确认Discovered字段显示每个vmnic的枝叶端口。如果邻接关系已正确解决,故障将自动清除。
您还可以查询APIC REST API以检查特定VMM域的邻接对象:
apic# moquery -c compHv -x 'query-target-filter=eq(compHv.name,"hostname")'
该对compHv象表示VMM域内的虚拟机监控程序主机。相关compNic对象代表物理适配器。解析邻接关系时,peerDn对象的compNic属性会填充相应枝叶接口的DN。
如果在验证以上所有三个配置点后未清除故障,请收集APIC技术支持文件并联系思科TAC。
ACI VMM集成使用vCenter API检索vCenter从DVS收集的LLDP和CDP邻居数据。APIC读取此数据,以构建主机vmnic连接到哪个枝叶端口的映射。此映射用于:
当缺少邻接信息时,ACI会引发故障F606391,表明它无法验证受影响主机的物理拓扑。虚拟机连接可能仍然可以在过渡期间正常工作(故障不会立即中断数据转发),但策略部署准确性和终端学习可靠性会降低。
要防止故障F606391在解决后重新出现,请执行以下操作:
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
04-May-2026
|
初始版本 |