了解ACI实施域验证
简介
本文档介绍实施域验证设置及其优点。
实施域验证说明
默认情况下，Enforce Domain Validation（实施域验证）未启用，因此，如果EPG配置了静态{port， VLAN}，其中不存在包含此VLAN的域，则会发生以下情况：
- 以应用为中心的基础设施(ACI)引发故障F0467“Configuration failed for <path> due to Invalid Path Configuration”。
- Vlan部署在接口上。
- 流量会在特定接口上转发。
此错误配置可以通过实施域验证来防止。
注意：未经适当尽职调查，请勿在现有交换矩阵上启用此功能。
启用此功能后，无法禁用它。 即使现有配置不正确，它们也能正常工作。启用之前，请确保验证到EPG和关联AEP的域分配。
实施域验证：禁用（默认行为）
APIC CLI实施域验证验证。默认状态表示域验证已禁用。
APIC# moquery -c infraSetPol | egrep"domainValidation"
domainValidation : no
假设encap vlan 420未绑定到与EPG关联的域/AEP。Vlan 420仍部署在预期接口上。
leaf# show vlan encap-id 420 extended
VLAN Name Encap Ports
---- -------------------------------- ---------------- ------------------------
1 lc_TN:lc_APP:lc_EPG vlan-420 Eth1/13
部署用于EPG和BD的独立平台(PI)Vlan(1,19)，并允许它们在预期接口上建立中继。
"
VLAN Name Encap Ports
---- -------------------------------- ---------------- ------------------------
1 lc_TN:lc_APP:lc_EPG vlan-420 Eth1/13
19 lc_TN:lc_BD vxlan-16416666 Eth1/13
BD和EPG的VLAN部署在预期接口上。
leaf# show int eth 1/13 trunk | grep -A Allowed
Port Vlans Allowed on Trunk
-----------------------------------------------------------------------------------
Eth1/13 1,19
实施域验证：已启用
如果启用了Enforce Domain Validation（实施域验证），则可以在EPG上创建静态路径，其VLAN ID未链接到各自的访问策略路径。交换矩阵引发故障，接口上未对VLAN进行编程。
APIC GUI Enforcing Domain Validation verification System > System Settings > Enforce Domain Validation。
已启用实施域验证
确认验证警告
实施后，无法取消实施域验证
启用设置后，该选项将灰显，因此您无法撤消操作。
APIC CLI：实施域验证验证
APIC# moquery -c infraSetPol | egrep "domainValidation"
domainValidation : yes
仅当必须将策略下载到交换机时，此验证才会对现有配置生效。
通常，这可能发生在交换机升级、全新重新加载或配置快照/备份恢复期间。
全新重新加载步骤示例：
leaf# acidiag touch clean
This command can wipe out this device, Proceed? [y/N] y
leaf# reload
This command can reload the chassis, Proceed (y/n)? [n]: y
最初部署的VLAN 420此时不在预期的接口上。
leaf# show int eth 1/13 trunk | grep -A 2 Allowed
Port Vlans Allowed on Trunk
-----------------------------------------------------------------------------------
Eth1/13 none
启用域验证被视为最佳实践，因此一旦启用，便没有恢复更改的选项。
POSTMAN API显示post更改设置不成功。
请求域验证是一次性操作。不允许进一步更改。
由于此设置不是初始版本期间的默认设置，将来对默认设置的任何强制更改都可能导致配置不正确失败，从而导致中断。
因此，该设置可由用户配置。
故障排除
对于缺少访问策略关联的受影响EPG，将引发故障F0467。
有关如何进行故障排除，请参阅本文的快速入门隔离。
相关信息
- 地址ACI故障代码F0467: invalid-vlan， invalid-path， encap-already-in-use
- 设置ACI交换矩阵：初始设置配置示例>系统设置
- 思科以应用为中心的基础设施(ACI)设计指南> EPG域验证
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
2.0 |
03-Dec-2023 |
更新的VLAN 420。 |
1.0 |
01-Dec-2023 |
初始版本 |
反馈