Network
Cisco ACI において、CLI から EPG や VRF を特定する場合、各々以下の識別子を用います。 EPG … pcTag (または Class ID) VRF … VNID (または scope)
Unofficial ACI Guide は参考になる情報がたくさん掲載されています。 こちらに ACI Best Practice Configurations という記事がありますが、著者ご本人に翻訳の許可を頂いたので日本語に意訳してみました (Thank you, Jody!)。
以前に Cisco ACI のイベントをリアルタイムで検知する Node.js サンプルスクリプト というメモを書きました。 このメモの Python バージョンを作ったので、改めてメモしておきます。
Cisco ACI で Contract Preferred Groups を使うと EPG を優先グループ / 非優先グループに分けることが出来ます。 Preferred Group 設定には「include」と「exclude」があり、各々以下のように「通信する際に Contract を必要とするか？ 否か？」という違い…
Cisco ACI で ExtEpg (External EPG) と AppEpg (Application EPG) を Contract した場合に作成される Zoning-Rule は AppEpg 同士を Contract した場合と、特に変わりありません。 今回は実際に ExtEpg と AppEpg を Contract し、作成される Zoning-Rule …
Cisco ACI では Quota 設定を行うことにより、「特定のオブジェクトの作成上限数を制限する」ことが可能です。
Cisco ACI ではログインバナーをカスタマイズすることが可能です。 設定は System → System Settings → System Alias and Banners から実施することが可能です。 今回はバージョン 5.0(2h) 環境で「何を設定すると → どこに反映されるか？」を確認してみまし…
Cisco ACI では Policy CAM の消費量は「SrcEPG 数 x DstEPG 数 x Filter Entry 数 x 1 (both direction なら 2)」で算出出来る、とされています。 ですが、Filter Entry は TCP/UDP のポートを Range (範囲) 設定することが可能です。 幾つかのパターンで R…
Cisco ACI で EPG 間の通信許可/拒否ルールを定義するには Contract 設定が必要になります。 Contract は「Contract → Subject → Filter」という三階層構造を取ります。 Contract の配下に作成する Subject には以下、ふたつの設定が存在します。 Apply Both…
Cisco ACI では Contract に同じ接続をする EPG が複数存在する場合、Master と呼ばれる「親 EPG」を作成し、「子 EPG」からは Master を参照させる、という機能があります。 この機能は EPG Contract Inheritance と呼ばれています。 EPG Contract Inherita…
Cisco ACI では同一 VRF 内での通信時に「Contract 設定が必要か？」「不必要か？」を定義する Policy Control Enforcement Preference という設定があります。 この設定はプライベート ネットワークの設定パラメータ に下記と記載されています。 Policy Con…
Cisco ACI に関する情報を読んでいると「EPG 同士は Contract されていない限り、通信出来ない」という記載を目にすることがあります。 VRF の Policy Control Enforcement Preference 設定が Unenforced で無い限り、この記載は概ね正しいのですが、厳密に…
Cisco ACI で TCAM (Policy CAM) の使用状況を確認するには GUI の Capacity Dashboard から確認するのが簡単ですが CLI から確認することも出来ます。 今回は 5.0(2h) 環境で確認してみます。 おそらく ACI 4.0 以前や第一世代 Leaf では見え方・確認コマン…
以前に Cisco ACI で Policy CAM の利用状況を確認する というメモを書きました。 ACI では (個々の EPG に対してでは無く) VRF 全体に対して Contract を設定する、いわゆる「vzAny」と呼ばれている設定方法があります。 今回は vzAny を利用した場合の Pol…
従来の機器でも「ACL を設定すると TCAM 領域を消費」すると思います。 Cisco ACI でも ACI に相当する「Contract」を設定すると TCAM (Policy CAM) を消費していきます。 スイッチごとの最大 Policy CAM 数は概ね、以下の要素で決定されます。 スイッチの型…
Cisco ACI において、EPGへのDomainマッピング時のパラメータについて で言及されているように EPG へ Domain を設定する際、Deployment や Resolution といった設定があります。 ACI 5.x 系時点で VMM Domain には以下の設定があります。 今回は VMM Domain…
Cisco ACI では GUI / CLI など設定方法を問わず、__ui で始まる設定名を利用すると、GUI 上で該当の設定が表示されないようです??
Cisco ACI では通信させたい EPG 同士を Contract で接続するのが基本です。 しかし、Contract へ接続していても、例外設定をすることで指定した EPG を「Contract 制御の対象外」にすることが出来ます。 今回は 5.0(2h) で検証を実施しました。 尚、今回は …
Cisco ACI で通信の許可 / 拒否を制御するには Contract を利用しますが、特に「拒否」を制御するには Taboo Contract を利用する方法があります。 しかし、Taboo Contract は「必ず Provider 側にしか設定出来ない」や「特定の EPG との間にだけ、設定する…
Cisco ACI で通常、AppEpg より「先に」ルーティングさせることは出来ません。 ですが、AppEpg Subnet に Behind Subnet を作成することで「AppEpg より先にあるネットワーク」へ通信させることが出来ます。
従来のスイッチデバイスであれば、一時的に通信を行えないようにしたい場合は「SVI を Shutdown する」という手法が取れました。 Cisco ACI の場合、近い手法として以下が考えられます。 AppEpg を Shutdown する BD Subnet で No Default SVI Gateway を設…
Cisco ACI は GUI や REST API など、様々な方法で設定することが出来ます。 今回は CLI で設定する方法をメモしておきます。 尚、実際の検証は 5.0(2h) で行いました。 設定モードへの移行方法 Tenant VRF BD (Bridge Domain) BD Subnet Application Profil…
Cisco ACI において、異なる VRF 間で Route Leak する設定方法をメモしておきます。
CML 上の IOSv で BSR 構成でマルチキャストを設定したサンプルコンフィグをメモしておきます。 尚、CML へインポート可能な構成ファイルは GitHub にアップロードしてあります。
CML 上の IOSv で Auto RP 構成でマルチキャストを設定したサンプルコンフィグをメモしておきます。 尚、CML へインポート可能な構成ファイルは GitHub にアップロードしてあります。
CML 上の IOSv で Static RP 構成でマルチキャストを設定したサンプルコンフィグをメモしておきます。 尚、CML へインポート可能な構成ファイルは GitHub にアップロードしてあります。
Cisco CML では初期状態で Cisco Nexus 7000 シリーズ相当の NX-OSv と Cisco Nexus 9000 シリーズ相当の NX-OS 9000 を利用することが出来ます。 NX-OS 系では各機能を利用する前に予め feature コマンドで該当機能を有効化しておく必要があります。 NX-OSv…
VIRL でも可能だったパケットキャプチャ機能ですが、CML でも可能です。 しかし、GUI から直接キャプチャファイル (.pcap や .pcapng) からダウンロードすることは出来なくなりました。
以前に VIRL などで検証する際によく使う設定をメモしておきました。 Cisco VIRL でよく使う「検証用コンフィグ・テンプレート」 Cisco へ SSH ログイン出来るようにするには（IOSv / XRv / CSR1000v / NX-OSv / ASAv） IOS へ公開鍵認証方式を使い、パスワ…
VIRL 同様、CML でもノードの起動前に予め設定を行っておくことが出来ます。
