以前に ACI で DHCP Relay を設定する というメモを書きました。 Bridge Domain にひとつしか Subnet を設定していない場合は問題が無いのですが、複数の Subnet を設定する場合は様々な注意が必要です。 そのひとつに「BD に複数 Subnet が設定されていても、DHCP Relay 可能なネットワークはひとつだけ」という点が挙げられます。 ACI では BD Subnet を作成した場合、デフォルトでは Make this IP address primary はチェックされていません。
以前に Cisco ACI で TEP アドレス範囲を決める際の注意点 というメモを書きました。 実は (？) TEP アドレスは Node Management Address と重複することが出来ません。 これは In-Band / Out-of-Band 関係無く、APIC / Switch 関係無く、一律に「重複不可」です。
Cisco ACI 環境では APIC や Switch を OoB (Out-of-Band ) から管理しているケースが多いかもしれませんが、設定すれば InB (In Band) 側から管理することも可能です。 今回は 5.0(2h) での設定手順をメモしておきます。
Cisco ACI 初期状態でのリソース使用状況は以下の通りです。 今回は 5.0(2h) 環境で確認しました。
Cisco ACi でベアメタルサーバ (物理サーバ) を収容する場合、一般的には以下の設定が必要です。
AEP → Domain → VLAN Pool で設定し、その AEP が最終的に Interface Profile や Switch Profile から参照されるように関連付けるTenant の Application EPG 設定で、Domains に 1. で定義した Domain を設定するTenant の Static Ports 設定で、ベアメタルサーバを収容する物理ポートを定義するしかし、デフォルトの状態では上記の 2. (Application EPG の Domains 設定) を省略しても通信出来てしまいます。 但し、この場合は「Domain が未設定」という、下記の Fault が表示されます。
Cisco ACI では Web UI 上であれば System → Active Sessions から現在、ログイン中のユーザを確認することが出来ます。
CLI であれば APIC 上から show aaa sessions を実行することで同じ情報を確認することが出来ます。
Cisco ACI 環境において、Contract が設定されていれば、などが設定あれ、Filter 上も許可されていれば Ping による疎通が確認出来るはずです。 これを図解すると以下のようになります。
Cisco ACI では VLAN ID の重複する Domain を同一に Epg に設定するとトラフィック処理上、問題が発生しますが、設定自体は出来てしまいます。 Enforce EPG VLAN Validation という設定を有効化することで、そもそもこういった「問題のある構成」を設定出来なくすることが可能です。 この設定については Validating Overlapping VLANs に説明があります。 今回はこの設定についてメモします。
従来からある Cisco IOS でもコンフィグを世代管理することは可能です。 コンフィグの世代管理を行う場合、コンフィグ保存専用のディレクトリを作成した方が管理が簡単なので、予めディレクトリを作成しておきます。
Cisco ACI のドキュメント のうち、Verified Scalability Guide は一般的なスケーラビリティの検証値・上限値などについて言及されたドキュメントです。 このドキュメントの General Scalability Limits で EPG 数 (Number of endpoint groups (EPGs)) は L3 Fabric と Large L3 Fabric の両方で以下と記載されています。
For a fabric with a single Tenant: 4,000
For a fabric with multiple Tenants: 500 per Tenant, up to 15,000 total across all Tenants
今回は ACI バージョン 5.0(2h) 環境で EPG を多数設定して、「設定出来るか？」「Fault は表示されるか？」と言った点をウォッチしてみました。