Cisco ACI では通常、同一 EPG に所属している EndPoint 同士は通信出来てしまいます。 従来のネットワークで言うところの「Private VLAN」と近い感覚で「同一 EPG に所属する EndPoint 同士の通信を 拒否する」には Intra EPG Isolation の設定を行います。 今回は 5.0(2h) 環境で Intra EPG Isolation 無効時 / 有効時を比較してみました。
Cisco ACI で BD を作成した場合、デフォルトでは Multi Destination Flooding という設定が Flood in BD という設定になっています。 今回は 5.0(2h) で検証しました。
以前に ACI で DHCP Relay を設定する というメモを書きました。 Bridge Domain にひとつしか Subnet を設定していない場合は問題が無いのですが、複数の Subnet を設定する場合は様々な注意が必要です。 そのひとつに「BD に複数 Subnet が設定されていても、DHCP Relay 可能なネットワークはひとつだけ」という点が挙げられます。 ACI では BD Subnet を作成した場合、デフォルトでは Make this IP address primary はチェックされていません。
以前に Cisco ACI で TEP アドレス範囲を決める際の注意点 というメモを書きました。 実は (？) TEP アドレスは Node Management Address と重複することが出来ません。 これは In-Band / Out-of-Band 関係無く、APIC / Switch 関係無く、一律に「重複不可」です。
Cisco ACI 環境では APIC や Switch を OoB (Out-of-Band ) から管理しているケースが多いかもしれませんが、設定すれば InB (In Band) 側から管理することも可能です。 今回は 5.0(2h) での設定手順をメモしておきます。
Cisco ACI 初期状態でのリソース使用状況は以下の通りです。 今回は 5.0(2h) 環境で確認しました。
Cisco ACi でベアメタルサーバ (物理サーバ) を収容する場合、一般的には以下の設定が必要です。
AEP → Domain → VLAN Pool で設定し、その AEP が最終的に Interface Profile や Switch Profile から参照されるように関連付けるTenant の Application EPG 設定で、Domains に 1. で定義した Domain を設定するTenant の Static Ports 設定で、ベアメタルサーバを収容する物理ポートを定義するしかし、デフォルトの状態では上記の 2. (Application EPG の Domains 設定) を省略しても通信出来てしまいます。 但し、この場合は「Domain が未設定」という、下記の Fault が表示されます。
Cisco ACI では Web UI 上であれば System → Active Sessions から現在、ログイン中のユーザを確認することが出来ます。
CLI であれば APIC 上から show aaa sessions を実行することで同じ情報を確認することが出来ます。
Cisco ACI 環境において、Contract が設定されていれば、などが設定あれ、Filter 上も許可されていれば Ping による疎通が確認出来るはずです。 これを図解すると以下のようになります。
Cisco ACI では VLAN ID の重複する Domain を同一に Epg に設定するとトラフィック処理上、問題が発生しますが、設定自体は出来てしまいます。 Enforce EPG VLAN Validation という設定を有効化することで、そもそもこういった「問題のある構成」を設定出来なくすることが可能です。 この設定については Validating Overlapping VLANs に説明があります。 今回はこの設定についてメモします。