vSphere 6.7 に Cisco ISE 2.6 をインストールして初期設定する
Cisco ISE 2.6 がリリースされていたので、vSphere 用の評価版をインストールしてみました。 インストール先は vSphere 6.7 です。
Cisco ISE 2.6 がリリースされていたので、vSphere 用の評価版をインストールしてみました。 インストール先は vSphere 6.7 です。
Cisco ACI の 4.x 系からは Web UI が少し変わった為、ファームウェアのアップグレード手順も(少しだけ)変更されました。 4.x 系のアップグレード手順をメモしておきます。
Cisco ACI は特に設定をしていなくても、内部的に APIC の /var/log/external/messages
へ Syslog メッセージを蓄積しています。 例えばこれを tail -f /var/log/external/messages
のように実行することで Syslog メッセージをリアルタイムでモニタすることが出来ます。 このメッセージを外部の Syslog サーバへ転送する方法をメモしておきます。
Cisco ACI を WebUI から操作する場合、Web ブラウザの複数タブを開いて作業すると効率が良いです。 ですが、従来までは別のタブを開いても再度、認証を要求されました。 しかし、ACI 4.x 系からサポートされた Single-Browser Session Management という機能を有効化することで「同じブラウザの別タブから Cisco ACI へアクセスする場合は認証を再要求されない」振る舞いとなり、複数タブでのアクセスが簡単になります。 Single-Browser Session Management、略して SBS を有効化するには以下のように操作します。
Cisco ACI ではどの Tenant でも利用するであろう、汎用性の高い Filter は Common Tenant で定義しておくと便利です。そこで汎用性の高そうな Filter を定義する .xml ファイルを用意してみました。 uni/tn-common
へ Post すれば利用可能なはずです。 また、Filter 名は全てアルファベット大文字にしています。
vCenter に Cisco ACI 用のプラグインをインストールする手順は ACI How-to の ACI vCenter Plugin に記載されています。 この手順では下記のうち、「1.」を前提にしていますが、今回は「2.」の Linux + Python でインストールする手順をメモしておきます。 尚、今回は CentOS7.5 + Python 2.7.15 を使いました。
Cisco ACI の初期設定では HTTPS や SSH でのアクセスが許可されていますが、HTTP や TELNET は拒否(無効化)されています。 設定を変更することで「HTTP や TELNET を有効化」したり、「HTTPS や SSH を無効化」することが出来ます。 設定変更は Fabric → Fabric Policies → Policies → Pod → Management Access → default
から実施します。 3.2 系における実際の設定画面は以下の通りです。
Cisco ACI ではコントローラやスイッチを内部的には「Node ID」という数値で識別します。 Node ID はコントローラやスイッチで重複することは許可されず、各々がユニークな値である必要があります。 また、Node ID は以下の範囲から採番する必要があります。
対象 | 設定可能な範囲 |
---|---|
コントローラ | 1 〜 100 |
スイッチ | 101 〜 4000 |
「コントローラに 101 を割り当て」や「スイッチに 1 を割り当てたり、4001 を割り当て」しようとすると、入力時の値チェック(Validation)でエラーとなり、設定することが出来ません。 フォーラムの Supported ACI Node ID range でも言及されています。 従って Node ID の割当を考える場合は上記の範囲に収まるよう、設計する必要があります。
Cisco Identity Services Engine リリース 2.3 インストール ガイド に以下の記載があります。
ISE 2.3 OVA テンプレートは、vCenter 6.5 の VMware Web クライアントとの互換性がありません。回避策として、VMware OVF ツールを使用して、このテンプレートをインポートします。 Cisco ISE は、インストール後のハードディスクとファイル システムのサイズ変更をサポートしていないため、仮想ハードディスクのサイズを変更した場合は、ISO から Cisco ISE を再イメージ化する必要があります。
つまり、仮想版の Cisco ISE をデプロイするには(vSphere Web クライアントではなく)ovftool を使う必要があります。 今回は ovftool を使った Cisco ISE のデプロイ方法をメモしておきます。
以前にCisco ACI を CLI から curl を使って制御するやmacOS から httpie で APIC-EM へ POST してみるというメモを記載しました。 curl 同様、HTTPie から Cisco ACI へログインすることも、もちろん可能です。