cancelar
Mostrar resultados para 
Pesquisar em vez de 
Queria dizer: 
cancel
1977
Apresentações
0
Útil
10
Respostas
Translator
Community Manager

EPG sem associação de domínio físico

Olá comunidade,

É necessário atribuir um domínio físico a um EPG? A missão do caminho estático não é suficiente? Nesse caso, qual é exatamente o propósito de atribuir um domínio físico a um EPG?

Como entendi quando passei por cima de alguma documentação, o domínio é necessário porque fornece o alcance de VLANs que podemos usar na atribuição do caminho estático, isto é, se o nosso domínio inclui vlans de 300-350, nós simplesmente não podemos atribuir vlan 250 a um EP dentro desse EPG.

Minha confusão veio pelo fato de que em um curso de ACI on-line, o engenheiro esqueceu de incluir um domínio no EPG e ele ainda era capaz de atribuir um vlan sob a atribuição de porta estática tanto para EPs quanto para os EPs também foram capazes de se comunicar uns com os outros sem nenhum problema, e nenhum domínio definido para o EPG naquele momento!!!

É assim que deveria ser? Estou perdendo alguma coisa aqui?

1 SOLUÇÃO ACEITE

Soluções aceites
Translator
Community Manager

[Editado: Declaração corrigida no nome do recurso por captura de Chris]

Sim, ele vai funcionar sem atribuir um domínio ao EPG. Eu levantei o aprimoramento para corrigir esse comportamento há muitos anos e introduzimos o recurso "Impor validação de domínio" sob as Configurações do Sistema - Configurações amplas de malha - Impor validação de domínio. Com isso ativado (práticas recomendadas para ligar isso) ele NÃO programará o VLAN na interface. Em vez disso, vai levantar uma falha. Mesmo rodando com a configuração que você tem, a ACI ainda vai levantar uma falha no EPG, mas a programação será aplicada na interface. Obviamente, isso não é uma boa ideia, pois o Domínio se torna um ponto de controle da RBAC onde um administrador de política de infraestrutura/acesso pode restringir os administradores inquilinos de atribuir equivocadamente VLANs a interfaces que não deveriam ser.

Robert

Ver solução na publicação original

10 RESPOSTAS 10
Translator
Community Manager

[Editado: Declaração corrigida no nome do recurso por captura de Chris]

Sim, ele vai funcionar sem atribuir um domínio ao EPG. Eu levantei o aprimoramento para corrigir esse comportamento há muitos anos e introduzimos o recurso "Impor validação de domínio" sob as Configurações do Sistema - Configurações amplas de malha - Impor validação de domínio. Com isso ativado (práticas recomendadas para ligar isso) ele NÃO programará o VLAN na interface. Em vez disso, vai levantar uma falha. Mesmo rodando com a configuração que você tem, a ACI ainda vai levantar uma falha no EPG, mas a programação será aplicada na interface. Obviamente, isso não é uma boa ideia, pois o Domínio se torna um ponto de controle da RBAC onde um administrador de política de infraestrutura/acesso pode restringir os administradores inquilinos de atribuir equivocadamente VLANs a interfaces que não deveriam ser.

Robert

Obrigado Robert! Eu não sabia sobre aquela opção "Impor validação VLAN EPG", tudo faz sentido agora !

A propósito, esse recurso está habilitado para o comportamento padrão da ACI? Ou precisamos ter em mente para habilitá-lo como uma prática recomendada como você mencionou?

Obrigado de novo!

Como não era um recurso de um dia, ele deve ser ativado manualmente. Por padrão, esse recurso está desativado.

Robert

Entendi, muito obrigado Robert!

Eu estava realmente lutando com isso desde que eu notei isso por engano.

Acidente ou não, é uma boa captura para notar este comportamento. Isso mostra que você está verificando sua implantação de política e questionando sua operação - o que eu amo ver. Sempre que sua equipe configura as políticas do Inquilino, verifique sempre o objeto configurado em si (EPG/BD etc) ou o inquilino pai (no qual todos eles aparecem) por quaisquer falhas. Maneira rápida e fácil de encontrar e evitar problemas.

Deixe-nos saber se você tem algum outro Qs.

Robert

Muito obrigado, eu realmente aprecio isso!!

Translator
Community Manager

@glezJos91986,

Apenas três pontos para somar às explicações de Robert.

Em primeiro lugar, @robert não está exatamente certo quando ele diz:

Recurso "Impor validação de domínio" nas configurações do sistema - Configurações amplas de malha - Impor validação VLAN EPG (anteriormente chamada de Validação de Domínio)

porque ainda é chamado de Validação de Domínio de Execução - E há uma opção DIFERENTE para impor a validação de VLAN de EPG.

image.png

Então, @glezJos91986 - o recurso que você realmente precisa é de fato a Validação de Domínio de Execução - NÃO a Validação de VLAN De Enforce EPG.

Em segundo lugar, você precisa entender que se você tiver tomado backups ou instantâneos da APIC Fabric antes de piscar a opção Validação de Domínio ACI Enforce, você NÃO será capaz de restaurá-los uma vez que a opção tenha sido alternada. Isso é porque uma vez ligado, você não pode desligá-lo. E se você restaurasse um backup do Fabric, ele estaria tentando desligar o interruptor.

E thridly, e isso é realmente cosmético - eu quero ter certeza de que você sabe sobre o melhor App que você pode adicionar à ACI - é chamado de Policy Viewer - e quando instalado, você pode olhar para seus EPGs e ver toda a cadeia de política de inquilinos e acesso - mas somente depois que o EPG foi vinculado ao Domínio. É simplesmente INCRÍVEL.

image.png

Muito obrigado Chris pela acomodação/explicação e fotos.

Estou realmente curioso sobre este telespectador político, eu vou investigar isso, uma vez que parece bastante útil.

Obrigado!

Translator
Community Manager

Eu sempre posso contar com chris para me manter honesto! Me serve bem tentando responder de memória. Atualizei minha resposta original para manter as informações precisas.

Robert

Agradeço seu tempo em esclarecer este assunto, muito obrigado.

Criar
Reconheça Seus Colegas
Content for Community-Ad

 Ask to Expert