Comprensión de ACI Exigir validación de dominio

Introducción

Este documento describe la configuración de Aplicar validación de dominio y sus ventajas. 

Explicación de aplicación de validación de dominio

De forma predeterminada, la aplicación de validación de dominio no está habilitada, por lo que si un EPG está configurado con un {port, VLAN} estático en el que no hay un dominio que contenga esta VLAN, sucede lo siguiente: 

• Application Centric Infrastructure (ACI) provoca el fallo F0467 "Error de configuración para <path> debido a una configuración de ruta no válida".
• La VLAN se implementa en la interfaz.
• El tráfico se reenvía en la interfaz específica.

Este error de configuración se puede evitar mediante la aplicación de la validación de dominio.

Precaución: NO HABILITE ESTA FUNCIÓN EN UN FABRIC EXISTENTE SIN LA DILIGENCIA DEBIDA.

Esta función no se puede desactivar una vez que la haya activado. Puede tener configuraciones existentes que funcionaban aunque fueran incorrectas. Antes de habilitarlo, asegúrese de verificar la asignación de dominio a los EPG y los AEP asociados.

Aplicar validación de dominio: deshabilitado (comportamiento predeterminado)

APIC CLI Exige la verificación de validación de dominio. El estado predeterminado indica que la validación del dominio está deshabilitada.

APIC# moquery -c infraSetPol | egrep"domainValidation"
domainValidation               : no

Suponga que encap vlan 420 no está vinculado al dominio/AEP asociado al EPG. Vlan 420 todavía está implementado en la interfaz esperada. 

leaf# show vlan encap-id 420 extended
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13 

"
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13                  
19   lc_TN:lc_BD                      vxlan-16416666   Eth1/13                  

leaf# show int eth 1/13 trunk | grep -A Allowed          
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
Eth1/13        1,19

APIC# moquery -c infraSetPol | egrep "domainValidation"
domainValidation               : yes

leaf# acidiag  touch clean 
This command can wipe out this device, Proceed? [y/N] y
leaf# reload
This command can reload the chassis, Proceed (y/n)? [n]: y

leaf# show int eth 1/13 trunk | grep -A 2 Allowed           
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
 Eth1/13        none

La habilitación de la validación de dominio se considera una práctica recomendada, por lo que una vez habilitada, no existe la opción de revertir el cambio.

Una API POSTMAN muestra que la publicación para cambiar la configuración no se ha realizado correctamente.

Solicitar la validación de dominio es una operación única. No Se Permiten Más Cambios.

Debido a que esta configuración no era predeterminada durante la versión inicial, cualquier cambio futuro que se exija en la configuración predeterminada puede hacer que falle una configuración incorrecta, lo que provoca interrupciones. 

Por este motivo, el usuario puede configurar el parámetro.

Resolución de problemas

El error F0467 se genera para los EPG afectados con asociaciones de políticas de acceso faltantes.

Consulte este artículo Quick Start Isolation sobre cómo solucionar el problema.

Información Relacionada

• Dirección Código de error de ACI F0467: invalid-vlan, invalid-path, encap-already-in-use
• Configuración de un fabric de ACI: Ejemplo de configuración inicial > Configuración del sistema
• Guía de diseño de Cisco Application Centric Infrastructure (ACI) > Validación de dominios EPG