ステップ 1

メニュー バーで、[テナント（Tenants）] > [テナントの追加（Add Tenant）] を選択します。

ステップ 2

[Create Tenant] ダイアログボックスで、次のタスクを実行します。

1. [Name] フィールドに、名前を入力します。

2. [セキュリティ ドメイン（Security Domains）] セクションで、[+] をクリックして、[セキュリティ ドメインの作成（Create Security Domain）] ダイアログ ボックスを開きます。

3. [名前（Name）] フィールドに、セキュリティ ドメインの名前を入力し、[送信（Submit）] をクリックします。

4. [テナントの作成（Create Tenant）] ダイアログ ボックスで、作成したセキュリティ ドメインの [更新（Update）] をクリックします。

5. 必要に応じて他のフィールドに入力します。

6. [送信（Submit）] をクリックします。

   テナント名 > [ネットワーキング（Networking）]画面が表示されます。

ステップ 3

[作業（Work）] ペインで、[VRF] アイコンをキャンバスにドラッグして [Create VRF] ダイアログボックスを開き、次の操作を実行します。

1. [Name] フィールドに、名前を入力します。

2. 必要に応じて他のフィールドに入力します。

3. [送信（Submit）] をクリックして VRF インスタンスの設定を完了します。

ステップ 4

[作業（Work）] ペインで、VRF インスタンスを囲む円内のキャンバスに [ブリッジ ドメイン（Brdige Domain）] アイコンをドラッグして、2 つを接続します。[Create Bridge Domain] ダイアログボックスが表示されたら、次のタスクを実行します。

1. [Name] フィールドに、名前を入力します。

2. 必要に応じて他のフィールドに入力します。

3. [次へ（Next）] をクリックします。

4. [サブネット（Subnets）] セクションで、[+] をクリックして、[サブネットの作成（Create Subnet）] ダイアログ ボックスを開きます。

5. [ゲートウェイ IP（Gateway IP）] フィールドに、IP アドレスとサブネット マスクを入力します。

6. 必要に応じて他のフィールドに入力します。

7. [OK] をクリックします。

8. [ブリッジ ドメインの作成（Create Bridge Domain）] ダイアログ ボックスに戻り、必要に応じて他のフィールドに入力します。

9. [次へ（Next）] をクリックします。

10. 必要に応じてフィールドに入力します。

11. [OK] をクリックしてブリッジ ドメインの設定を完了します。

ステップ 5

[作業（Work）] ペインで、VRF インスタンスを囲む円内のキャンバスに [L3] アイコンをドラッグして、2 つを接続します。[Create Routed Outside] ダイアログボックスが表示されたら、次のタスクを実行します。

1. [Name] フィールドに、名前を入力します。

2. [ノードとインターフェイス プロトコル プロファイル（Nodes And Interfaces Protocol Profiles] セクションで、[+] をクリックして [ノード プロファイルの作成（Create Node Profile）] ダイアログ ボックスを開きます。

3. [Name] フィールドに、名前を入力します。

4. [ノード（Nodes）] セクションで、[+] をクリックして [ノードの選択（Select Node）] ダイアログ ボックスを開きます。

5. [ノード ID（Node ID）] ドロップダウン リストから、ノードを選択します。

6. [Router ID] フィールドに、ルータ ID を入力します。

7. [スタティック ルート（Static Routes）] セクションで、[+] をクリックして[スタティック ルートの作成（Create Static Routes）] ダイアログ ボックスを開きます。

8. [Prefix] フィールドに、IPv4 アドレスまたは IPv6 アドレスを入力します。

9. [ネクスト ホップ アドレス（Next Hop Addresses）] セクションで、[+] をクリックして [ネクスト ホップの作成（Create Next Hop）] ダイアログ ボックスを開きます。

10. [ネクスト ホップ アドレス（Next Hop Addresses）] フィールドを展開し、IPv4 アドレスまたは IPv6 アドレスを入力します。

11. [設定（Preference）] フィールドに、数値を入力します。

12. 必要に応じて他のフィールドに入力します。

13. [OK] をクリックします。

14. [静的ルートの作成（Create Static Route）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

15. [OK] をクリックします。

16. [ノードの選択（Select Node）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

17. [OK] をクリックします。

18. [ノード プロファイルの作成（Create Node Profile）] ダイアログ ボックスで、必要に応じて他のフィールドに入力します。

19. [OK] をクリックします。

20. 必要に応じて [BGP]、[OSPF]、または [EIGRP] チェックボックスをオンにします。

21. 必要に応じて他のフィールドに入力します。

22. [次へ（Next）] をクリックします。

23. 必要に応じてフィールドに入力します。

24. [OK] をクリックしてレイヤ 3 の設定を完了します。

ステップ 1

メニュー バーで、[Tenants]、EPG を作成するテナントの順に選択します。

ステップ 2

ナビゲーション ペインで、テナントのフォルダ、[Application Profiles] フォルダ、アプリケーション プロファイルのフォルダの順に展開します。

ステップ 3

[Application EPG] フォルダを右クリックし、[Create Application EPG] ダイアログボックスで次の操作を実行します。

1. [Name] フィールドに、EPG の名前（db）を追加します。

2. [Bridge Domain] フィールドで、ドロップダウン リストからブリッジ ドメイン（bd1）を選択します。

3. [Associate to VM Domain Profiles] チェックボックスをオンにします。[Next] をクリックします。

4. [STEP 2 > Domains] エリアで、[Associate VM Domain Profiles] を展開し、ドロップダウンリストから対象の VMM ドメインを選択します。

5. [Deployment Immediacy] ドロップダウンリストで、デフォルト値を受け入れるか、いつポリシーが Cisco APIC から物理リーフ スイッチに展開されるかを選択します。

6. [Resolution Immediacy] ドロップダウンリストで、いつポリシーが物理リーフ スイッチから仮想リーフに展開されるかを選択します。

   Cisco AVS がある場合には、Immediate または On Demand を選択します。Cisco ACI Virtual Edge または VMware VDS がある場合には、Immediate、 On Demand、または Pre-provision を選択します。

7. （オプション）[Delimiter] フィールドに、|、~、!、@、^、+、または = のいずれかの記号を入力します。

   記号を入力しなかった場合、システムは VMware ポートグループ名のデリミタとしてデフォルトの | を使用します。

8. Cisco ACI Virtual Edge または Cisco AVS を利用している場合は、[Encap Mode] ドロップダウンリストからカプセル化モードを選択します。

   次のいずれかのカプセル化モードを選択できます。

   • VXLAN：これはドメインの VLAN 設定を上書きし、EPG は VXLAN カプセル化を使用します。ただし、ドメインでマルチキャスト プールが設定されていない場合は、EPG に対してエラーが発生します。

   • VLAN：これはドメインの VXLAN 設定を上書きし、EPG は VLAN カプセル化を使用します。ただし、ドメインで VLAN プールが設定されていない場合は、EPG に対してエラーがトリガーされます。

   • 自動： EPG は、VMM ドメインと同じカプセル化モードを使用します。これはデフォルトの設定です。

9. Cisco ACI Virtual Edge がある場合、Switching Mode ドロップダウンリストで、 native または AVE を選択します。

   native を選択した場合、EPGは VMware VDS を通して切り替えられます。AVE を選択した場合、EPG はCisco ACI Virtual Edge を通して切り替えられます。デフォルトはnative す。

10. Update をクリックし、Finish をクリックします。

ステップ 4

Create Application Profile ダイアログボックスで、EPG をさらに 2 つ作成します。同じブリッジ ドメイン、同じデータセンター内に、3 つの EPG を作成します。これらは、db、app、および web です。

ステップ 1

メニュー バーで Tenants を選択し、実行するテナント名を選択します。Navigation ウィンドウで、tenant-name および Contracts を展開します。

ステップ 2

Standard > Create Contract を右クリックします。

ステップ 3

Create Contract ダイアログボックスで、次のタスクを実行します:

1. Name フィールドに、契約 名を入力します。

2. + アイコン (Subjects の隣にあるもの) をクリックして、新しい情報カテゴリを追加します。

3. [Create Contract Subject] ダイアログボックスで、[Name] フィールドにサブジェクト名を入力します。

   （注）	この手順では、フィルタを契約の情報カテゴリに関連付けます。

4. TCAM の契約し状況強最適化機能を有効にするには、Apply Both Directions および Reverse Filter Ports が有効になっていることを確認します。

5. + アイコンをクリックして Filters を展開します。

6. ダイアログボックスで、ドロップダウン メニューから、デフォルトのフィルタを指定します。すでに設定したフィルタを選択するか、Create Filter で新しいフィルタを作成します。

7. [指令（Directives）] フィールドで、[ポリシー圧縮の有効化（Enable Policy Compression）] を選択します。

8. Action フィールドで、Permit または Deny を選択します。

   （注）	現在のところ、Deny アクションはサポートされていません。最適化は Permit アクションに対してのみ行われます。

9. （任意） Priority フィールドで、優先度レベルを選択します。

10. Update をクリックします。

ステップ 4

Create Contract Subject ダイアログボックスで、OK をクリックします。

ステップ 5

Create Contract ダイアログボックスで、Submitをクリックします。

ステップ 1

メニュー バーで [テナント] > [すべてテナント] をクリックします。

ステップ 2

コントラクトを作成しているテナントをダブルクリックします。

ステップ 3

ナビゲーション バーで、[コントラクト] を展開し、[フィルタ] を右クリックして、[フィルタの作成] を選択します。

ステップ 4

フィルタ名を入力し、許可または拒否するトラフィックを定義する条件を追加して、[送信] をクリックします。

ステップ 5

[コントラクト] を右クリックし、[コントラクトの作成] を選択します。

ステップ 6

コントラクト名を入力し、範囲を設定して、[+] アイコンをクリックし件名を追加します。

ステップ 7

繰り返して別の件名を追加します。

ステップ 8

[Submit] をクリックします。

ステップ 9

コントラクトのすべての件名の例外を追加する手順は、次のとおりです。

1. コントラクトをクリックし、[コントラクトの例外] をクリックします。

2. 件名を追加し、許可または拒否するように設定します。

3. [+] アイコンをクリックしてコントラクトを追加します。

4. 例外の名前とタイプを入力します。

5. 正規表現を [コンシューマ Regex] および [プロバイダ Regex] フィールドに追加し、コントラクトのすべての件名から除外する EPG を定義します。

ステップ 10

コントラクトの 1 つの件名の例外を追加する手順は、次のとおりです。

1. 件名をクリックし、[件名の例外] をクリックします。

2. [+] アイコンをクリックしてコントラクトを追加します。

3. 例外の名前とタイプを入力します。

4. 正規表現を [コンシューマ Regex] および [プロバイダ Regex] に追加し、コントラクトのすべての件名から除外する EPG を定義します。

ステップ 1

メニュー バーで、[テナント（Tenants）]> > [すべてのテナント（ALL Tenants）] の順に選択します。

ステップ 2

[Work] ペインで、テナントの名前をダブルクリックします。

ステップ 3

EPG のタイプに応じて、次の一連の手順のいずれかを実行します。

ステップ 1

コンフィギュレーション モードを開始します。

apic1# configure

ステップ 2

テナントを作成または選択します。

apic1(config)# tenant Tenant-l3out

ステップ 3

外部 Layer 3 EPG を作成または選択します。

apic1(config-tenant)# external-l3 epg ext-epg

ステップ 4

外部 EPG を VRF インスタンスにバインドします。

apic1(config-tenant-l3ext-epg)# vrf member vrf1

ステップ 5

EPG 内で分離を有効にします。

(config-tenant-l3ext-epg)# isolation enforce

(config-tenant-l3ext-epg)# no isolation enforce

ステップ 6

エンドポイント間の目的のトラフィックを許可する契約を内部 EPG に割り当てます。

apic1(config-tenant-l3ext-epg)# contract intra-epg contr-intra

ステップ 1

次の例のような XML POST 要求を使用してセレクタを設定します。

<?xml version="1.0" encoding="UTF-8"?>
<polUni>
  <infraInfra>
    <infraAccPortP name="Ports-1-12" status="deleted"/>

    <!-- VMM VLAN range -->
    <fvnsVlanInstP name="test" allocMode="dynamic">
      <fvnsEncapBlk name="encap" from="vlan-10" to="vlan-100"/>
    </fvnsVlanInstP>

    <!-- Static VLAN range -->
    <fvnsVlanInstP name="test" allocMode="static">
      <fvnsEncapBlk name="default" from="vlan-101" to="vlan-4095"/>
    </fvnsVlanInstP>

    <infraAttEntityP name="test">
      <infraRsDomP tDn="uni/phys-test"/>
      <infraRsDomP tDn="uni/l3dom-test"/>
      <infraRsDomP tDn="uni/vmmp-VMware/dom-test"/>
    </infraAttEntityP>

    <!-- Node profile -->
    <infraNodeP name="test">
      <infraLeafS name="test" type="range">
        <infraNodeBlk name="default" from_="101" to_="102"/>
      </infraLeafS>
      <infraRsAccPortP tDn="uni/infra/accportprof-test"/>
    </infraNodeP>

    <!-- Port profile -->
    <infraAccPortP name="test">
      <!-- 12 regular ports -->
      <infraHPortS name="ports1Through12" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="1" toPort="12"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accportgrp-test"/>
      </infraHPortS>

      <!-- 2 ports in PC -->
      <infraHPortS name="portsForPc1" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="13" toPort="14"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testPc"/>
      </infraHPortS>

      <!-- 2 ports in PC -->
      <infraHPortS name="portsForPc2" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="15" toPort="16"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-pc"/>
      </infraHPortS>

      <!-- 2 ports in PC for FEX -->
      <infraHPortS name="portsForFex" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="17" toPort="18"/>
        <infraRsAccBaseGrp tDn="uni/infra/fexprof-default/fexbundle-test" fexId="111"/>
      </infraHPortS>

      <!-- 2 ports in PC for VPC -->
      <infraHPortS name="portsForVpc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="19" toPort="20"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testVpc"/>
      </infraHPortS>
    </infraAccPortP>

    <!-- FEX profile -->
    <infraFexP name="default">
      <infraFexBndlGrp name="default"/>

      <!-- 12 FEX ports -->
      <infraHPortS name="ports1Through12" type="range">
        <infraPortBlk name="default" fromCard="1" toCard="1" fromPort="1" toPort="12"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accportgrp-test"/>
      </infraHPortS>

      <!-- 3 ports in FEX PC -->
      <infraHPortS name="portsForPc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="13" toPort="16"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testPcOnFex"/>
      </infraHPortS>

      <!-- 3 ports in FEX VPC -->
      <infraHPortS name="portsForVpc" type="range">
        <infraPortBlk name="blk1" fromCard="1" toCard="1" fromPort="17" toPort="19"/>
        <infraRsAccBaseGrp tDn="uni/infra/funcprof/accbundle-testVpcOnFex"/>
      </infraHPortS>
    </infraFexP>

    <!-- Functional profile -->
    <infraFuncP>
      <!-- Regular port group -->
      <infraAccPortGrp name="test">
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccPortGrp>

      <!-- PC -->
      <infraAccBndlGrp name="testPc" lagT="link">
        <infraRsLacpPol tnLacpLagPolName="testPc"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- VPC -->
      <infraAccBndlGrp name="testVpc" lagT="node">
        <infraRsLacpPol tnLacpLagPolName="testVpc"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- PC on FEX -->
      <infraAccBndlGrp name="testPcOnFex" lagT="link">
        <infraRsLacpPol tnLacpLagPolName="testPcOnFex"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>

      <!-- VPC on FEX -->
      <infraAccBndlGrp name="testVpcOnFex" lagT="node">
        <infraRsLacpPol tnLacpLagPolName="testVpcOnFex"/>
        <infraRsAttEntP tDn="uni/infra/attentp-test"/>
      </infraAccBndlGrp>
    </infraFuncP>

    <!-- Link aggregation policies -->
    <lacpLagPol name="testPc" minLinks='1' maxLinks='10'/>
    <lacpLagPol name="testVpc" minLinks='1' maxLinks='10'/>
    <lacpLagPol name="testPcOnFex" minLinks='2' maxLinks='5'/>
    <lacpLagPol name="testVpcOnFex" minLinks='2' maxLinks='10'/>
  </infraInfra>

  <fabricInst>
    <fabricProtPol name="testVpc">
      <fabricExplicitGEp name="testVpc" id="101">
        <fabricNodePEp id="101"/>
        <fabricNodePEp id="102"/>
      </fabricExplicitGEp>
    </fabricProtPol>
  </fabricInst>

  <physDomP name="test">
    <infraRsVlanNs tDn="uni/infra/vlanns-test-static"/>
  </physDomP>

  <l3extDomP name="test">
    <infraRsVlanNs tDn="uni/infra/vlanns-test-static"/>
  </l3extDomP>
</polUni>

ステップ 2

次の例のような XML POST 要求を使用してテナントを設定します。

<?xml version="1.0" encoding="UTF-8"?>
<polUni>
   <fvTenant name="Tenant-l3out">
      <vzBrCP intent="install" name="contr-intra" scope="context">
         <vzSubj consMatchT="AtleastOne" name="subj" revFltPorts="yes">
            <vzRsSubjFiltAtt action="permit" priorityOverride="default"
              tnVzFilterName="flt-ssh" />
         </vzSubj>
      </vzBrCP>
      <vzBrCP intent="install" name="contr2" scope="context">
         <vzSubj consMatchT="AtleastOne" name="contr2-subj" revFltPorts="yes">
            <vzRsSubjFiltAtt action="permit" priorityOverride="default"
              tnVzFilterName="flt-ftp" />
         </vzSubj>
      </vzBrCP>
      <vzBrCP intent="install" name="contr1" scope="context">
         <vzSubj consMatchT="AtleastOne" name="subj-http" revFltPorts="yes">
            <vzRsSubjFiltAtt action="deny" priorityOverride="default"
              tnVzFilterName="flt-http" />
         </vzSubj>
      </vzBrCP>
      <l3extOut enforceRtctrl="export" mplsEnabled="no" name="l3out1">
         <l3extRsL3DomAtt tDn="uni/l3dom-test" />
         <l3extRsEctx tnFvCtxName="vrf1" />
         <l3extLNodeP name="l3out1_nodeProfile" tag="yellow-green">
            <l3extRsNodeL3OutAtt rtrId="172.16.0.1" rtrIdLoopBack="yes"
              tDn="topology/pod-1/node-101" />
            <l3extLIfP name="l3out1_interfaceProfile" tag="yellow-green">
               <l3extRsPathL3OutAtt addr="192.168.15.1/24" autostate="disabled"
                 encap="unknown" encapScope="local" ifInstT="l3-port" ipv6Dad="enabled"
                 isMultiPodDirect="no" llAddr="::" mac="00:22:BD:F8:19:FF"
                 mode="regular" mtu="inherit"
                 tDn="topology/pod-1/paths-101/pathep-[eth1/10]" />
            </l3extLIfP>
         </l3extLNodeP>

         <!--
           Set pcEnfPref to "enforced" to enable intra-Ext-EPG isolation.
           Set pcEnfPref to "unenforced" to disable intra-Ext-EPG isolation.
         -->
         <l3extInstP floodOnEncap="disabled" matchT="AtleastOne"
           name="l3epg1" pcEnfPref="unenforced" prefGrMemb="exclude">
            <l3extSubnet ip="172.16.0.0/16" scope="import-security" />
            <fvRsCons tnVzBrCPName="contr2" />
            <fvRsIntraEpg tnVzBrCPName="contr-intra" />
         </l3extInstP>
      </l3extOut>
      <fvCtx bdEnforcedEnable="no" ipDataPlaneLearning="enabled" knwMcastAct="permit"
        name="vrf1" pcEnfDir="egress" pcEnfPref="unenforced" vrfIndex="0">
         <fvRsVrfValidationPol />
         <vzAny matchT="AtleastOne" prefGrMemb="disabled" />
      </fvCtx>
      <fvBD OptimizeWanBandwidth="no" arpFlood="yes" epClear="no" hostBasedRouting="no"
        intersiteBumTrafficAllow="no" intersiteL2Stretch="no" ipLearning="yes"
        ipv6McastAllow="no" limitIpLearnToSubnets="yes" llAddr="::"
        mac="00:22:BD:F8:19:FF" mcastAllow="no" multiDstPktAct="bd-flood" name="bd-web"
        type="regular" unicastRoute="yes" unkMacUcastAct="proxy" unkMcastAct="flood"
        v6unkMcastAct="flood" vmac="not-applicable">
         <fvSubnet ip="192.168.1.254/24" ipDPLearning="enabled" preferred="no"
           scope="private" virtual="no" />
         <fvRsCtx tnFvCtxName="vrf1" />
         <fvRsBdToEpRet resolveAct="resolve" />
      </fvBD>
      <fvBD OptimizeWanBandwidth="no" arpFlood="yes" epClear="no" hostBasedRouting="no"
        intersiteBumTrafficAllow="no" intersiteL2Stretch="no" ipLearning="yes"
        ipv6McastAllow="no" limitIpLearnToSubnets="yes" llAddr="::"
        mac="00:22:BD:F8:19:FF" mcastAllow="no" multiDstPktAct="bd-flood" name="bd-app"
        type="regular" unicastRoute="yes" unkMacUcastAct="proxy" unkMcastAct="flood"
        v6unkMcastAct="flood" vmac="not-applicable">
         <fvSubnet ip="192.168.2.254/24" ipDPLearning="enabled" preferred="no"
           scope="private" virtual="no" />
         <fvRsCtx tnFvCtxName="vrf1" />
         <fvRsBdToEpRet resolveAct="resolve" />
      </fvBD>
      <vzFilter name="flt-ftp">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="ftpData"
           dToPort="ftpData" etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"
           matchDscp="unspecified" name="ftp" prot="tcp" sFromPort="unspecified"
           sToPort="unspecified" stateful="no" />
      </vzFilter>
      <vzFilter name="flt-ssh">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="ssh" dToPort="ssh"
           etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"
           matchDscp="unspecified" name="ssh" prot="tcp" sFromPort="unspecified"
           sToPort="unspecified" stateful="no" />
      </vzFilter>
      <vzFilter name="flt-http">
         <vzEntry applyToFrag="no" arpOpc="unspecified" dFromPort="http" dToPort="http"
           etherT="ipv4" icmpv4T="unspecified" icmpv6T="unspecified"
           matchDscp="unspecified" name="flt1" prot="tcp" sFromPort="unspecified"
           sToPort="unspecified" stateful="no" />
      </vzFilter>
      <fvAp name="ap-app1">
         <fvAEPg floodOnEncap="disabled" hasMcastSource="no" isAttrBasedEPg="no"
           matchT="AtleastOne" name="epg-app" pcEnfPref="unenforced"
           prefGrMemb="exclude" shutdown="no">
            <fvRsProv intent="install" matchT="AtleastOne" tnVzBrCPName="contr2" />
            <fvRsProv intent="install" matchT="AtleastOne" tnVzBrCPName="contr1" />
            <fvRsPathAtt encap="vlan-103" instrImedcy="immediate" mode="native"
              primaryEncap="unknown" tDn="topology/pod-1/paths-101/pathep-[eth1/3]" />
            <fvRsDomAtt bindingType="none" classPref="encap" encap="unknown"
              encapMode="auto" epgCos="Cos0" epgCosPref="disabled" instrImedcy="lazy"
              netflowDir="both" netflowPref="disabled" numPorts="0" portAllocation="none"
              primaryEncap="unknown" primaryEncapInner="unknown" resImedcy="immediate"
              secondaryEncapInner="unknown" switchingMode="native" tDn="uni/phys-test"
              untagged="no" vnetOnly="no" />
            <fvRsBd tnFvBDName="bd-app" />
         </fvAEPg>
         <fvAEPg floodOnEncap="disabled" hasMcastSource="no"
           isAttrBasedEPg="no" matchT="AtleastOne" name="epg-web" pcEnfPref="unenforced"
           prefGrMemb="exclude" shutdown="no">
            <fvRsPathAtt encap="vlan-104" instrImedcy="immediate" mode="native"
              primaryEncap="unknown" tDn="topology/pod-1/paths-101/pathep-[eth1/4]" />
            <fvRsDomAtt bindingType="none" classPref="encap" encap="unknown"
              encapMode="auto" epgCos="Cos0" epgCosPref="disabled" instrImedcy="lazy"
              netflowDir="both" netflowPref="disabled" numPorts="0" portAllocation="none"
              primaryEncap="unknown" primaryEncapInner="unknown" resImedcy="immediate"
              secondaryEncapInner="unknown" switchingMode="native" tDn="uni/phys-test"
              untagged="no" vnetOnly="no" />
            <fvRsCons intent="install" tnVzBrCPName="contr1" />
            <fvRsBd tnFvBDName="bd-web" />
         </fvAEPg>
      </fvAp>
   </fvTenant>
</polUni>

ステップ 1

[Tenants] > [tenant-name] > [Application Profiles] に移動して、[AP-name] を展開します。

ステップ 2

[Application EPGs] を右クリックし、[Create Application EPG] を選択します。

ステップ 3

EPG コントラクト マスターからコントラクトを継承する EPG の名前を入力します。

ステップ 4

[Bridge Domain] フィールドで、共通/デフォルトのブリッジ ドメインまたは以前に作成したブリッジ ドメインを選択するか、この EPG のブリッジ ドメインを作成します。

ステップ 5

[EPG Contract Master] フィールドで、+ 記号をクリックして事前に設定したアプリケーション プロファイルと EPG を選択し、[Update] をクリックします。

ステップ 6

[Finish] をクリックします。

ステップ 7

EPG に関する情報（コントラクト マスターなど）を表示するには、[Tenants] > [tenant-name] > [Application Profiles] > [AP-name] > [Application EPGs] > [EPG-name] に移動します。EPG コントラクト マスターを表示するには、[General] をクリックします。

ステップ 8

継承されるコントラクトに関する情報を表示するには、[EPG-name] を展開して [Contracts] をクリックします。

ステップ 1

[Tenants] > [tenant-name] > [Application Profiles] に移動して、[AP-name] を展開します。

ステップ 2

[uSeg EPGs] を右クリックし、[Create uSeg EPG] を選択します。

ステップ 3

コントラクト マスターからコントラクトを継承する EPG の名前を入力します。

ステップ 4

[Bridge Domain] フィールドで、共通/デフォルトのブリッジ ドメインまたは以前に作成したブリッジ ドメインを選択するか、この EPG のブリッジ ドメインを作成します。

ステップ 5

[uSeg-EPG-name] をクリックします。[EPG Contract Master] フィールドで、+ 記号をクリックしてアプリケーション プロファイルと EPG（コントラクト マスターとして機能する）を選択し、[Update] をクリックします。

ステップ 6

[Finish] をクリックします。

ステップ 7

契約に関する情報を表示するには、[Tenants] > テナント名 > [Application Profiles] > AP 名 > [uSeg EPGs] > に移動し、EPG 名を展開して [Contracts] をクリックします。。

ステップ 1

[テナント（Tenants）] > [tenant_name] > [ネットワーキング（Networking）] > [L2Outs] に移動します。

ステップ 2

[L2Out-name] を展開します。

ステップ 3

[外部 EPG（External EPGs）] を右クリックし、[外部 EPG の作成（Create External EPG）] を選択します。

ステップ 4

外部ネットワークの名前を入力し、必要に応じてその他の属性を追加します。

ステップ 5

Submit をクリックします。

ステップ 6

外部 EPG（External EPGs）] を展開します。

ステップ 7

external-epg-name をクリックします。

ステップ 8

[外部 EPG（External EPG）] パネルで、[L2Out コントラクト マスター（L2Out Contract Masters）] フィールドの [+] 記号をクリックします。

ステップ 9

この外部 L2Out EPG の L2Out および L2Out コントラクト マスターを選択します。

ステップ 10

[更新（Update）] をクリックします。

ステップ 11

この外部 L2Out EPG によって継承されたコントラクトを表示するには、外部 EPG 名をクリックし、[コントラクト（Contracts）] > [継承コントラクト（Inherited Contracts）] をクリックします。

ステップ 1

外部 L3Out EPG のコントラクト継承を設定するには、[テナント（Tenants）] > [tenant-name] > [ネットワーキング（Networking）] > [L3Outs] に移動します。

ステップ 2

外部 L3Out EPG につながる [L3Out-name] を展開します。

ステップ 3

[外部 EPG（External EPGs）] を右クリックし、[外部 EPG の作成（Create External EPG）] を選択します。

ステップ 4

外部 EPG の名前を入力し、オプションでサブネットおよびその他の属性を追加します。

ステップ 5

Submit をクリックします。

ステップ 6

[Networks] を展開します。

ステップ 7

[network-name] をクリックします。

ステップ 8

[外部 EPG（External EPG）] パネルで、[L3Out コントラクト マスター（L3Out Contract Masters）] フィールドの [+] 記号をクリックします。

ステップ 9

この外部 L3Out EPG の L3Out コントラクト マスターとして機能する L3Out および外部 EPG を選択します。

ステップ 10

[更新（Update）] をクリックします。

ステップ 11

この外部 L3Out EPG によって継承されたコントラクトを表示するには、外部 EPG 名をクリックし、[コントラクト（Contracts）] > [継承コントラクト（Inherited Contracts）] をクリックします。

ステップ 1

メニュー バーで、[Tenants] > テナント名をクリックします。

ステップ 2

[Navigation] ペインで、テナント、[Networking]、[VRFs] の順に展開します。

ステップ 3

コントラクト優先グループを設定する VRF 名をクリックします。

ステップ 4

Preferred Group Member フィールドで、Enabled をクリックします。

ステップ 5

Submit をクリックします。

ステップ 6

Navigation ウィンドウで、Application Profiles を展開し、テナント VRF のアプリケーション プロファイルを作成するか、展開します。

ステップ 7

Application EPGs を展開し、契約優先グループを使用する EPG をクリックします。

ステップ 8

[Policy] および [General] タブを選択します。

ステップ 9

Preferred Group Member フィールドで、Include をクリックします。

ステップ 10

Submit をクリックします。

ステップ 1

メニュー バーで、[Tenant] > テナント名を選択します。

ステップ 2

[Navigation] ペインで、[Policies] > [Protocol] > [L4-L7 Service EPG Policy] を選択します。

ステップ 3

[Navigation] ペインで、[L4-L7 Service EPG Policy] を右クリックして [Create L4-L7 Service EPG Policy] を選択します。

ステップ 4

[Name] フィールドにポリシーの一意の名前を入力します。

ステップ 5

オプション。[Description] フィールドにポリシーの説明を入力します。

ステップ 6

[Preferred Group Member] フィールドで、EPG を除外するか優先メンバーとして含めるかを選択します。

ステップ 7

[Submit] をクリックします。`

ステップ 1

メニュー バーで、[Tenants] > [<tenant name>] の順に選択します。

ステップ 2

[Navigation] ペインで、[Contracts] を展開し、 [Standard] を右クリックして [Create Contract] を選択します。

ステップ 3

[Create Contract] ダイアログボックスで、次の作業を実行します。

1. [Name] フィールドに、契約の名前を入力します。

2. [Scope] フィールドで、そのスコープ（[VRF]、[Tenant]、または [Global]）を選択します

3. オプション。契約に適用するターゲット DSCP または QoS クラスを設定します。

4. [+] アイコンをクリックして、[Subject] を展開します。

ステップ 4

[Create Contract Subject] ダイアログボックスで、次の操作を実行します。

ステップ 5

件名の名前と詳細な説明を入力します。

ステップ 6

オプション。ターゲット DSCP のドロップダウン リストから、件名に適用する DSCP を選択します。

ステップ 7

契約を両方向でなくコンシューマからプロバイダの方向にのみ適用するのでない限り、[Apply Both Directions] はオンにしたままにしておきます。

ステップ 8

[Apply Both Directions] をチェックしてない場合 [Reverse Filter Ports] をチェックしたままにして、ルールがプロバイダから消費者に適用されるようにレイヤ 4 ソースと宛先ポートを交換します。

ステップ 9

[+] アイコンをクリックして、[Filters] を展開します。

ステップ 10

[Name] ドロップダウン リストで、たとえば、arp、default、est、icmp などオプションを選択するか、以前設定したフィルタを選択します。

ステップ 11

[Directives] ドロップダウン リストで、[log] をクリックします。

ステップ 12

（任意） この件名で実行するアクションを [Deny] に変更します（またはアクションをデフォルトの [Permit] のままにします。

ステップ 13

（任意） 件名の優先順位を設定します。

ステップ 14

[Update] をクリックします。

ステップ 15

[OK] をクリックします。

ステップ 16

[送信（Submit）] をクリックします。

ステップ 1

契約許可ルールにより送信できたパケットまたはフローのロギングを有効にするには、次のコマンドを使用します。

configure
tenant <tenantName>
contract <contractName> type <permit>
subject <subject Name>
access-group <access-list> <in/out/both> log

apic1# configure
apic1(config)# tenant BDMode1 
apic1(config-tenant)# contract Logicmp type permit
apic1(config-tenant-contract)# subject icmp
apic1(config-tenant-contract-subj)# access-group arp both log

ステップ 2

許可ロギングを無効にするには、no 形式の access-group コマンドを使用します。たとえば、no access-group arp both log コマンドを使用します。

この設定では、次の例のように XML で post を送信します。

<vzBrCP dn="uni/tn-Tenant64/brc-C64" name="C64" scope="context">
    <vzSubj consMatchT="AtleastOne" name="HTTPSsbj" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-HTTPSsbj">
         <vzRsSubjFiltAtt action="permit" directives="log" forceResolve="yes" priorityOverride="default" 
rn="rssubjFiltAtt-PerHTTPS" tDn="uni/tn-Tenant64/flt-PerHTTPS" tRn="flt-PerHTTPS" tnVzFilterName="PerHTTPS"/>
    </vzSubj>
    <vzSubj consMatchT="AtleastOne" name="httpSbj" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-httpSbj">
        <vzRsSubjFiltAtt action="deny" directives="log" forceResolve="yes" priorityOverride="default" 
rn="rssubjFiltAtt-httpFilter" tDn="uni/tn-Tenant64/flt-httpFilter" tRn="flt-httpFilter" tnVzFilterName="httpFilter"/>
    </vzSubj>
    <vzSubj consMatchT="AtleastOne" name="subj64" provMatchT="AtleastOne" revFltPorts="yes" rn="subj-subj64">
        <vzRsSubjFiltAtt action="permit" directives="log" forceResolve="yes" priorityOverride="default" 
rn="rssubjFiltAtt-icmp" tDn="uni/tn-common/flt-icmp" tRn="flt-icmp" tnVzFilterName="icmp"/>
    </vzSubj>
</vzBrCP>

ステップ 1

メニュー バーで、[Tenants] > [<tenant name>] の順に選択します。

ステップ 2

[Navigation] ペインで、[Contracts] を展開します。

ステップ 3

[Taboos] を右クリックし、[Create Taboo Contract] を選択します。

ステップ 4

[Create Taboo Contract] ダイアログ ボックスで、次の操作を実行して禁止契約を指定します。

1. [Name] フィールドに、契約の名前を入力します。

2. オプション。[Description] フィールドに、禁止契約の説明を入力します。

3. [+] アイコンをクリックして、[Subject] を展開します。

ステップ 5

[Create Taboo Contract Subject] ダイアログ ボックスで、次の操作を実行します。

1. [Specify Identity of Subject] 領域に、名前と説明（オプション）を入力します。

2. [+] アイコンをクリックして、[Filters] を展開します。

3. [Name] ドロップダウン リストから、<tenant_name>/arp、 <tenant_name>/default、<tenant_name>/est、<tenant_name>/icmp などのデフォルト値のいずれかを選択し、以前作成したフィルタか [Create Filter] を選択します。

ステップ 6

[送信（Submit）] をクリックします。

ステップ 1

禁止契約拒否ルールのためにドロップされたパケットまたはフローのロギングを有効にするには、次のコマンドを使用します。

configure
tenant <tenantName>
contract <contractName> type <deny>
subject <subject Name>
access-group <access-list> <both> log

apic1# configure
apic1(config)# tenant BDMode1 
apic1(config-tenant)# contract dropFTP type deny
apic1(config-tenant-contract)# subject dropftp
apic1(config-tenant-contract-subj)# access-group ftp both log

ステップ 2

拒否ロギングを無効にするには、no 形式の access-group コマンドを使用します。たとえば、no access-group https both log コマンドを使用します。

タブー契約を設定するロギングを拒否する、次の例のように XML で post を送信します。

<vzTaboo dn="uni/tn-Tenant64/taboo-TCtrctPrefix" name="TCtrctPrefix" scope="context">
    <vzTSubj name="PrefSubj" rn="tsubj-PrefSubj"">
        <vzRsDenyRule directives="log" forceResolve="yes" rn="rsdenyRule-default" tCl="vzFilter" 
tDn="uni/tn-common/flt-default" tRn="flt-default"/>
    </vzTSubj>
</vzTaboo>

ステップ 1

メニュー バーで、[Tenants] > [<tenant name>] の順に選択します。

ステップ 2

[Navigation] ペインで、[Tenant <tenant name>] をクリックします。

ステップ 3

Tenants <tenant name> [Work] ペインで、[Operational] タブをクリックします。

ステップ 4

[Operational] タブの下で、[Flows] タブをクリックします。

レイヤ 3 ドロップ ログ データを表示するには、REST API を使用して次のクエリを送信します。

GET https://apic-ip-address/api/class/acllogDropL3Flow

<?xml version="1.0" encoding="UTF-8"?>
<imdata totalCount="2">
    <acllogPermitL3Flow childAction="" dn="topology/pod-1/node-101/ndbgs/acllog/tn-common/ctx-inb
        /permitl3flow-spctag-333-dpctag-444-sepgname-unknown-depgname-unknown-sip-[100:c000:a00:700:b00:0:f00:0]
        -dip-[19.0.2.10]-proto-udp-sport-17459-dport-8721-smac-00:00:15:00:00:28-dmac-00:00:12:00:00:25-sintf-
        [port-channel5]-vrfencap-VXLAN: 2097153" dstEpgName="unknown" dstIp="19.0.2.10" dstMacAddr="00:00:12:00:00:25" 
        dstPcTag="444" dstPort="8721" lcOwn="local" modTs="never" monPolDn="" protocol="udp" srcEpgName="unknown" 
        srcIntf="port-channel5" srcIp="100:c000:a00:700:b00:0:f00:0" srcMacAddr="00:00:15:00:00:28" srcPcTag="333" 
        srcPort="17459" status="" vrfEncap="VXLAN: 2097153"/>
    <acllogPermitL3Flow childAction="" dn="topology/pod-1/node-102/ndbgs/acllog/tn-common/ctx-inb
        /permitl3flow-spctag-333-dpctag-444-sepgname-unknown-depgname-unknown-sip-[100:c000:a00:700:b00:0:f00:0]-dip-
        [19.0.2.10]-proto-udp-sport-17459-dport-8721-smac-00:00:15:00:00:28-dmac-00:00:12:00:00:25-sintf-
        [port-channel5]-vrfencap-VXLAN: 2097153" dstEpgName="unknown" dstIp="19.0.2.10" dstMacAddr="00:00:12:00:00:25" 
        dstPcTag="444" dstPort="8721" lcOwn="local" modTs="never" monPolDn="" protocol="udp" srcEpgName="unknown" 
        srcIntf="port-channel5" srcIp="100:c000:a00:700:b00:0:f00:0" srcMacAddr="00:00:15:00:00:28" srcPcTag="333" 
        srcPort="17459" status="" vrfEncap="VXLAN: 2097153"/>
</imdata>
    

ステップ 1

次の例では、show acllog drop l3 flow tenant common vrf default detail コマンドを使用して、共通テナントのレイヤ 3 拒否ログに関する詳細情報を表示する方法を示します。

apic1# show acllog deny l3 flow tenant common vrf default detail
SrcPcTag  : 49153
DstPcTag  : 32773
SrcEPG    : uni/tn-TSW_Tenant0/ap-tsw0AP0/epg-tsw0ctx0BD0epg6
DstEPG    : uni/tn-TSW_Tenant0/ap-tsw0AP0/epg-tsw0ctx0BD0epg5
SrcIp     : 16.0.2.10
DstIp     : 19.0.2.10
Protocol  : udp
SrcPort   : 17459
DstPort   : 8721
SrcMAC    : 00:00:15:00:00:28
DstMAC    : 00:00:12:00:00:25
Node      : 101
SrcIntf   : port-channel5
VrfEncap  : VXLAN: 2097153  

ステップ 2

次の例では、show acllog deny l2 flow tenant common vrf tsw0connctx0 detail コマンドを使用して、共通テナントのレイヤ 3 拒否ログに関する詳細情報を表示する方法を示します。

apic1# show acllog deny l2 flow tenant common vrf tsw0connctx0 detail
SrcPcTag DstPcTag   SrcEPG           DstEPG          SrcMAC            DstMAC         Node   SrcIntf   vlan
––––––––– ––––––––– ––––––––––––––––  –––––––––––––-  ––––––––––––––––––-  –––––––––––––––––-   –––––   –––––––––  ––––––
 32773    49153   uni/tn-TSW       uni/tn-TSW  00:00:11:00:00:11  11:00:32:00:00:33   101     port-     2
                  _Tenant0/ap-     _Tenant0/ap-                                               channel8
                  tsw0AP0/epg-     tsw0AP0/epg-
                  tsw0ctx0BD0epg5  tsw0ctx0BD0epg6 

ステップ 3

次の例では、show acllog permit l3 pkt tenant <tenant name> vrf <vrf name> [detail] コマンドを使用して、送信された一般的な VRF ACL レイヤ 3 許可パケットに関する詳細情報を表示する方法を示しています。

apic1# show acllog permit l3 pkt tenant common vrf default detail acllog permit l3 packets detail:
srcIp      : 10.2.0.19
dstIp      : 10.2.0.16
protocol   : udp
srcPort    : 13124
dstPort    : 4386
srcIntf    : port-channel5
vrfEncap   : VXLAN: 2097153
pktLen     : 112
srcMacAddr : 00:00:15:00:00:28
dstMacAddr : 00:00:12:00:00:25
timeStamp  : 2015-03-17T21:31:14.383+00:00

ステップ 4

次の例では、show acllog permit l2 pkt tenant <tenant name> vrf <vrf name> srcintf <s interface> コマンドを使用して、インターフェイス ポートチャネル 15 から送信されたデフォルトの VRF レイヤ 2 パケットに関する情報を表示する方法を示しています。

apic1# show acllog permit l2 pkt tenant common vrf default srcintf port-channel5         
acllog permit L2 Packets 
      Node          srcIntf       pktLen     timeStamp    
 --------------  --------------  --------  -------------- 
                 port-channel5      1      2015-03-17T21: 
                                           31:14.383+00:00