Entender a ACI Aplicar validação de domínio

Introdução

Este documento descreve a configuração Aplicar validação de domínio e seus benefícios. 

Aplicar validação de domínio explicada

Por padrão, a opção Aplicar validação do domínio não está habilitada, portanto, se um EPG estiver configurado com uma {porta, VLAN} estática onde um domínio contendo essa VLAN não estiver presente, isso acontecerá: 

• A Application Centric Infrastructure (ACI) gera a falha F0467 "Falha na configuração de <caminho> devido à configuração de caminho inválido".
• A VLAN é implantada na interface.
• O tráfego é encaminhado na interface específica.

Esse erro de configuração pode ser evitado pela opção Aplicar validação de domínio.

Cuidado: NÃO HABILITE ESTE RECURSO EM UMA ESTRUTURA EXISTENTE SEM A DILIGÊNCIA DEVIDA APROPRIADA.

Este recurso não pode ser desativado depois de ativado. Você pode ter configurações existentes que estavam funcionando, mesmo que estivessem incorretas. Antes de ativá-lo, verifique a atribuição de domínio para os EPGs e os AEPs associados.

Impor Validação de Domínio: Desabilitado (Comportamento Padrão)

Verificação de validação de domínio de aplicação da CLI do APIC. O estado padrão indica que a validação de domínio está desabilitada.

APIC# moquery -c infraSetPol | egrep"domainValidation"
domainValidation               : no

Suponha que a vlan 420 do encapsulamento não esteja ligada ao domínio/AEP associado ao EPG. A VLAN 420 ainda está implantada na interface esperada. 

leaf# show vlan encap-id 420 extended
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13 

"
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13                  
19   lc_TN:lc_BD                      vxlan-16416666   Eth1/13                  

leaf# show int eth 1/13 trunk | grep -A Allowed          
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
Eth1/13        1,19

APIC# moquery -c infraSetPol | egrep "domainValidation"
domainValidation               : yes

leaf# acidiag  touch clean 
This command can wipe out this device, Proceed? [y/N] y
leaf# reload
This command can reload the chassis, Proceed (y/n)? [n]: y

leaf# show int eth 1/13 trunk | grep -A 2 Allowed           
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
 Eth1/13        none

A habilitação da validação de domínio é considerada uma prática recomendada, portanto, uma vez habilitada, não há opção para reverter a alteração.

Uma API POSTMAN mostra que a postagem para alterar a configuração não foi bem-sucedida.

A solicitação de validação de domínio é uma operação única. Não São Permitidas Mais Alterações.

Como essa configuração não era um padrão durante a versão inicial, qualquer alteração futura imposta na configuração padrão pode causar falha na configuração incorreta, resultando em interrupções. 

Por esse motivo, a configuração é configurável pelo usuário.

Troubleshooting

A falha F0467 é acionada para EPGs afetados com associações de políticas de acesso ausentes.

Consulte este artigo Isolamento de início rápido sobre como solucionar problemas da falha.

Informações Relacionadas

• Endereço Código de falha ACI F0467: invalid-vlan, invalid-path, encap-already-in-use
• Configuração de uma estrutura da ACI: Exemplo de configuração inicial > Configurações do sistema
• Guia de design da Cisco Application Centric Infrastructure (ACI) > Validação do domínio EPG