瞭解ACI強制域驗證

簡介

本文檔介紹強制域驗證設定及其優點。 

已解釋強制域驗證

預設情況下，Enforce Domain Validation（強制域驗證）處於啟用狀態，因此，如果為EPG配置了靜態{port， VLAN}，但包含此VLAN的域不存在，則會發生以下情況： 

• 以應用為中心的基礎設施(ACI)引發故障F0467「Configuration failed for <path> due to Invalid Path Configuration」。
• Vlan部署在介面上。
• 流量會在特定介面上轉發。

通過強制域驗證可以防止此配置錯誤。

注意：未經適當的盡職調查，請勿在現有交換矩陣上啟用此功能。

此功能一旦啟用，便無法禁用。 即使現有配置不正確，它們也可以正常工作。啟用之前，請確保驗證對EPG和關聯的AEP的域分配。

強制域驗證：已禁用（預設行為）

APIC CLI強制域驗證驗證。預設狀態表示域驗證已禁用。

APIC# moquery -c infraSetPol | egrep"domainValidation"
domainValidation               : no

假設封裝VLAN 420未繫結到與EPG關聯的域/AEP。Vlan 420仍部署在預期介面上。 

leaf# show vlan encap-id 420 extended
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13 

"
 VLAN Name                             Encap            Ports                    
 ---- -------------------------------- ---------------- ------------------------ 
1    lc_TN:lc_APP:lc_EPG              vlan-420         Eth1/13                  
19   lc_TN:lc_BD                      vxlan-16416666   Eth1/13                  

leaf# show int eth 1/13 trunk | grep -A Allowed          
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
Eth1/13        1,19

APIC# moquery -c infraSetPol | egrep "domainValidation"
domainValidation               : yes

leaf# acidiag  touch clean 
This command can wipe out this device, Proceed? [y/N] y
leaf# reload
This command can reload the chassis, Proceed (y/n)? [n]: y

leaf# show int eth 1/13 trunk | grep -A 2 Allowed           
 Port           Vlans Allowed on Trunk                                             
-----------------------------------------------------------------------------------
 Eth1/13        none

啟用域驗證被視為最佳實踐，因此，一旦啟用，便沒有恢復更改的選項。

POSTMAN API顯示更改設定的帖子未成功。

請求域驗證是一次性操作。不允許進一步更改。

由於在初始發行時此設定不是預設設定，因此將來對預設設定進行的任何強制更改都可能會導致配置不正確失敗，從而導致停機。 

因此，使用者可配置該設定。

疑難排解

對於缺少訪問策略關聯的受影響EPG，將引發故障F0467。

有關如何進行故障排除，請參閱本文的快速啟動隔離。

相關資訊

• 地址ACI故障代碼F0467: invalid-vlan， invalid-path， encap-already-in-use
• 設定ACI交換矩陣：初始設定配置示例>系統設定
• 思科以應用為中心的基礎設施(ACI)設計手冊> EPG域驗證