思科ACI部署完全指南

第 1章　ACI客戶指南 1
1．1　產(chǎn)業(yè)趨勢與變革 1
1．2　下一代數(shù)據(jù)中心 2
1．2．1　新的應用類型 2
1．2．2　自動化、編排和云 3
1．2．3　端到端安全性 4
1．3　主干—葉（Spine-Leaf）架構 5
1．4　ACI概述 8
1．5　ACI功能組件 9
1．5．1　Nexus 9500 9
1．5．2　Nexus 9300 9
1．5．3　以應用為中心的基礎設施控制器 10
1．6　激活ACI矩陣協(xié)議 10
1．6．1　數(shù)據(jù)平面協(xié)議 10
1．6．2　控制平面協(xié)議 11
1．7　與ACI交互 12
1．7．1　GUI 12
1．7．2　NX-OS CLI 12
1．7．3　開放式REST API 13
1．8　策略模型簡介 13
1．8．1　應用配置描述（AP）和端點組（EPG） 13
1．8．2　VRF和橋接域（BD） 14
1．9　矩陣拓撲 14
1．9．1　單站點模型 14
1．9．2　Multi-Pod模型 14
1．9．3　Multi-Site模型 15
1．10　小結 15
第 2章　矩陣構建 16
2．1　構建一個更好的網(wǎng)絡 16
2．1．1　關于矩陣的考量 17
2．1．2　分階段向ACI遷移 28
2．1．3　向以應用為中心的模式演進 35
2．2　與虛擬機管理器（VMM）的集成 39
2．2．1　AVS 39
2．2．2　VMware 41
2．2．3　Microsoft 42
2．2．4　OpenStack 43
2．3　4～7層服務 44
2．3．1　納管模式（Managed Mode） 44
2．3．2　非納管模式（Unmanaged Mode） 46
2．4　其他Multi-Site配置 46
2．4．1　ACI Stretched Fabric 48
2．4．2　ACI Multi-Pod 48
2．4．3　ACI Multi-Site 49
2．4．4　ACI雙矩陣設計 49
2．4．5　分布式網(wǎng)關（Pervasive Gateway） 50
2．4．6　虛擬機管理器的考量 50
2．5　小結 51
第3章　矩陣上線 53
3．1　開箱并初始化 53
3．1．1　建議開啟的服務 54
3．1．2　管理網(wǎng)絡 56
3．1．3　配置控制器之所見 57
3．2　首次登錄APIC GUI 62
3．2．1　基礎模式與高級模式 63
3．2．2　矩陣發(fā)現(xiàn) 66
3．2．3　葉節(jié)點擴展交換機（FEX） 68
3．3　必需的服務 68
3．3．1　基礎模式的初始化設置 69
3．3．2　高級模式的初始化設置 73
3．3．3　管理網(wǎng)絡 80
3．3．4　矩陣策略 82
3．4　管理軟件版本 83
3．4．1　固件倉庫 84
3．4．2　控制器固件和維護策略 85
3．4．3　配置管理 87
3．5　小結 91
第4章　ACI與虛擬化技術集成 92
4．1　為什么要集成 92
4．2　虛擬機與容器網(wǎng)絡 93
4．2．1　ACI與虛擬交換機集成的優(yōu)勢 95
4．2．2　ACI集成與軟件疊加（Overlay）網(wǎng)絡的比較 97
4．2．3　虛擬機管理域（VMM Domain） 99
4．2．4　EPG分段與微分段（Micro-Segmentation） 104
4．2．5　EPG內部隔離與EPG內合約 111
4．2．6　ACI與刀片系統(tǒng)虛擬交換機集成 114
4．2．7　OpFlex 117
4．2．8　多數(shù)據(jù)中心部署 117
4．3　VMware vSphere 118
4．3．1　ACI與vSphere VSS共存 119
4．3．2　ACI與vSphere VDS共存 120
4．3．3　ACI與vSphere VDS集成 121
4．3．4　vCenter賬戶要求 122
4．3．5　VDS上的微分段 123
4．3．6　刀片服務器與VDS集成 123
4．3．7　ACI與思科AVS集成 124
4．3．8　基于VDS和AVS的虛擬網(wǎng)絡設計 125
4．3．9　面向vCenter服務器的ACI插件：通過vCenter配置ACI 128
4．3．10　ACI與VMware NSX共存 131
4．4　Microsoft 131
4．4．1　Microsoft Hyper-V與SCVMM簡介 132
4．4．2　集成準備 132
4．4．3　微分段 134
4．4．4　刀片服務器與SCVMM集成 134
4．5　OpenStack 135
4．5．1　ML2和基于組的策略 135
4．5．2　ACI與OpenStack集成 136
4．5．3　面向OpenStack的ACI ML2插件基本操作 137
4．5．4　面向OpenStack的ACI ML2插件安全性 138
4．5．5　面向OpenStack的ACI ML2插件NAT 139
4．5．6　面向OpenStack的ACI GBP插件 141
4．6　Docker網(wǎng)絡與Contiv項目 142
4．7　Kubernetes 146
4．7．1　Kubernetes網(wǎng)絡模型 147
4．7．2　隔離模型 148
4．7．3　為Kubernetes Pod創(chuàng)建新EPG 149
4．7．4　通過注解將Deployment或Namespace分配給EPG 150
4．7．5　Kubernetes對象在ACI上的可見性 151
4．8　公有云集成 151
4．9　小結 152
第5章　進入ACI網(wǎng)絡世界 153
5．1　探索ACI網(wǎng)絡 154
5．1．1　端點組（EPG）與合約（Contract） 154
5．1．2　VRF與BD 165
5．1．3　將外部網(wǎng)絡連接到矩陣 174
5．1．4　基本模式GUI 180
5．1．5　高級模式接入策略 182
5．2　以網(wǎng)絡為中心VLAN=BD=EPG 192
5．2．1　將策略應用于物理工作負載及虛擬化工作負載 194
5．2．2　將設備逐VLAN遷移至矩陣 196
5．2．3　策略執(zhí)行（Enforced）VRF與策略放行（Unenforced）VRF 200
5．2．4　3層到核心 200
5．2．5　L3 Out與外部路由網(wǎng)絡 201
5．2．6　L3 Out的簡化對象模型 202
5．2．7　邊界葉節(jié)點（Border Leaf） 205
5．2．8　將默認網(wǎng)關遷移至矩陣 206
5．3　小結 209
第6章　ACI外部路由 210
6．1　物理連接考量 210
6．2　路由接口與SVI 211
6．3　外部BD 213
6．4　BFD 214
6．5　接入端口 215
6．6　端口通道 216
6．7　虛擬端口通道 217
6．8　L3 Out彈性網(wǎng)關 218
6．9　HSRP 219
6．10　路由協(xié)議 221
6．10．1　靜態(tài)路由 222
6．10．2　EIGRP 222
6．10．3　OSPF 223
6．10．4　BGP 227
6．11　外部EPG與合約 230
6．11．1　外部EPG 230
6．11．2　L3 Out EPG與內部EPG之間的合約 231
6．12　多租戶路由考量 231
6．12．1　共享3層外部連接 233
6．12．2　穿透路由 235
6．13　廣域網(wǎng)集成 239
6．13．1　多租戶外部3層連通性的設計建議 240
6．13．2　QoS 241
6．14　組播 243
6．14．1　推薦的組播最佳實踐 244
6．14．2　組播配置概述 247
6．15　小結 247
第7章　ACI如此不同 248
7．1　管理矩陣與管理設備 249
7．1．1　集中化CLI 249
7．1．2　系統(tǒng)儀表板 250
7．1．3　租戶儀表板 251
7．1．4　健康指數(shù) 252
7．1．5　物理對象與邏輯對象 253
7．1．6　網(wǎng)絡策略 254
7．2　維護網(wǎng)絡 258
7．2．1　故障管理 258
7．2．2　配置管理 262
7．2．3　軟件升級 269
7．2．4　打破IP設計束縛 273
7．2．5　物理網(wǎng)絡拓撲 274
7．2．6　變革網(wǎng)絡消費模式 278
7．3　小結 279
第8章　邁向以應用為中心的網(wǎng)絡 280
8．1　以網(wǎng)絡為中心的部署 281
8．1．1　在以網(wǎng)絡為中心的部署中取消數(shù)據(jù)包過濾 282
8．1．2　提高每臺葉交換機的VLAN可擴展性 283
8．1．3　查看以網(wǎng)絡為中心設計的配置 284
8．1．4　以應用為中心的部署：安全性用例 286
8．1．5　白名單模型與黑名單模型 287
8．1．6　策略執(zhí)行與策略放行：沒有合約的ACI 287
8．1．7　EPG作為一臺基于區(qū)域的防火墻 288
8．1．8　合約的安全模型 290
8．1．9　基于思科AVS的狀態(tài)防火墻 297
8．1．10　EPG內部通信 299
8．1．11　任意EPG（Any EPG） 301
8．1．12　有效利用資源的合約定義最佳實踐 302
8．2　以應用為中心部署的運營用例 303
8．2．1　以應用為中心的監(jiān)控 303
8．2．2　QoS 304
8．3　遷移至以應用為中心的模型 307
8．3．1　禁用傳統(tǒng)模式BD 307
8．3．2　禁用VRF的策略放行 308
8．3．3　創(chuàng)建新應用配置描述及EPG 308
8．3．4　將端點遷移至新EPG 309
8．3．5　微調安全規(guī)則 309
8．4　如何發(fā)現(xiàn)應用依賴性 310
8．4．1　專注于新應用 310
8．4．2　遷移現(xiàn)有應用 311
8．5　小結 314
第9章　多租戶 316
9．1　網(wǎng)絡多租戶的需求 316
9．1．1　數(shù)據(jù)平面多租戶 317
9．1．2　管理平面多租戶 317
9．2　ACI中的多租戶 318
9．2．1　安全域 319
9．2．2　基于角色的訪問控制（RBAC） 320
9．2．3　物理域 324
9．2．4　通過QoS保護邏輯帶寬 326
9．2．5　租戶和應用 327
9．2．6　業(yè)務線的邏輯隔離 327
9．2．7　安全性或合規(guī)性的邏輯隔離 328
9．3　將資源遷移至租戶 330
9．3．1　創(chuàng)建邏輯租戶結構 331
9．3．2　實施管理平面多租戶 331
9．3．3　遷移EPG與合約 331
9．3．4　導出與導入租戶間通信合約 332
9．3．5　實施數(shù)據(jù)平面多租戶 334
9．3．6　何時選擇專用VRF或共享VRF 336
9．3．7　多租戶的可擴展性 337
9．4　外部連通性 338
9．5　租戶間連通性 344
9．5．1　VRF間外部連通性 344
9．5．2　VRF間內部連通性（路由泄露） 345
9．6　4～7層服務集成 347
9．6．1　導出4～7層設備 347
9．6．2　4～7層Multi-Context設備 348
9．7　多租戶連通性用例 348
9．7．1　ACI作為傳統(tǒng)網(wǎng)絡 348
9．7．2　將網(wǎng)絡可見性賦予其他部門 348
9．7．3　提供共享服務的跨組織共享網(wǎng)絡 349
9．7．4　外部防火墻互連多個安全區(qū)域 350
9．7．5　服務提供商 351
9．8　小結 352
第 10章　集成4～7層服務 353
10．1　服務植入 353
10．1．1　當前主流做法 354
10．1．2　納管與非納管（Managed和Unmanaged） 360
10．1．3　生態(tài)系統(tǒng)合作伙伴 365
10．1．4　管理模型 366
10．1．5　功能配置描述 369
10．2　所有主機的安全性 373
10．2．1　建立端到端安全解決方案 375
10．2．2　防火墻集成 380
10．2．3　安全監(jiān)控集成 392
10．2．4　入侵防御系統(tǒng)集成 393
10．2．5　服務器負載均衡及ADC集成 397
10．2．6　雙節(jié)點服務視圖（Service Graph）的設計 402
10．3　小結 404
第 11章　ACI Multi-Site設計 405
11．1　打造第 2個站點 405
11．1．1　Stretched Fabric設計 408
11．1．2　多矩陣設計 413
11．2　Multi-Pod架構 423
11．2．1　ACI Multi-Pod應用案例及拓撲支持 424
11．2．2　ACI Multi-Pod可擴展性的考量 427
11．2．3　Pod間網(wǎng)絡連通性部署的考量 427
11．2．4　IPN控制平面 429
11．2．5　IPN組播支持 430
11．2．6　主干與IPN連通性的考量 434
11．2．7　自動部署Pod 439
11．2．8　APIC集群部署的考量 440
11．2．9　通過配置區(qū)域減少配置失誤的影響 445
11．2．10　遷移策略 446
11．3　Multi-Site架構 449
11．3．1　APIC與Multi-Site控制器的功能對比 452
11．3．2　Multi-Site的概要（Schema）與模板 453
11．3．3　Multi-Site應用案例 457
11．3．4　Multi-Site與L3 Out的考量 463
11．3．5　3層組播部署選項 465
11．3．6　將矩陣遷移至ACI Multi-Site 466
11．4　小結 468
第 12章　排障與監(jiān)控 469
12．1　如何應對低健康指數(shù) 470
12．2　NX-OS命令行界面 471
12．2．1　連接到葉交換機 474
12．2．2　Linux命令 477
12．2．3　將本地對象映射至全局對象 479
12．2．4　若干好用的葉交換機命令 483
12．2．5　解決物理問題 489
12．3　ACI排障工具 496
12．3．1　硬件診斷 496
12．3．2　丟包：計數(shù)器同步 498
12．3．3　原子計數(shù)器（Atomic Counter） 498
12．3．4　流量鏡像：SPAN與復制服務 500
12．3．5　Troubleshooting Wizard（排障向導） 506
12．3．6　Endpoint Tracker（端點追蹤器） 512
12．3．7　有效利用矩陣資源 514
12．4　監(jiān)控策略與統(tǒng)計 519
12．4．1　SNMP策略 519
12．4．2　系統(tǒng)日志策略 521
12．4．3　統(tǒng)計 522
12．5　ACI支持的第三方監(jiān)控工具 523
12．5．1　IBM Tivoli Netcool 523
12．5．2　SevOne 523
12．5．3　ScienceLogic 524
12．5．4　Splunk 524
12．5．5　Zenoss 524
12．6　小結 524
第 13章　ACI可編程性 525
13．1　為什么需要網(wǎng)絡可編程性 525
13．1．1　傳統(tǒng)網(wǎng)絡自動化的問題 526
13．1．2　SNMP 526
13．1．3　NETCONF與YANG 527
13．1．4　編程接口和SDK 527
13．2　ACI編程接口 528
13．2．1　ACI REST API 528
13．2．2　REST API的身份驗證 529
13．2．3　API Inspector（檢查器） 529
13．2．4　REST API客戶端 529
13．2．5　編程語言調用REST API 530
13．2．6　ACI對象模型 531
13．2．7　GUI調試信息 532
13．2．8　ACI軟件開發(fā)套件 538
13．2．9　搜尋自動化與程式化示例 540
13．2．10　沒有矩陣也能開發(fā)并測試代碼 540
13．3　通過網(wǎng)絡自動化提高運營效率 543
13．3．1　提供網(wǎng)絡可見性 543
13．3．2　網(wǎng)絡配置外部化 544
13．3．3　交換機端口配置外部化 545
13．3．4　安全配置外部化 546
13．3．5　自動化水平集成 547
13．3．6　產(chǎn)品內置水平集成示例 547
13．3．7　基于外部自動化的水平集成示例 548
13．3．8　自動生成網(wǎng)絡文檔 550
13．4　通過網(wǎng)絡自動化實現(xiàn)更多業(yè)務模式 550
13．4．1　敏捷應用部署與DevOps 551
13．4．2　持續(xù)部署與持續(xù)集成 551
13．4．3　Linux容器與微服務架構 552
13．4．4　配置管理工具 552
13．4．5　私有云與IaaS 553
13．4．6　與思科企業(yè)云套件集成 554
13．4．7　與VMware vRealize套件集成 555
13．4．8　與Microsoft Azure Pack和Azure Stack的集成 557
13．4．9　與OpenStack集成 557
13．4．10　混合云 557
13．4．11　平臺即服務 558
13．4．12　ACI與Apprenda集成 558
13．4．13　Mantl和Shipped 559
13．5　ACI應用中心 560
13．6　小結 562