全面繫統地介紹ACI，幫助讀者從原理深入理解ACI的技術特點與優勢。本書涵蓋了故障排除和自動化內容，有助於提高讀者的實操能力。本書旨在為設計與部署ACI提供現場指導，並試圖彌合傳統網絡架構與ACI之間的鴻 溝。身為網絡管理員，特別是在新技術方面尋找相關且準確的信息上，我們也意識到壓力 和挑戰。作者嘗試將這些信息彙總到一起並進行深入解析，作為網絡管理員優先涉獵的資 源。本書著重討論了如何優選限度減少操作的復雜性，並優選化可支持性的很好實踐，衷 心希望它能夠解決絕大多數常見的部署問題。■ 等

●第1章 ACI客戶指南 1
1.1 產業趨勢與變革 1
1.2 下一代數據中心 2
1.2.1 新的應用類型 2
1.2.2 自動化、編排和雲 3
1.2.3 端到端安全性 4
1.3 主干—葉（Spine-Leaf）架構 5
1.4 ACI概述 8
1.5 ACI功能組件 9
1.5.1 Nexus 9500 9
1.5.2 Nexus 9300 9
1.5.3 以應用為中心的基礎設施控制器 10
1.6 激活ACI矩陣協議 10
1.6.1 數據平面協議 10
1.6.2 控制平面協議 11
1.7 與ACI交互 12
1.7.1 GUI 12
1.7.2 NX-OS CLI 12
1.7.3 開放式REST API 13
1.8 策略模型簡介 13
1.8.1 應用配置描述（AP）和端點組（EPG） 13
1.8.2 VRF和橋接域（BD） 14
1.9 矩陣拓撲 14
1.9.1 單站點模型 14
1.9.2 lti-Pod模型 14
1.9.3 lti-Site模型 15
1.10 小結 15

第2章 矩陣構建 16
2.1 構建一個更好的網絡 16
2.1.1 關於矩陣的考量 17
2.1.2 分階段向ACI遷移 28
2.1.3 向以應用為中心的模式演進 35
2.2 與虛擬機管理器（VMM）的集成 39
2.2.1 AVS 39
2.2.2 VMware 41
2.2.3 Microsoft 42
2.2.4 OpenStack 43
2.3 4～7層服務 44
2.3.1 納管模式（Managed Mode） 44
2.3.2 非納管模式（Unmanaged Mode） 46
2.4 其他 lti-Site配置 46
2.4.1 ACI Stretched Fabric 48
2.4.2 ACI lti-Pod 48
2.4.3 ACI lti-Site 49
2.4.4 ACI雙矩陣設計 49
2.4.5 分布式網關（Pervasive Gateway） 50
2.4.6 虛擬機管理器的考量 50
2.5 小結 51

第3章 矩陣上線 53
3.1 開箱並初始化 53
3.1.1 建議開啟的服務 54
3.1.2 管理網絡 56
3.1.3 配置控制器之所見 57
3.2 首次登錄APIC GUI 62
3.2.1 基礎模式與高級模式 63
3.2.2 矩陣發現 66
3.2.3 葉節點擴展交換機（FEX） 68
3.3 必需的服務 68
3.3.1 基礎模式的初始化設置 69
3.3.2 高級模式的初始化設置 73
3.3.3 管理網絡 80
3.3.4 矩陣策略 82
3.4 管理軟件版本 83
3.4.1 固件倉庫 84
3.4.2 控制器固件和維護策略 85
3.4.3 配置管理 87
3.5 小結 91

第4章 ACI與虛擬化技術集成 92
4.1 為什麼要集成 92
4.2 虛擬機與容器網絡 93
4.2.1 ACI與虛擬交換機集成的優勢 95
4.2.2 ACI集成與軟件疊加（Overlay）網絡的比較 97
4.2.3 虛擬機管理域（VMM Domain） 99
4.2.4 EPG分段與微分段（Micro-Segmentation） 104
4.2.5 EPG內部隔離與EPG內合約 111
4.2.6 ACI與刀片繫統虛擬交換機集成 114
4.2.7 OpFlex 117
4.2.8 多數據中心部署 117
4.3 VMware vSphere 118
4.3.1 ACI與vSphere VSS共存 119
4.3.2 ACI與vSphere VDS共存 120
4.3.3 ACI與vSphere VDS集成 121
4.3.4 vCenter賬戶要求 122
4.3.5 VDS上的微分段 123
4.3.6 刀片服務器與VDS集成 123
4.3.7 ACI與思科AVS集成 124
4.3.8 基於VDS和AVS的虛擬網絡設計 125
4.3.9 面向vCenter服務器的ACI插件：通過vCenter配置ACI 128
4.3.10 ACI與VMware NSX共存 131
4.4 Microsoft 131
4.4.1 Microsoft Hyper-V與SCVMM簡介 132
4.4.2 集成準備 132
4.4.3 微分段 134
4.4.4 刀片服務器與SCVMM集成 134
4.5 OpenStack 135
4.5.1 ML2和基於組的策略 135
4.5.2 ACI與OpenStack集成 136
4.5.3 面向OpenStack的ACI ML2插件基本操作 137
4.5.4 面向OpenStack的ACI ML2插件安全性 138
4.5.5 面向OpenStack的ACI ML2插件NAT 139
4.5.6 面向OpenStack的ACI GBP插件 141
4.6 Docker網絡與Contiv項目 142
4.7 Kubernetes 146
4.7.1 Kubernetes網絡模型 147
4.7.2 隔離模型 148
4.7.3 為Kubernetes Pod創建新EPG 149
4.7.4 通過注解將Deployment或Namespace分配給EPG 150
4.7.5 Kubernetes對像在ACI上的可見性 151
4.8 公有雲集成 151
4.9 小結 152

第5章 進入ACI網絡世界 153
5.1 探索ACI網絡 154
5.1.1 端點組（EPG）與合約（Contract） 154
5.1.2 VRF與BD 165
5.1.3 將外部網絡連接到矩陣 174
5.1.4 基本模式GUI 180
5.1.5 高級模式接入策略 182
5.2 以網絡為中心VLAN=BD=EPG 192
5.2.1 將策略應用於物理工作負載及虛擬化工作負載 194
5.2.2 將設備逐VLAN遷移至矩陣 196
5.2.3 策略執行（Enforced）VRF與策略放行（Unenforced）VRF 200
5.2.4 3層到核心 200
5.2.5 L3 Out與外部路由網絡 201
5.2.6 L3 Out的簡化對像模型 202
5.2.7 邊界葉節點（Border Leaf） 205
5.2.8 將默認網關遷移至矩陣 206
5.3 小結 209

第6章 ACI外部路由 210
6.1 物理連接考量 210
6.2 路由接口與SVI 211
6.3 外部BD 213
6.4 BFD 214
6.5 接入端口 215
6.6 端口通道 216
6.7 虛擬端口通道 217
6.8 L3 Out彈性網關 218
6.9 HSRP 219
6.10 路由協議 221
6.10.1 靜態路由 222
6.10.2 EIGRP 222
6.10.3 OSPF 223
6.10.4 BGP 227
6.11 外部EPG與合約 230
6.11.1 外部EPG 230
6.11.2 L3 Out EPG與內部EPG之間的合約 231
6.12 多租戶路由考量 231
6.12.1 共享3層外部連接 233
6.12.2 穿透路由 235
6.13 廣域網集成 239
6.13.1 多租戶外部3層連通性的設計建議 240
6.13.2 QoS 241
6.14 組播 243
6.14.1 推薦的組播很好實踐 244
6.14.2 組播配置概述 247
6.15 小結 247

第7章 ACI如此不同 248
7.1 管理矩陣與管理設備 249
7.1.1 集中化CLI 249
7.1.2 繫統儀表板 250
7.1.3 租戶儀表板 251
7.1.4 健康指數 252
7.1.5 物理對像與邏輯對像 253
7.1.6 網絡策略 254
7.2 維護網絡 258
7.2.1 故障管理 258
7.2.2 配置管理 262
7.2.3 軟件升級 269
7.2.4 打破IP設計束縛 273
7.2.5 物理網絡拓撲 274
7.2.6 變革網絡消費模式 278
7.3 小結 279

第8章 邁向以應用為中心的網絡 280
8.1 以網絡為中心的部署 281
8.1.1 在以網絡為中心的部署中取消數據包過濾 282
8.1.2 提高每臺葉交換機的VLAN可擴展性 283
8.1.3 查看以網絡為中心設計的配置 284
8.1.4 以應用為中心的部署：安全性用例 286
8.1.5 白名單模型與黑名單模型 287
8.1.6 策略執行與策略放行：沒有合約的ACI 287
8.1.7 EPG作為一臺基於區域的防火牆 288
8.1.8 合約的安全模型 290
8.1.9 基於思科AVS的狀態防火牆 297
8.1.10 EPG內部通信 299
8.1.11 任意EPG（Any EPG） 301
8.1.12 有效利用資源的合約定義很好實踐 302
8.2 以應用為中心部署的運營用例 303
8.2.1 以應用為中心的監控 303
8.2.2 QoS 304
8.3 遷移至以應用為中心的模型 307
8.3.1 禁用傳統模式BD 307
8.3.2 禁用VRF的策略放行 308
8.3.3 創建新應用配置描述及EPG 308
8.3.4 將端點遷移至新EPG 309
8.3.5 微調安全規則 309
8.4 如何發現應用依賴性 310
8.4.1 專注於新應用 310
8.4.2 遷移現有應用 311
8.5 小結 314

第9章 多租戶 316
9.1 網絡多租戶的需求 316
9.1.1 數據平面多租戶 317
9.1.2 管理平面多租戶 317
9.2 ACI中的多租戶 318
9.2.1 安全域 319
9.2.2 基於角色的訪問控制（RBAC） 320
9.2.3 物理域 324
9.2.4 通過QoS保護邏輯帶寬 326
9.2.5 租戶和應用 327
9.2.6 業務線的邏輯隔離 327
9.2.7 安全性或合規性的邏輯隔離 328
9.3 將資源遷移至租戶 330
9.3.1 創建邏輯租戶結構 331
9.3.2 實施管理平面多租戶 331
9.3.3 遷移EPG與合約 331
9.3.4 導出與導入租戶間通信合約 332
9.3.5 實施數據平面多租戶 334
9.3.6 何時選擇專用VRF或共享VRF 336
9.3.7 多租戶的可擴展性 337
9.4 外部連通性 338
9.5 租戶間連通性 344
9.5.1 VRF間外部連通性 344
9.5.2 VRF間內部連通性（路由洩露） 345
9.6 4～7層服務集成 347
9.6.1 導出4～7層設備 347
9.6.2 4～7層 lti-Context設備 348
9.7 多租戶連通性用例 348
9.7.1 ACI作為傳統網絡 348
9.7.2 將網絡可見性賦予其他部門 348
9.7.3 提供共享服務的跨組織共享網絡 349
9.7.4 外部防火牆互連多個安全區域 350
9.7.5 服務提供商 351
9.8 小結 352

第10章 集成4～7層服務 353
10.1 服務植入 353
10.1.1 當前主流做法 354
10.1.2 納管與非納管（Managed和Unmanaged） 360
10.1.3 生態繫統合作伙伴 365
10.1.4 管理模型 366
10.1.5 功能配置描述 369
10.2 所有主機的安全性 373
10.2.1 建立端到端安全解決方案 375
10.2.2 防火牆集成 380
10.2.3 安全監控集成 392
10.2.4 入侵防御繫統集成 393
10.2.5 服務器負載均衡及ADC集成 397
10.2.6 雙節點服務視圖（Service Graph）的設計 402
10.3 小結 404

第11章 ACI lti-Site設計 405
11.1 打造第2個站點 405
11.1.1 Stretched Fabric設計 408
11.1.2 多矩陣設計 413
11.2 lti-Pod架構 423
11.2.1 ACI lti-Pod應用案例及拓撲支持 424
11.2.2 ACI lti-Pod可擴展性的考量 427
11.2.3 Pod間網絡連通性部署的考量 427
11.2.4 IPN控制平面 429
11.2.5 IPN組播支持 430
11.2.6 主干與IPN連通性的考量 434
11.2.7 自動部署Pod 439
11.2.8 APIC集群部署的考量 440
11.2.9 通過配置區域減少配置失誤的影響 445
11.2.10 遷移策略 446
11.3 lti-Site架構 449
11.3.1 APIC與 lti-Site控制器的功能對比 452
11.3.2 lti-Site的概要（Schema）與模板 453
11.3.3 lti-Site應用案例 457
11.3.4 lti-Site與L3 Out的考量 463
11.3.5 3層組播部署選項 465
11.3.6 將矩陣遷移至ACI lti-Site 466
11.4 小結 468

第12章 排障與監控 469
12.1 如何應對低健康指數 470
12.2 NX-OS命令行界面 471
12.2.1 連接到葉交換機 474
12.2.2 Linux命令 477
12.2.3 將本地對像映射至全局對像 479
12.2.4 若干好用的葉交換機命令 483
12.2.5 解決物理問題 489
12.3 ACI排障工具 496
12.3.1 硬件診斷 496
12.3.2 丟包：計數器同步 498
12.3.3 原子計數器（Atomic Counter） 498
12.3.4 流量鏡像：SPAN與復制服務 500
12.3.5 Troubleshooting Wizard（排障向導） 506
12.3.6 Endpoint Tracker（端點追蹤器） 512
12.3.7 有效利用矩陣資源 514
12.4 監控策略與統計 519
12.4.1 SNMP策略 519
12.4.2 繫統日志策略 521
12.4.3 統計 522
12.5 ACI支持的第三方監控工具 523
12.5.1 IBM Tivoli Netcool 523
12.5.2 SevOne 523
12.5.3 ScienceLogic 524
12.5.4 Splunk 524
12.5.5 Zenoss 524
12.6 小結 524

第13章 ACI可編程性 525
13.1 為什麼需要網絡可編程性 525
13.1.1 傳統網絡自動化的問題 526
13.1.2 SNMP 526
13.1.3 NETCONF與YANG 527
13.1.4 編程接口和SDK 527
13.2 ACI編程接口 528
13.2.1 ACI REST API 528
13.2.2 REST API的身份驗證 529
13.2.3 API Inspector（檢查器） 529
13.2.4 REST API客戶端 529
13.2.5 編程語言調用REST API 530
13.2.6 ACI對像模型 531
13.2.7 GUI調試信息 532
13.2.8 ACI軟件開發套件 538
13.2.9 搜尋自動化與程式化示例 540
13.2.10 沒有矩陣也能開發並測試代碼 540
13.3 通過網絡自動化提高運營效率 543
13.3.1 提供網絡可見性 543
13.3.2 網絡配置外部化 544
13.3.3 交換機端口配置外部化 545
13.3.4 安全配置外部化 546
13.3.5 自動化水平集成 547
13.3.6 產品內置水平集成示例 547
13.3.7 基於外部自動化的水平集成示例 548
13.3.8 自動生成網絡文檔 550
13.4 通過網絡自動化實現更多業務模式 550
13.4.1 敏捷應用部署與DevOps 551
13.4.2 持續部署與持續集成 551
13.4.3 Linux容器與微服務架構 552
13.4.4 配置管理工具 552
13.4.5 私有雲與IaaS 553
13.4.6 與思科企業雲套件集成 554
13.4.7 與VMware vRealize套件集成 555
13.4.8 與Microsoft Azure Pack和Azure Stack的集成 557
13.4.9 與OpenStack集成 557
13.4.10 混合雲 557
13.4.11 平臺即服務 558
13.4.12 ACI與Apprenda集成 558
13.4.13 Mantl和Shipped 559
13.5 ACI應用中心 560
13.6 小結 562

本書是一本講述部署和管理思科ACI解決方案的權威指南，由3位思科架構師和工程師撰寫。本書將幫助讀者順利學習思科的VXLAN解決方案。全書內容涵蓋了ACI基礎入門知識，整合虛擬化和外部路由技術、APIC集中和簡化策略管理、ACI基礎架構故障排除等內容。本書可供網絡技術相關領域的研發人員、市場人員以及數據中心設計、運維人員參考，也可作為大專院校教材使用。