Vietnamese Professional - DCACI

Lab vCenter Integration (Phần 5)

anhnguyxn — Wed, 22 Jul 2026 02:56:32 GMT

Task 3: Liên kết EPG với VMM Domain, Assign VMs vào port group

Truy cập vào giao diện của APIC và nhấn vào Tenants, sau đó mở rộng Tenants  Application Profiles  Application EPGs  App  Domain. Nhấn chuột phải vào Domains và chọn Add VMM Domain Association

Chọn DVS

Nhấn Submit

Tương tự với Database và Web chúng ta tiến hành thực hiện lại các bước trên

Lúc này trên vCenter của chúng ta đã xuất hiện thêm cái port group

Lab vCenter Integration (Phần 4)

anhnguyxn — Wed, 22 Jul 2026 02:54:06 GMT

Task 2: Thêm ESXi host vào DVS

Truy cập vào vCenter tại phần Network

Nhấn chuột phải vào DVS mà chúng ta vừa tạo và chọn Add and Manage Hosts

Chọn Add hosts

Chọn host ESXi và nhấn Next

Nhấn Next

Chọn Assign Port Group

Chúng ta sẽ nhấn vào Assign quarantine

Nhấn Next

Next

Finish để hoàn thành việc thêm host ESXi vào DVS

Lab vCenter Integration (Phần 3)

anhnguyxn — Wed, 22 Jul 2026 02:52:09 GMT

Đầu tiên là tạo folder, tạo vSphere Distributed Switch, thêm Distributed Port Group và cuối cùng là Reconfigure vSphere Distributed Switch

Quay lại phần APIC chúng ta nhấn vào DVS vừa tạo và nhấn vào Vswitch Policy

Chúng ta sẽ chọn LLDP Policy

Nhấn vào Create LLDP Interface Policy

Chúng ta sẽ tạo 1 LLDP Interface Policy được lắng nghe và không được truyền

Chọn vào LLDP Policy vừa tạo

Tiếp theo chúng ta sẽ tạo thêm CDP Policy

Chúng ta sẽ tạo 1 CDP interface policy là Disable_CDP và phần Admin State chọn Disabled rồi nhấn Submit

Sau khi tạo xong CDP interface policy, chúng ta sẽ chọn CDP Policy vừa tạo và nhấn Submit

Thông báo cảnh báo thay đổi policy, nhấn Submit Changes để tiến hành thay đổi

Lúc này vCenter đã thực hiện reconfigure vSphere Distributed Switch

Lab vCenter Integration (Phần 2)

anhnguyxn — Wed, 22 Jul 2026 02:49:45 GMT

Tại phần Associated AEP chọn Create AEP

Nhập tên AEP

Tại phần EPG Deployment nhấn vào +

Chúng ta chọn Tenant, Application Profile, EPG, nhập Encap Vlan, nhập Primary Encap. Chúng ta có thể chọn 3 mode (Access 802.1P, Trunk và Access untagged) sau khi chọn xong nhấn update

Nhấn next

Nhấn Finish để hoàn thành

Quay lại phần VLAN Pool chọn vlan pool mà chúng ta vừa tạo ở trên

Để hoàn thành việc tạo ra VDS cho vCenter thì chúng ta cần phải nhập thông tin login cũng như ip của vCenter. Đầu tiên tại phần vCenter Credentials nhấn + để nhập thông tin login vCenter

Nhấn OK

Nhấn + để thêm thông tin cho vCenter

Tại phần Datacenter chúng ta sẽ cần nhập đúng tên Datacenter bên vCenter

Sau khi nhập xong chúng ta sẽ chọn thông tin login vcenter và nhấn ok

Nhấn Submit để hoàn thành

Ta đã tạo ra Distributed Virtual Switch thành công

Khi tạo khi bên vCenter đã thông báo log

Lab vCenter Integration (Phần 1)

anhnguyxn — Wed, 22 Jul 2026 02:45:57 GMT

Task 1: Config Fabric Access Polices
Tại task này chúng ta sẽ cấu hình VLAN pool và link vCenter với ACI bằng giao diện trên APIC

Trên giao diện của APIC nhấn vào Fabric

Chọn vào Access Policies

Chúng ta sẽ nhấn vào mở rộng thư mục Pools

Nhấn chuột phải vào VLAN và chọn Create VLAN Pool để tiến hành tạo 1 VLAN Pool cho Distributed Virtual Switch mà chúng ta sắp config

Chúng ta sẽ nhập tên cho VLAN Pool này
Tại phần Allocation Mode:
Dynamic Allocation: đây là mode được sử dụng khi kết nối các VMs vào trong fabric, cụ thể hơn là khi sử dụng VMM integration với Hypervisor Management System. Khi chọn mode này VLAN sẽ được gán động (dynamically assigned) vào các port group được tạo trên Distributed Virtual Switch

Static Allocation: đây là mode nên sử dụng khi VLAN Pool sẽ được dùng cho các bare metal host hoặc các thiết bị vật lý. Sau khi tạo EPGs, chúng ta sẽ cần phải gán VLAN static từ pool tới EPG và port.

Tại phần Encap Block nhấn vào nút +

Chúng ta sẽ nhập Range Vlan và Allocation Mode sẽ chọn Inherit allocMode from parent (sử dụng Allocation Mode từ Vlan pool), Role chúng ta có thể chọn External hoặc Internal

Check lại thông tin và nhấn Submit

Vlan pool đã được tạo

Chúng ta sẽ chọn tab Virtual Networking và chọn VMware

Nhấn chuột phải vào thư mục Vmware và chọn Create vCenter Domain

Nhập tên Virtual Switch
Trong APIC khi chúng ta tạo vCenter Domain cho Vmware thì chúng ta có thể chọn 2 loại switch. Loại đầu tiên chúng ta có thể sử dụng vSphere Distributed Switch của VMWare hoặc Cisco AVE (ACI Virtual Edge)

Cisco ACI là gì? Vì sao đây là nền tảng Data Center được thiết kế cho kỷ nguyên AI?

dangquangminh — Tue, 21 Jul 2026 01:12:59 GMT

Cisco ACI là gì? Vì sao đây là nền tảng Data Center được thiết kế cho kỷ nguyên AI?

Nếu Cisco Catalyst Center là "bộ não" của mạng Campus, thì Cisco ACI (Application Centric Infrastructure) chính là "bộ não" của Data Center.

ACI không chỉ giúp tự động hóa cấu hình mạng, mà còn thay đổi cách chúng ta thiết kế hạ tầng: không còn lấy mạng làm trung tâm, mà lấy ứng dụng làm trung tâm.

Đó cũng là ý nghĩa của cái tên Application Centric Infrastructure.

ACI là một nền tảng SDN cho Data Center

Cisco ACI là kiến trúc Software-Defined Networking (SDN) dành riêng cho Data Center.

Thay vì cấu hình từng switch Nexus bằng CLI, người quản trị chỉ cần khai báo ý định (Intent) trên APIC (Application Policy Infrastructure Controller). APIC sẽ tự động lập trình toàn bộ hệ thống Leaf-Spine phía dưới.

Ví dụ, thay vì cấu hình hàng chục switch để triển khai một ứng dụng AI, người quản trị chỉ cần định nghĩa:

Ứng dụng AI được phép truy cập GPU Cluster, Storage và Database.

Phần còn lại, APIC sẽ tự động triển khai xuống toàn bộ fabric.

Application-Centric: Thay đổi tư duy thiết kế mạng

Điểm khác biệt lớn nhất của ACI là Application-Centric.

Trong mô hình truyền thống, chúng ta thường suy nghĩ theo:

VLAN
Subnet
ACL
Địa chỉ IP

Còn với ACI, mọi thứ được mô tả theo cấu trúc của ứng dụng.

Ví dụ:

Web Tier
Application Tier
Database Tier
AI Inference Service
GPU Cluster

Sau đó mới định nghĩa chính sách giao tiếp giữa các thành phần.

Điều này giúp mạng phản ánh đúng kiến trúc của ứng dụng thay vì chỉ là tập hợp các địa chỉ IP.

Zero Trust ngay trong Data Center

ACI được thiết kế theo triết lý Zero Trust.

Thay vì để mọi máy chủ trong cùng VLAN có thể giao tiếp tự do, ACI áp dụng micro-segmentation thông qua Endpoint Group (EPG) và Contract.

Ví dụ:

Web Server chỉ được truy cập Application Server.
Application Server chỉ được phép truy cập Database.
GPU Cluster chỉ nhận kết nối từ AI Platform.
Camera IP hoặc máy in hoàn toàn không thể truy cập GPU Farm.

Ngay cả khi một máy chủ bị xâm nhập, phạm vi di chuyển ngang (lateral movement) của kẻ tấn công cũng bị giới hạn đáng kể.

Model-based Configuration

ACI không cấu hình từng interface như cách truyền thống.

Toàn bộ hệ thống được xây dựng theo mô hình (Model-based).

Người quản trị chỉ cần định nghĩa các đối tượng như:

Tenant
VRF
Bridge Domain
Endpoint Group (EPG)
Contract

APIC sẽ tự động chuyển các mô hình này thành cấu hình trên toàn bộ switch Nexus trong fabric.

Nhờ đó, cấu hình nhất quán hơn, giảm đáng kể sai sót khi triển khai các Data Center lớn.

Open API - Sẵn sàng cho Automation và AI

Một ưu điểm nổi bật của ACI là mọi chức năng đều có thể truy cập thông qua Open API.

Điều này cho phép tích hợp ACI với:

Ansible
Terraform
Python
Cisco Nexus Dashboard
GitOps
AI Agent
Các nền tảng AIOps

Thay vì kỹ sư phải cấu hình thủ công, các pipeline CI/CD hoặc AI Agent có thể tự động tạo Tenant, EPG, Contract hay triển khai toàn bộ hạ tầng mạng chỉ bằng API.

Đây là nền tảng quan trọng để xây dựng Data Center tự động hóa và sẵn sàng cho AI.

Vai trò của ACI trong hạ tầng AI

Các cụm AI hiện đại có thể gồm hàng trăm, thậm chí hàng nghìn GPU kết nối với nhau qua mạng tốc độ 400G hoặc 800G. Việc cấu hình thủ công gần như không còn khả thi.

Cisco ACI giúp tự động hóa việc triển khai các GPU Cluster, Storage, AI Platform và chính sách bảo mật trên toàn bộ fabric. Khi kết hợp với Cisco Nexus Dashboard và các công cụ Automation, doanh nghiệp có thể xây dựng một Data Center có khả năng lập trình (Programmable Data Center), nơi hạ tầng mạng được triển khai và thay đổi nhanh như phần mềm.

Kết luận

Cisco ACI không đơn thuần là một giải pháp quản lý switch Nexus. Đây là nền tảng SDN dành cho Data Center, nơi APIC đóng vai trò là SDN Controller điều khiển toàn bộ ACI Fabric.

Điểm mạnh của ACI nằm ở cách tiếp cận Application-Centric, triển khai Zero Trust với micro-segmentation, cấu hình theo Model-based và mở rộng thông qua Open API. Chính những đặc điểm này giúp ACI trở thành nền tảng phù hợp cho các Data Center hiện đại, đặc biệt là các hạ tầng phục vụ AI, Cloud và các ứng dụng quy mô lớn.

Layer 2 và Layer 3: Dữ liệu đi trong LAN hay phải qua Router?

dangquangminh — Sat, 18 Jul 2026 07:34:12 GMT

Layer 2 và Layer 3: Dữ liệu đi trong LAN hay phải qua Router?

Một PC muốn gửi dữ liệu cho thiết bị cùng VLAN thì MAC address là đủ. Nhưng nếu đích nằm ở subnet khác, switch không thể tự giải quyết — lúc này router, IP address và routing table mới thực sự phát huy vai trò.

Đây là ranh giới cốt lõi giữa Layer 2 và Layer 3 trong mô hình OSI.

Layer 2 xử lý frame và MAC address.
Layer 3 xử lý packet và IP address.
Switch kết nối thiết bị trong cùng mạng.
Router kết nối các mạng khác nhau.

Hiểu rõ hai tầng này sẽ giúp bạn xử lý phần lớn các bài toán switching, routing và troubleshooting cơ bản trong CCNA. Switch – thiết bị trung tâm của mạng LAN

Switch dùng để kết nối các thiết bị như PC, server, access point, IP phone, camera, printer, router và firewall.

Khi chọn switch, một yếu tố quan trọng là port density, tức số lượng cổng mà switch cung cấp. Tùy nhu cầu, doanh nghiệp có thể sử dụng switch 24 port, 48 port hoặc switch modular có khả năng mở rộng line card.

Phần lớn switch doanh nghiệp có thể gắn rack và thường được đặt trong phòng máy chủ, tủ mạng hoặc wiring closet. Switch cũng có console port để cấu hình trực tiếp khi triển khai ban đầu hoặc khi mất kết nối quản trị từ xa.

Một số switch dùng nguồn cố định, trong khi các dòng cao cấp hỗ trợ nguồn modular hoặc nguồn dự phòng để tăng khả năng sẵn sàng. Switch chuyển traffic bằng cách nào?

Switch Layer 2 chuyển frame dựa trên MAC address.

Nó không biết sẵn thiết bị nào đang nằm ở cổng nào. Thay vào đó, switch học địa chỉ MAC từ traffic đi vào và lưu thông tin trong MAC address table, còn gọi là CAM table.

Ví dụ:

MAC-A được học trên Gi0/1
MAC-B được học trên Gi0/2
MAC-C được học trên Gi0/3

Khi switch đã biết MAC đích nằm ở đâu, frame sẽ được gửi đúng cổng thay vì flood ra toàn bộ VLAN.

MAC address là gì?

MAC address là địa chỉ Layer 2, thường có độ dài 48 bit và được biểu diễn dưới dạng hexadecimal.

Ví dụ:

001A.2B3C.4D5E

Cần phân biệt:

MAC address là địa chỉ vật lý ở Layer 2.
IP address là địa chỉ logic ở Layer 3.

MAC address gắn với network interface, còn IP address thường được hệ điều hành cấu hình tĩnh hoặc cấp động qua DHCP.

Ba loại MAC address thường gặp

Unicast

Unicast là giao tiếp một-một.

Nếu PC-A gửi dữ liệu đến PC-B và switch đã biết MAC của PC-B nằm ở cổng nào, frame sẽ được chuyển trực tiếp đến cổng đó.

Đây gọi là known unicast forwarding.

Broadcast

Broadcast được dùng khi frame cần gửi đến tất cả thiết bị trong cùng broadcast domain.

Địa chỉ MAC broadcast là:

FFFF.FFFF.FFFF

Ví dụ phổ biến nhất là ARP Request.

Khi PC-A biết IP của PC-B nhưng chưa biết MAC tương ứng, PC-A sẽ gửi ARP Request với destination MAC là địa chỉ broadcast. Switch sau đó flood frame ra các cổng trong cùng VLAN, ngoại trừ cổng nhận vào.

Multicast

Multicast được dùng để gửi dữ liệu đến một nhóm thiết bị cụ thể.

Một số giao thức routing và ứng dụng streaming sử dụng multicast để truyền dữ liệu hiệu quả hơn so với gửi từng bản unicast riêng lẻ.

Switch học MAC như thế nào?

Giả sử Host-A nằm trên Gi0/1 và Host-B nằm trên Gi0/2.

Host-A gửi frame đến Host-B.

Khi frame đi vào Gi0/1, switch đọc source MAC và học rằng:

MAC-A nằm trên Gi0/1

Điểm cần nhớ:

Switch học MAC từ source MAC của frame đi vào, không học từ destination MAC.

Sau đó switch kiểm tra destination MAC.

Nếu MAC-B chưa có trong MAC table, switch sẽ flood frame ra các cổng còn lại trong cùng VLAN. Khi Host-B phản hồi, switch tiếp tục học:

MAC-B nằm trên Gi0/2

Từ thời điểm đó, traffic giữa Host-A và Host-B được chuyển trực tiếp theo unicast.

Quá trình flood khi chưa biết MAC đích được gọi là unknown unicast flooding. Data Link Layer chịu trách nhiệm gì?

Data Link Layer là Layer 2 trong mô hình OSI.

Tầng này chịu trách nhiệm truyền frame giữa các node trên cùng liên kết và cung cấp các chức năng như:

Framing
Addressing
Access control
Flow control
Error detection

Framing

Layer 2 đóng gói packet từ Layer 3 thành frame.

Một Ethernet frame thường chứa:

Source MAC
Destination MAC
EtherType hoặc Length
Payload
Frame Check Sequence

Error detection

Ethernet sử dụng Frame Check Sequence để phát hiện frame lỗi.

Lưu ý: Ethernet chủ yếu phát hiện rồi loại bỏ frame hỏng. Việc truyền lại thường do giao thức tầng trên như TCP xử lý.

Một số giao thức Layer 2

Các giao thức Layer 2 phổ biến gồm:

Ethernet
HDLC
PPP
IEEE 802.1Q
SDLC

Trong mạng LAN hiện đại, Ethernet và IEEE 802.1Q được sử dụng rất rộng rãi.

HDLC và PPP thường gắn với các liên kết point-to-point hoặc môi trường WAN truyền thống. Router – thiết bị kết nối các subnet

Switch Layer 2 xử lý traffic trong cùng broadcast domain.

Router dùng để kết nối các subnet hoặc network khác nhau.

Mỗi interface Layer 3 trên router thường thuộc về một subnet riêng.

Ví dụ:

Gi0/0: 192.168.10.1/24
Gi0/1: 192.168.20.1/24

Nhờ router, các host trong mạng 192.168.10.0/24 có thể giao tiếp với mạng 192.168.20.0/24.

Khi nhận packet, router kiểm tra destination IP và tra routing table để xác định:

Route phù hợp nhất
Next hop
Exit interface

Sau đó packet được forward đến hop kế tiếp.

Routing table chứa những gì?

Routing table lưu các mạng mà router biết cách đi đến.

Các route có thể đến từ:

Directly connected route
Local route
Static route
Dynamic routing protocol

Ví dụ, nếu router có interface 192.168.10.1/24, nó sẽ tự biết mạng 192.168.10.0/24 là mạng connected.

Nếu mạng 10.10.10.0/24 nằm phía sau router khác, router hiện tại phải học route bằng static route hoặc giao thức routing động như OSPF, EIGRP, IS-IS hay BGP.

Ba chức năng chính của Network Layer

Network Layer là Layer 3 trong mô hình OSI.

Tầng này thêm IP header chứa:

Source IP address
Destination IP address

Ba chức năng quan trọng nhất là packetizing, routing và forwarding.

Packetizing

Layer 3 đóng gói dữ liệu từ Transport Layer thành packet.

Ví dụ:

Transport Layer tạo TCP segment.
Network Layer thêm IP header để tạo IP packet.
Data Link Layer tiếp tục đóng gói packet thành frame.

Routing

Routing là quá trình xác định đường đi từ mạng nguồn đến mạng đích.

Router có thể sử dụng static route hoặc giao thức routing động để học và chọn đường đi.

Forwarding

Forwarding là hành động thực tế khi router nhận packet.

Router sẽ:

Đọc destination IP.
Tra routing table.
Chọn route theo longest prefix match.
Xác định next hop hoặc exit interface.
Tạo Layer 2 frame mới.
Gửi packet ra cổng tương ứng.

Routing là quá trình chọn đường.

Forwarding là hành động chuyển packet theo đường đã chọn.

Frame thay đổi qua từng hop như thế nào?

Đây là điểm rất nhiều người mới học thường nhầm.

Khi packet đi qua router:

Layer 2 header cũ bị loại bỏ.
Router kiểm tra Layer 3 packet.
Router tạo Layer 2 header mới cho chặng tiếp theo.

Ví dụ, PC-A gửi traffic đến Server-B qua Router-R1.

Trên đoạn từ PC-A đến R1:

Source MAC là MAC của PC-A.
Destination MAC là MAC của R1.
Source IP là IP của PC-A.
Destination IP là IP của Server-B.

Khi R1 chuyển packet sang router kế tiếp:

Source MAC đổi thành MAC của interface đi ra trên R1.
Destination MAC đổi thành MAC của next hop.
Source và destination IP vẫn giữ nguyên, trừ khi có NAT hoặc cơ chế đặc biệt.

Có thể nhớ:

MAC thay đổi theo từng hop. IP dùng để nhận diện hai đầu cuối xuyên suốt đường đi. Ví dụ thực tế

PC-A có địa chỉ:

192.168.10.10/24

Default gateway:

192.168.10.1

Server-B có địa chỉ:

192.168.20.20/24

PC-A nhận thấy Server-B không nằm trong local subnet. Vì vậy, PC-A không ARP tìm MAC của Server-B mà ARP tìm MAC của default gateway.

PC-A tạo frame:

Source MAC: MAC của PC-A
Destination MAC: MAC của router
Source IP: 192.168.10.10
Destination IP: 192.168.20.20

Router nhận frame, gỡ Layer 2 header, kiểm tra destination IP rồi tra routing table.

Nếu có route đến 192.168.20.0/24, router tạo frame mới và chuyển packet ra interface phù hợp.

Đó chính là cách Layer 2 switching và Layer 3 routing phối hợp với nhau trong mạng thực tế.

Câu hỏi ôn tập

Layer nào trong mô hình OSI thêm source IP và destination IP vào packet?

A. Application Layer
B. Network Layer
C. Transport Layer
D. Session Layer

Đáp án đúng: B. Network Layer

Network Layer, tức Layer 3, thêm IP header trước khi chuyển packet xuống Data Link Layer để tiếp tục đóng gói thành frame.

7 Lệnh "Cầm Đi Đường" Khi Troubleshooting Mọi Vấn Đề Về Định Tuyến Thực Chiến

dangquangminh — Tue, 14 Jul 2026 00:58:02 GMT

7 Lệnh "Cầm Đi Đường" Khi Troubleshooting Mọi Vấn Đề Về Định Tuyến Thực Chiến

Khi một router không thể ping đến đích, route không xuất hiện trong bảng định tuyến hoặc traffic "biến mất" ở đâu đó trên đường đi, nhiều kỹ sư thường thử đủ loại lệnh mà vẫn chưa xác định được nguyên nhân. Thực tế, trong phần lớn các tình huống troubleshooting IP Routing, chỉ cần thành thạo 7 lệnh dưới đây là bạn đã có thể nhanh chóng khoanh vùng và xử lý sự cố.

1. ping – Kiểm tra khả năng kết nối Layer 3

Lệnh đầu tiên cần sử dụng luôn là ping.

Trong môi trường Enterprise, nên chỉ định source interface hoặc source IP để mô phỏng đúng đường đi của lưu lượng.

Ví dụ:
ping 10.1.14.2 source GigabitEthernet1

Nếu sử dụng VRF:
ping vrf CUSTOMER_A 10.1.14.2 source Loopback0

Điều này đặc biệt hữu ích khi router có nhiều interface hoặc nhiều VRF.

Ngoài địa chỉ unicast, bạn cũng có thể ping địa chỉ multicast OSPF:
ping 224.0.0.5 source GigabitEthernet1

Nếu các neighbor OSPF phản hồi, điều đó cho thấy multicast trên phân đoạn mạng đang hoạt động bình thường.

2. traceroute – Xác định gói tin dừng ở đâu

Nếu ping thất bại, bước tiếp theo là sử dụng traceroute.

Ví dụ:
traceroute 10.1.14.2 source GigabitEthernet1

Traceroute giúp xác định:

Gói tin đi qua những router nào.
Bị mất ở hop nào.
Có xảy ra hiện tượng định tuyến vòng (routing loop) hay không.

Trong trường hợp kiểm tra kết nối với router láng giềng trực tiếp, traceroute thường chỉ có 1 hop, vì vậy đây cũng là cách nhanh để xác minh kết nối Layer 3 giữa hai router.

3. show ip route – Kiểm tra Router có biết đường đi không

Đây là lệnh được sử dụng nhiều nhất khi troubleshooting routing.

Ví dụ:
show ip route 10.1.14.2

Hoặc:
show ip route

Lệnh này giúp xác định:

Route có tồn tại không.
Route được học từ giao thức nào (Connected, Static, OSPF, EIGRP, BGP...).
Administrative Distance (AD).
Metric.
Next-hop và interface gửi lưu lượng.

Nếu không có route trong Routing Table, router sẽ không thể chuyển tiếp gói tin.

4. show ip cef – Kiểm tra đường chuyển tiếp thực tế

Routing Table chỉ cho biết đường đi logic.

Thực tế, router chuyển tiếp gói tin dựa trên Cisco Express Forwarding (CEF).

Ví dụ:
show ip cef 10.1.14.2

Kết quả sẽ cho biết:

Next-hop thực tế.
Interface được sử dụng để chuyển tiếp.
FIB (Forwarding Information Base) đã được cập nhật hay chưa.

Trong nhiều trường hợp, Routing Table đã đúng nhưng CEF chưa cập nhật hoặc bị lỗi, khiến traffic vẫn không đi được.

5. show ip cef exact-route – Mô phỏng chính xác đường đi của một gói tin

Đây là một trong những lệnh rất mạnh nhưng ít được sử dụng.

Ví dụ:
show ip cef exact-route 10.1.1.1 10.2.2.2

Trong đó:

Tham số đầu tiên là địa chỉ nguồn (source).
Tham số thứ hai là địa chỉ đích (destination).

Lệnh sẽ mô phỏng chính xác router sẽ chọn đường nào cho gói tin đó, rất hữu ích khi:

Có ECMP (Equal-Cost Multi-Path).
Có Policy-Based Routing (PBR).
Có nhiều đường đi với cùng metric.

6. show ip arp – Kiểm tra phân giải địa chỉ MAC

Nếu route đã đúng nhưng vẫn không truyền được dữ liệu, hãy kiểm tra bảng ARP.

Ví dụ:
show ip arp 10.1.14.2

Nếu router không phân giải được địa chỉ MAC của next-hop, gói tin cũng không thể được gửi đi, dù bảng định tuyến hoàn toàn chính xác.

Đây là bước kiểm tra quan trọng khi xử lý các sự cố liên quan đến Ethernet hoặc VLAN.

7. Kết hợp các lệnh để khoanh vùng sự cố

Trong thực tế, các kỹ sư mạng hiếm khi chỉ sử dụng một lệnh. Một quy trình troubleshooting điển hình thường là:
Ping
↓
Traceroute
↓
Show ip route
↓
Show ip cef
↓
Show ip cef exact-route
↓
Show ip arp

Chuỗi kiểm tra này giúp xác định rất nhanh vấn đề nằm ở đâu:

Mất kết nối Layer 3?
Thiếu route?
Chọn sai next-hop?
Lỗi CEF?
Không phân giải được ARP?
Hay traffic đang đi theo một đường khác với dự kiến?

Ghi nhớ

Khi gặp bất kỳ sự cố định tuyến nào, hãy luôn mang theo "bộ công cụ" gồm 7 lệnh sau:
ping
traceroute
show ip route
show ip cef
show ip cef exact-route
show ip arp
ping 224.0.0.5 source (đối với OSPF)

Đây là những lệnh được các kỹ sư vận hành mạng sử dụng hàng ngày để xử lý sự cố trên các hệ thống Enterprise, Data Center và Service Provider. Thành thạo chúng sẽ giúp bạn rút ngắn đáng kể thời gian troubleshooting và nhanh chóng xác định nguyên nhân của hầu hết các vấn đề về định tuyến IP.

Chia sẻ Lab L2 Physical Domain (Phần 4)

anhnguyxn — Fri, 10 Jul 2026 01:56:13 GMT

Task 4: Tích hợp VMM Domain vào DB EPG
Chúng ta sẽ truy cập vào Fabric  Access Policies rồi sau đó mở rộng thư mục Pools  VLAN

Chọn DVS Vlans mà chúng ta đã tích hợp vào vCenter

Chúng ta sẽ thêm 1 Encap Block mới trong DVS Vlans

Range chúng ta sẽ cho là 2105 và Allocation Mode chọn Static rồi nhấn Submit

Quay lại phần Tenents  Chọn Tenents  Application Profiles  Chọn Profile  Application EPGs  DB  Domain

Nhấn chọn vào VMM

VLAN mode chúng ta sẽ đổi sang static và Port Encap chúng ta nhập range vlan vừa nảy mà chúng ta tạo thêm rồi nhấn OK

Sau khi xong chúng ta sẽ mở rộng thư mục Networking  Bride Domains  App_BD  Subnets

Chúng ta sẽ thêm 1 Subnet mới cho App_BD

Nhập Gateway và nhấn Submit

Chia sẻ Lab L2 Physical Domain (Phần 3)

anhnguyxn — Fri, 10 Jul 2026 01:49:46 GMT

Task 3: Kết hợp DB EDP vào PD
Đầu tiên truy cập vào Tenents  Chọn Tenents  Application Profiles  Chọn Profile  Application EPGs  DB  Domains (VMs and Bare-Metals)

Ta sẽ thêm Physical Domain Association

Chọn Physical Domain Profiles và nhấn Submit

Chúng ta sẽ tiếp tục thêm 1 Static Port tại DB

Chúng ta sẽ chọn Node là Leaf 102 (chúng ta đang cấu hình trên node này), Path là port chúng ta vừa chọn ở task 2, tương tự với Encap Vlan rồi nhấn Next

Nhấn Finish để hoàn thành

Ở phần Application EPGs chúng ta sẽ chọn DB rồi sau đó chọn Policy và chọn General

Phần Bridge Domain chúng ta sẽ chuyển về App_BD rồi sau đó nhấn Submit

Chọn Submit Changes

Chia sẻ Lab L2 Physical Domain (Phần 2)

anhnguyxn — Fri, 10 Jul 2026 01:45:20 GMT

Task 2: Cấu hình Leaf Access Port, Policy Group và gán Port
Tại Fabric  Access Policies, chúng ta sẽ mở rộng thư mục Interfaces  Leaf Interfaces  Policy Group  Leaf Access Port

Tạo Leaf Access Port Policy Group

Nhập tên cho Leaf Access Port Policy Group, sau đó chọn AEP của Physical Domains vừa tạo, Link Level là 10G, CDP và LLDP đều chọn Enable rồi nhấn Submit để hoàn thành

Tiếp theo chúng ta sẽ tạo thêm Profile cho Leaf

Nhập tên Profile

Nhấn vào + ở phần Interface Selectors để thêm Interface
Nhập tên Port, Interface ID và chọn Interface Policy Groups rồi sau đó nhấn OK

Nhấn Submit để hoàn thành

Chúng ta sẽ mở rộng phần Switches  Leaf Switches  Profiles

Ta sẽ tạo ra một Leaf Profiles

Nhập tên profile

Nhấn + Leaf Selectors, nhập tên Leaf, và chọn Block Leaf

Nhấn Next

Chọn Selector profiles và nhấn Finish

Chia sẻ Lab L2 Physical Domain (Phần 1)

anhnguyxn — Fri, 10 Jul 2026 01:41:54 GMT

Task 1: Tạo Vlan pool, AEP, Physical Domain
Đầu tiên vào phần Fabric  Access Policies  Pool

Nhập tên Vlan Pool và Allocation Mode chọn Static Allocation

Tạo thêm range vlans

Nhấn Submit để hoàn thành việc tạo 1 Pool Vlans mới

Tiếp theo vẫn tại phần Access Policies, chúng ta sẽ mở rộng phần Policies  Global  Attachable Access Entity Profiles

Chúng ta sẽ tạo 1 AEP mới

Nhập tên AEP và nhấn Next

Nhấn Finish để hoàn thành

Chúng ta sẽ mở rộng thư mục Physical and External Domains  Physical Domains

Chúng ta sẽ tiến hành tạo 1 Physical Domains mới

Nhập tên Physical Domains, chọn AEP và Pool vlans vừa tạo cho Physical Domains này rồi nhấn Submit

Toàn cảnh cấu hình một Fabric BGP EVPN-VXLAN

dangquangminh — Thu, 09 Jul 2026 12:40:00 GMT

Toàn cảnh cấu hình một Fabric BGP EVPN-VXLAN

Hình trên là bản tóm tắt toàn bộ các thành phần cần cấu hình để xây dựng một Fabric BGP EVPN-VXLAN gồm hai Leaf và một Spine. Chỉ trong một sơ đồ, chúng ta có thể thấy rõ mối quan hệ giữa Underlay, Overlay, VXLAN và EVPN, cũng như vai trò của từng thành phần trên mỗi thiết bị.

1. Underlay – Mạng IP làm nền cho Fabric

Lớp dưới cùng của sơ đồ là Underlay, nơi các switch Spine và Leaf kết nối với nhau bằng mạng IP Layer 3.

Trong ví dụ này, giao thức định tuyến OSPF được sử dụng để quảng bá các địa chỉ Loopback (Lo0) của tất cả các switch.

Vai trò của Underlay rất đơn giản:

Đảm bảo mọi địa chỉ VTEP (Loopback) đều có thể liên lạc với nhau qua mạng IP.

Underlay không quan tâm VLAN, VRF hay Tenant, mà chỉ cần biết cách chuyển tiếp gói IP giữa các switch.

2. Loopback (Lo0) – Địa chỉ của VTEP

Mỗi Leaf đều có một Loopback Interface (Lo0).

Địa chỉ này thường được sử dụng làm VTEP IP (VXLAN Tunnel Endpoint).

Ví dụ:

Leaf1: 10.1.1.1
Leaf2: 10.1.1.2

Khi tạo VXLAN Tunnel, hai đầu tunnel sẽ sử dụng chính các địa chỉ Loopback này để đóng gói và giải đóng gói lưu lượng.

Nhờ sử dụng Loopback thay vì địa chỉ của cổng vật lý, tunnel vẫn hoạt động ổn định ngay cả khi có thay đổi đường đi trong Underlay.

3. Overlay – EVPN chạy trên BGP

Lớp thứ hai là Overlay, được xây dựng bằng MP-BGP EVPN.

Trong sơ đồ, các phiên BGP được thiết lập giữa:

Leaf ↔ Spine

Spine thường đóng vai trò BGP Route Reflector (RR), giúp các Leaf không cần thiết lập kết nối BGP trực tiếp với nhau.

Thông qua EVPN, các Leaf trao đổi:

Địa chỉ MAC
Địa chỉ IP
VTEP
VNID
Thông tin VRF
Trạng thái MAC Mobility

Nhờ vậy, các switch học được thông tin mạng thông qua BGP thay vì phải flood như Ethernet truyền thống.

4. NVE Interface – Điểm đầu của VXLAN Tunnel

Khối NVE1 (Network Virtualization Edge) là thành phần quan trọng nhất của VXLAN.

Có thể xem NVE là cổng vào của toàn bộ hệ thống VXLAN.

NVE có nhiệm vụ:

Tạo VXLAN Tunnel
Đóng gói (Encapsulation)
Giải đóng gói (Decapsulation)
Ánh xạ VNI với mạng nội bộ

Khi một frame Ethernet cần đi sang Leaf khác, chính NVE sẽ đóng gói frame này vào gói UDP VXLAN trước khi gửi qua Underlay.

5. L2VNI – Mở rộng mạng Layer 2

Mỗi VLAN trong Fabric sẽ được ánh xạ với một Layer 2 VNI (L2VNI).

Ví dụ:
VLAN 10
│
▼
L2VNI 10010

Từ thời điểm này, VLAN không còn bị giới hạn trong một switch nữa mà có thể mở rộng qua toàn bộ Fabric.

Các máy chủ cùng L2VNI sẽ hoạt động như đang ở chung một switch Layer 2 mặc dù thực tế nằm trên nhiều Leaf khác nhau.

6. L3VNI – Định tuyến giữa các VLAN

Nếu L2VNI phục vụ chuyển mạch Layer 2 thì L3VNI đảm nhiệm việc định tuyến Layer 3 giữa các mạng khác nhau.

Trong sơ đồ:
SVI
│
L3VNI
│
Core VLAN

L3VNI được liên kết với một VRF, đại diện cho một bảng định tuyến riêng của từng Tenant.

Nhờ đó, các VLAN trong cùng một Tenant có thể định tuyến với nhau ngay trên Leaf mà không cần đưa lưu lượng lên thiết bị trung tâm.

Đây chính là cơ chế Distributed Anycast Gateway rất phổ biến trong các Fabric hiện đại.

7. SVI – Gateway của máy chủ

Mỗi VLAN sẽ có một SVI (Switch Virtual Interface).

SVI chính là địa chỉ Default Gateway của:

Máy chủ
Máy ảo
Container
Thiết bị đầu cuối

Trong EVPN-VXLAN, cùng một địa chỉ Gateway có thể tồn tại trên tất cả các Leaf.

Điều này giúp máy chủ luôn truy cập Gateway cục bộ, giảm đáng kể lưu lượng East-West phải đi qua Spine.

8. Mapping VLAN ↔ L2VNI

Một bước cấu hình rất quan trọng là ánh xạ:
VLAN
↔
L2VNI

Ví dụ:
VLAN 10
↔
VNI 10010

Nhờ cơ chế Mapping này, khi frame từ VLAN 10 đi vào NVE, switch sẽ biết cần đóng gói bằng VNI nào để gửi sang Leaf khác.

9. Data Plane – VXLAN Encapsulation

Đường nét đứt ở giữa hình thể hiện Data Plane VXLAN.

Đây là nơi lưu lượng thực tế của người dùng được vận chuyển.

Quy trình hoạt động:
Server
↓

Leaf

↓

NVE

↓

VXLAN Tunnel

↓

NVE

↓

Leaf

↓

Server

Underlay chỉ nhìn thấy các gói IP giữa hai địa chỉ VTEP, còn toàn bộ thông tin MAC, VLAN và Tenant được mang bên trong gói VXLAN.

Tổng kết

Để triển khai một Fabric BGP EVPN-VXLAN, mỗi Leaf thường cần cấu hình các thành phần sau:

OSPF để xây dựng Underlay IP Fabric và quảng bá địa chỉ Loopback.
Loopback (Lo0) làm địa chỉ VTEP cho các đường hầm VXLAN.
MP-BGP EVPN để trao đổi thông tin MAC, IP, VNI và VRF trong Overlay.
NVE Interface để tạo và quản lý các VXLAN Tunnel.
L2VNI để mở rộng mạng Layer 2 giữa các Leaf.
L3VNI để định tuyến giữa các VLAN trong cùng một VRF/Tenant.
SVI làm Default Gateway phân tán cho máy chủ và máy ảo.
Mapping VLAN ↔ L2VNI để liên kết mạng VLAN truyền thống với VXLAN.

Có thể ghi nhớ kiến trúc này bằng một câu ngắn gọn:

OSPF xây dựng Underlay, BGP EVPN xây dựng Overlay, NVE tạo VXLAN Tunnel, còn L2VNI/L3VNI kết nối thế giới VLAN truyền thống với hạ tầng Fabric hiện đại.

Đây cũng là kiến trúc nền tảng được sử dụng trong hầu hết các AI Data Center, Cisco Nexus EVPN Fabric, VMware NSX, OpenShift và các hạ tầng Cloud Data Center hiện nay.

Mp-bgp

dangquangminh — Thu, 09 Jul 2026 08:21:11 GMT

Slide này đi sâu vào Control Plane của EVPN-VXLAN, giải thích vì sao BGP EVPN (MP-BGP) được sử dụng để thay thế cơ chế học MAC truyền thống của Ethernet. Đây là một trong những kiến thức quan trọng nhất khi học Cisco Nexus EVPN-VXLAN, Cisco ACI hoặc SD-Access.

EVPN Overlay Design – Vì sao VXLAN lại sử dụng MP-BGP?

Ở các mạng Ethernet truyền thống, switch học địa chỉ MAC bằng cơ chế rất quen thuộc:

Thiết bị gửi frame.
Switch đọc Source MAC.
Ghi MAC vào bảng CAM.
Nếu chưa biết Destination MAC, switch sẽ flood frame ra toàn bộ VLAN.

Cơ chế này hoạt động tốt trong mạng nhỏ, nhưng khi mở rộng lên Data Center với hàng nghìn switch và hàng chục nghìn máy chủ, việc flood liên tục sẽ làm tăng lưu lượng không cần thiết và gây lãng phí tài nguyên.

Đó là lý do EVPN (Ethernet VPN) ra đời.

Thay vì học MAC bằng Data Plane, EVPN chuyển sang học MAC bằng Control Plane thông qua Multiprotocol BGP (MP-BGP).

MP-BGP – "Bộ não" của EVPN

Trong hình bên trái, tất cả các Leaf Switch đều thiết lập phiên MP-BGP với hệ thống Fabric.

Khác với BGP truyền thống chỉ quảng bá các tiền tố IPv4 hoặc IPv6, MP-BGP có khả năng mang nhiều loại thông tin định tuyến (Address Family) khác nhau.

Ví dụ:

IPv4 Unicast
IPv6 Unicast
VPNv4
VPNv6
EVPN

Trong EVPN-VXLAN, MP-BGP được sử dụng để quảng bá:

Địa chỉ MAC của endpoint.
Địa chỉ IP của endpoint.
VNI (VXLAN Network Identifier).
VTEP IP.
Thông tin Multi-Homing.
Thông tin Multicast.

Nhờ đó, mỗi Leaf đều biết chính xác endpoint đang ở đâu mà không cần flood để tìm kiếm.

EVPN NLRI là gì?

Slide đề cập đến:

New BGP EVPN NLRI is defined in RFC 7432

NLRI (Network Layer Reachability Information) là phần dữ liệu mà BGP dùng để quảng bá thông tin định tuyến.

Với EVPN, RFC 7432 định nghĩa một kiểu NLRI hoàn toàn mới để mang thông tin của mạng Layer 2, thay vì chỉ quảng bá các mạng IP như BGP truyền thống.

Nói cách khác:

BGP truyền thống quảng bá IP Prefix.
EVPN quảng bá MAC, IP và các thông tin của Fabric.

Route Type trong EVPN

RFC 7432 quy định nhiều loại bản tin (Route Type) khác nhau. Mỗi loại phục vụ một mục đích riêng trong Fabric.

Route Type 1 – Ethernet Auto-Discovery (A-D)

Được sử dụng để:

Phát hiện các Ethernet Segment.
Hỗ trợ Multi-Homing.
Xử lý cơ chế dự phòng và cân bằng tải.

Đây là Route Type rất quan trọng trong các thiết kế EVPN có máy chủ kết nối đồng thời tới nhiều Leaf Switch thông qua EVPN Multihoming.

Route Type 2 – MAC/IP Advertisement

Đây là Route Type quan trọng nhất và cũng là loại được sử dụng nhiều nhất.

Nhiệm vụ của Route Type 2 là quảng bá:

MAC Address.
Địa chỉ IP.
VNI.
VTEP.

Ví dụ:
MAC:
0050.56AA.1234

IP:
10.10.10.25

VNI:
10010

VTEP:
192.168.100.11

Khi một máy chủ xuất hiện trong Fabric, Leaf Switch học thông tin này và quảng bá bằng Route Type 2 qua MP-BGP. Các Leaf khác cập nhật ngay cơ sở dữ liệu của mình mà không cần chờ gói tin đầu tiên để học địa chỉ MAC.

Route Type 3 – Inclusive Multicast Ethernet Tag

Được dùng để xây dựng cây phân phối lưu lượng Broadcast, Unknown Unicast và Multicast (BUM Traffic).

Các VTEP sử dụng Route Type 3 để biết cần gửi lưu lượng BUM tới những VTEP nào trong cùng một VNI.

Trong nhiều triển khai hiện đại, Route Type 3 hoạt động kết hợp với cơ chế Ingress Replication hoặc PIM Multicast.

Route Type 4 – Ethernet Segment Route

Được sử dụng trong các kịch bản EVPN Multi-Homing.

Nó quảng bá thông tin về Ethernet Segment Identifier (ESI), giúp nhiều Leaf Switch có thể kết nối tới cùng một máy chủ hoặc thiết bị mà vẫn đảm bảo:

Dự phòng.
Cân bằng tải.
Không tạo vòng lặp Layer 2.

Route Type 5 – IP Prefix Route

Ban đầu, RFC 7432 chỉ định nghĩa bốn Route Type đầu tiên. Sau đó, khả năng quảng bá trực tiếp các mạng IP được bổ sung và chuẩn hóa trong RFC 9136 (trước đây từng được mô tả trong bản Internet Draft được nêu trên slide).

Khác với Route Type 2 quảng bá từng địa chỉ MAC/IP của endpoint, Route Type 5 quảng bá các tiền tố IP (IP Prefix).

Ví dụ:
192.168.10.0/24

10.10.20.0/24

Route Type 5 rất hữu ích trong các mô hình L3 EVPN, cho phép Fabric trao đổi thông tin định tuyến IP giữa các VRF mà không cần dựa vào từng MAC Address.

Route Type 6, 7 và 8

Các Route Type này được bổ sung trong RFC 9251 nhằm hỗ trợ tối ưu việc truyền tải Multicast trong EVPN.

Chúng bao gồm:

Route Type 6: Selective Multicast Ethernet Tag Route.
Route Type 7: IGMP Join/Leave Synchronization Route.
Route Type 8: IGMP Membership Synchronization Route.

Các Route Type này chủ yếu xuất hiện trong những hệ thống có nhu cầu truyền tải Multicast quy mô lớn như IPTV, Video Streaming hoặc các ứng dụng tài chính thời gian thực.

Vì sao EVPN lại dùng BGP?

Có người sẽ đặt câu hỏi:

"Tại sao không dùng OSPF hoặc IS-IS?"

Lý do là BGP có nhiều ưu điểm phù hợp với môi trường Fabric:

Khả năng mở rộng rất lớn, hỗ trợ hàng trăm nghìn đến hàng triệu route.
Dễ triển khai theo mô hình Route Reflector, giảm số lượng phiên kết nối giữa các thiết bị.
Hỗ trợ Multiprotocol Extensions, cho phép quảng bá nhiều loại thông tin khác nhau như IPv4, IPv6, VPN và EVPN.
Có cơ chế chính sách (Policy) rất linh hoạt để kiểm soát việc quảng bá và lựa chọn đường đi.

Nhờ những ưu điểm này, BGP trở thành lựa chọn tiêu chuẩn cho Control Plane của các Fabric hiện đại.

Kết luận

Trong kiến trúc EVPN-VXLAN, MP-BGP đóng vai trò là Overlay Control Plane, chịu trách nhiệm phân phối thông tin về các endpoint và mạng logic trong Fabric. Thay vì để các switch học địa chỉ MAC bằng cơ chế flood-and-learn như Ethernet truyền thống, EVPN sử dụng các Route Type được định nghĩa trong các RFC để quảng bá chủ động thông tin MAC, IP, VNI, Ethernet Segment và các tiền tố IP.

Cách tiếp cận này giúp giảm đáng kể lưu lượng Broadcast và Unknown Unicast, rút ngắn thời gian hội tụ, hỗ trợ Multi-Homing, mở rộng Fabric lên quy mô rất lớn và tạo nền tảng cho các Data Center hiện đại sử dụng Cisco Nexus EVPN-VXLAN, Cisco ACI và nhiều giải pháp Cloud Networking.

Chia sẻ lab L3Out OSPF (Phần 4)

anhnguyxn — Wed, 08 Jul 2026 07:26:40 GMT

Task 3: Tạo L3out trong Tenants
Chúng ta sẽ chuyển sang Tenants  Chọn Tenants  Policies  OSPF  OSPF Interfaces

Thêm OSPF Interfaces

Nhập OSPF Interfaces Policy và Network Type ta chọn Boardcast rồi nhấn Submit

Chúng ta mở rộng thư mục Networking  L3Outs

Tạo L3Outs (Bước quan trọng)

Chúng ta sẽ nhập tên của L3Out, chọn VRF và chọn L3 Domain chúng ta đã tạo ở trước đó

Tích chọn OSPF rồi nhấn Next

Tại đây chúng ta sẽ chọn L3 là SVI và L2 là Port. Sau đó chúng ta sẽ chọn Node là Leaf 101, nhập Router ID (ở trong APIC khi nhập Router ID Loopback Address sẽ được tự động điền cho chúng ta) chọn Interfaces ở bước trước đó chúng ta đã thực hiện, nhập Range encap vlan, MTU chúng ta sẽ không thay đổi cuối cùng là nhập IP address rồi nhấn Next

Chọn Policy và nhấn Next

Cuối cùng chúng ta sẽ nhập cho External EPG và chọn Consumed Contract trỏ về Web rồi nhấn Finish để hoàn thành việc tạo ra kết nối External L3out

Vẫn ở thư mục Networking chúng ta sẽ mở rộng thư mục Bridge Domain, nhấn vào Web sau đó chọn Policy và L3 Configurations

Trong phần L3 Configurations chúng ta sẽ kéo xuống và tìm Associated L3 Outs, nhấn vào + để thêm Associated L3 Outs

Chúng ta chọn L3out vừa tạo rồi nhấn Update

Sau khi nhấn Update chúng ta mở rộng phần Web  Subnet rồi chọn vào subnet của chúng ta

Tích chọn Advertised Externally

Nhấn Submit