Tweet
ACI Logical Fabric – Giải thích các thành phần quan trọng trong Cisco ACI
Nếu bạn mới bắt đầu học CCNP Data Center, sơ đồ trên có thể khiến bạn cảm thấy có rất nhiều khái niệm mới như Tenant, VRF, Bridge Domain, EPG. Tuy nhiên, nếu hiểu được mối quan hệ giữa các thành phần này, bạn sẽ thấy Cisco ACI thực chất là một mô hình rất logic.
Có thể hình dung theo thứ tự từ lớn đến nhỏ như sau:
Tenant
│
└── VRF
│
└── Bridge Domain
│
└── Subnet
│
└── EPG
Mỗi lớp giải quyết một bài toán khác nhau về phân tách, định tuyến và áp dụng chính sách.
1. Tenant – Đơn vị cô lập lớn nhất
Trong ACI, Tenant là đơn vị logic cao nhất dùng để tách biệt các hệ thống hoặc khách hàng.
Có thể xem Tenant giống như một "công ty ảo" bên trong Data Center.
Ví dụ một doanh nghiệp có thể tạo:
Tenant Internal
dành cho:
và
Tenant External
dành cho:
Mọi đối tượng bên trong Tenant (VRF, Bridge Domain, EPG, Contract...) đều thuộc Tenant đó.
Thông thường các Tenant không thể giao tiếp với nhau nếu không có cấu hình đặc biệt.
2. VRF – Miền định tuyến độc lập
Bên trong mỗi Tenant có thể tạo nhiều VRF (Virtual Routing and Forwarding).
Trong hình:
Tenant Internal
├── VRF-L3 Prod
└── VRF-L3 Dev
và
Tenant External
├── VRF-EDMZ
└── VRF-IDMZ
Mỗi VRF có:
Các VRF hoàn toàn độc lập với nhau.
Ví dụ:
VRF Production
chứa:
Trong khi
VRF Development
chứa:
Production sẽ không thể định tuyến sang Development nếu không cấu hình Route Leaking hoặc kết nối thông qua Firewall.
Đây chính là cơ chế Layer 3 Segmentation của ACI.
3. Bridge Domain (BD)
Nếu VRF là khái niệm Layer 3 thì Bridge Domain (BD) là khái niệm Layer 2.
Có thể hiểu đơn giản:
Trong hình:
VRF-L3 Prod
↓
Bridge Domain
Bridge Domain có nhiệm vụ:
Một Bridge Domain chỉ thuộc về một VRF.
4. Subnet
Bên trong mỗi Bridge Domain sẽ khai báo các Subnet.
Ví dụ:
Bridge Domain
↓
Subnet A
hoặc
Bridge Domain
↓
Subnet B
Subnet C
Đây chính là các mạng IP.
Ví dụ:
Subnet A
10.10.10.1/24Subnet B
172.16.20.1/24
Gateway của các Subnet này được Anycast trên toàn Fabric nên endpoint có thể di chuyển giữa các Leaf Switch mà không cần thay đổi gateway.
5. EPG (Endpoint Group)
Đây là khái niệm quan trọng nhất của Cisco ACI.
EPG (Endpoint Group) không phải là VLAN.
EPG là một nhóm Endpoint có cùng chính sách bảo mật và quyền truy cập.
Ví dụ:
Web ServersApplication ServersDatabase Servers
Mỗi nhóm là một EPG.
Cisco ACI sẽ áp dụng Policy theo EPG thay vì theo địa chỉ IP hoặc VLAN như mạng truyền thống.
Ví dụ:
Web EPG
chỉ được phép truy cập
Application EPG
qua
TCP 443
Trong khi
Database EPG
chỉ chấp nhận
TCP 3306
từ Application EPG.
Như vậy, EPG là đơn vị áp dụng chính sách (Policy) trong ACI.
Một Bridge Domain có thể chứa nhiều EPG
Quan sát hình sẽ thấy:
Bridge Domain
↓
EPG
EPG
Điều này có nghĩa:
Nhiều EPG có thể cùng nằm trong một Broadcast Domain.
Ví dụ:
Bridge Domain
10.10.10.0/24
gồm:
Web EPG
10.10.10.11
10.10.10.12
và
Application EPG
10.10.10.31
10.10.10.32
Mặc dù cùng subnet, ACI vẫn có thể kiểm soát lưu lượng giữa hai nhóm thông qua Contract. Đây là điểm khác biệt lớn so với VLAN truyền thống, nơi các thiết bị trong cùng VLAN thường có thể giao tiếp tự do.
Mối quan hệ giữa các thành phần
Từ sơ đồ có thể tóm tắt như sau:
Tenant
Là vùng quản trị và cô lập lớn nhất.
↓
VRF
Thực hiện phân tách định tuyến Layer 3.
↓
Bridge Domain
Quản lý miền Layer 2, Broadcast Domain và Default Gateway.
↓
Subnet
Định nghĩa các mạng IP trong Bridge Domain.
↓
EPG
Nhóm các endpoint và là nơi áp dụng chính sách bảo mật.
Ví dụ triển khai thực tế
Giả sử doanh nghiệp triển khai một ứng dụng thương mại điện tử.
Tenant: Internal
↓
VRF: Production
↓
Bridge Domain: Application
↓
Subnet:
10.10.10.0/24
↓
EPG:
Web
Application
Database
Các máy chủ Web, Application và Database có thể cùng nằm trong một Bridge Domain, nhưng ACI vẫn kiểm soát chặt chẽ lưu lượng giữa chúng thông qua Contract:
Nhờ mô hình Tenant → VRF → Bridge Domain → EPG, Cisco ACI tách biệt rõ ràng giữa hạ tầng mạng và chính sách ứng dụng, giúp việc mở rộng, tự động hóa và triển khai các chính sách Zero Trust trong Data Center trở nên đơn giản và nhất quán hơn. Đây cũng là tư duy thiết kế cốt lõi mà bạn sẽ thường xuyên gặp trong chương trình CCNP Data Center và các triển khai ACI thực tế.
Nếu bạn mới bắt đầu học CCNP Data Center, sơ đồ trên có thể khiến bạn cảm thấy có rất nhiều khái niệm mới như Tenant, VRF, Bridge Domain, EPG. Tuy nhiên, nếu hiểu được mối quan hệ giữa các thành phần này, bạn sẽ thấy Cisco ACI thực chất là một mô hình rất logic.
Có thể hình dung theo thứ tự từ lớn đến nhỏ như sau:
Tenant
│
└── VRF
│
└── Bridge Domain
│
└── Subnet
│
└── EPG
Mỗi lớp giải quyết một bài toán khác nhau về phân tách, định tuyến và áp dụng chính sách.
1. Tenant – Đơn vị cô lập lớn nhất
Trong ACI, Tenant là đơn vị logic cao nhất dùng để tách biệt các hệ thống hoặc khách hàng.
Có thể xem Tenant giống như một "công ty ảo" bên trong Data Center.
Ví dụ một doanh nghiệp có thể tạo:
Tenant Internal
dành cho:
- ERP
- HR
- Database
và
Tenant External
dành cho:
- DMZ
- Internet Services
- Reverse Proxy
- Public Web
Mọi đối tượng bên trong Tenant (VRF, Bridge Domain, EPG, Contract...) đều thuộc Tenant đó.
Thông thường các Tenant không thể giao tiếp với nhau nếu không có cấu hình đặc biệt.
2. VRF – Miền định tuyến độc lập
Bên trong mỗi Tenant có thể tạo nhiều VRF (Virtual Routing and Forwarding).
Trong hình:
Tenant Internal
├── VRF-L3 Prod
└── VRF-L3 Dev
và
Tenant External
├── VRF-EDMZ
└── VRF-IDMZ
Mỗi VRF có:
- Routing Table riêng
- Forwarding Table riêng
- Default Route riêng
- Các giao thức định tuyến riêng
Các VRF hoàn toàn độc lập với nhau.
Ví dụ:
VRF Production
chứa:
- Application Production
- Database Production
Trong khi
VRF Development
chứa:
- Dev Server
- Test Server
Production sẽ không thể định tuyến sang Development nếu không cấu hình Route Leaking hoặc kết nối thông qua Firewall.
Đây chính là cơ chế Layer 3 Segmentation của ACI.
3. Bridge Domain (BD)
Nếu VRF là khái niệm Layer 3 thì Bridge Domain (BD) là khái niệm Layer 2.
Có thể hiểu đơn giản:
Bridge Domain gần tương đương một VLAN thông minh trong ACI.
Trong hình:
VRF-L3 Prod
↓
Bridge Domain
Bridge Domain có nhiệm vụ:
- Chứa Broadcast Domain
- Chứa Default Gateway
- Quản lý ARP
- Flood Control
- Unknown Unicast
- Layer 2 Forwarding
Một Bridge Domain chỉ thuộc về một VRF.
4. Subnet
Bên trong mỗi Bridge Domain sẽ khai báo các Subnet.
Ví dụ:
Bridge Domain
↓
Subnet A
hoặc
Bridge Domain
↓
Subnet B
Subnet C
Đây chính là các mạng IP.
Ví dụ:
Subnet A
10.10.10.1/24Subnet B
172.16.20.1/24
Gateway của các Subnet này được Anycast trên toàn Fabric nên endpoint có thể di chuyển giữa các Leaf Switch mà không cần thay đổi gateway.
5. EPG (Endpoint Group)
Đây là khái niệm quan trọng nhất của Cisco ACI.
EPG (Endpoint Group) không phải là VLAN.
EPG là một nhóm Endpoint có cùng chính sách bảo mật và quyền truy cập.
Ví dụ:
Web ServersApplication ServersDatabase Servers
Mỗi nhóm là một EPG.
Cisco ACI sẽ áp dụng Policy theo EPG thay vì theo địa chỉ IP hoặc VLAN như mạng truyền thống.
Ví dụ:
Web EPG
chỉ được phép truy cập
Application EPG
qua
TCP 443
Trong khi
Database EPG
chỉ chấp nhận
TCP 3306
từ Application EPG.
Như vậy, EPG là đơn vị áp dụng chính sách (Policy) trong ACI.
Một Bridge Domain có thể chứa nhiều EPG
Quan sát hình sẽ thấy:
Bridge Domain
↓
EPG
EPG
Điều này có nghĩa:
Nhiều EPG có thể cùng nằm trong một Broadcast Domain.
Ví dụ:
Bridge Domain
10.10.10.0/24
gồm:
Web EPG
10.10.10.11
10.10.10.12
và
Application EPG
10.10.10.31
10.10.10.32
Mặc dù cùng subnet, ACI vẫn có thể kiểm soát lưu lượng giữa hai nhóm thông qua Contract. Đây là điểm khác biệt lớn so với VLAN truyền thống, nơi các thiết bị trong cùng VLAN thường có thể giao tiếp tự do.
Mối quan hệ giữa các thành phần
Từ sơ đồ có thể tóm tắt như sau:
Tenant
Là vùng quản trị và cô lập lớn nhất.
↓
VRF
Thực hiện phân tách định tuyến Layer 3.
↓
Bridge Domain
Quản lý miền Layer 2, Broadcast Domain và Default Gateway.
↓
Subnet
Định nghĩa các mạng IP trong Bridge Domain.
↓
EPG
Nhóm các endpoint và là nơi áp dụng chính sách bảo mật.
Ví dụ triển khai thực tế
Giả sử doanh nghiệp triển khai một ứng dụng thương mại điện tử.
Tenant: Internal
↓
VRF: Production
↓
Bridge Domain: Application
↓
Subnet:
10.10.10.0/24
↓
EPG:
Web
Application
Database
Các máy chủ Web, Application và Database có thể cùng nằm trong một Bridge Domain, nhưng ACI vẫn kiểm soát chặt chẽ lưu lượng giữa chúng thông qua Contract:
- Web chỉ được truy cập Application qua HTTPS.
- Application chỉ được truy cập Database qua cổng SQL.
- Database không được phép khởi tạo kết nối ngược lại Web.
Nhờ mô hình Tenant → VRF → Bridge Domain → EPG, Cisco ACI tách biệt rõ ràng giữa hạ tầng mạng và chính sách ứng dụng, giúp việc mở rộng, tự động hóa và triển khai các chính sách Zero Trust trong Data Center trở nên đơn giản và nhất quán hơn. Đây cũng là tư duy thiết kế cốt lõi mà bạn sẽ thường xuyên gặp trong chương trình CCNP Data Center và các triển khai ACI thực tế.
Attached Files