Trong hạ tầng Cisco ACI (Application Centric Infrastructure), khái niệm vPC (Virtual Port Channel) không còn là cấu hình dòng lệnh thủ công như trên các dòng Catalyst hay Nexus truyền thống. Thay vào đó, nó được trừu tượng hóa thông qua các chính sách (policies) trong APIC. Là một kỹ sư mạng tại VietITPro, tôi đã gặp không ít trường hợp các kỹ sư mới làm quen với ACI nhầm lẫn giữa cách cấu hình LACP thông thường và vPC (trong ACI gọi là VPC - Virtual Port Channel) dẫn đến lỗi loop L2 hoặc mất kết nối redundant. Bài viết này sẽ đi sâu vào quy trình thiết lập chuẩn xác nhất từ góc độ kỹ thuật hạ tầng.
Tại sao vPC trong ACI lại khác biệt?
Trên các dòng switch Nexus truyền thống (NX-OS), bạn cần cấu hình peer-keepalive, peer-link, và gán domain ID. Trong ACI, kiến trúc Leaf-Spine đã mặc định xử lý mặt phẳng điều khiển (control plane). vPC trong ACI thực chất là việc gom hai switch Leaf (cùng một vPC Pair) thành một thực thể logic duy nhất để kết nối xuống thiết bị ngoại vi (Server, Firewall, hoặc Core Switch khác).
Điểm khác biệt cốt lõi:
- Logical Switch: APIC coi cặp Leaf là một "VPC Domain".
- Policy Driven: Mọi thứ được định nghĩa qua các Policy Object, không cần dùng CLI để gõ lệnh
interface port-channel. - Active-Active: Luôn hoạt động ở chế độ Active-Active, không cần quan tâm đến STP (Spanning Tree) vì ACI đã chặn loop ở mức độ Fabric.
Quy trình 5 bước triển khai vPC trên ACI
Để cấu hình thành công vPC, chúng ta phải đi theo trình tự từ dưới lên (từ vật lý đến logic).
Bước 1: Cấu hình Interface Policy Groups
Đây là nơi chúng ta định nghĩa các đặc tính của cổng như tốc độ, giao thức LACP, và quan trọng nhất là chọn "vPC explicit protection group".
1. Truy cập: Fabric > Access Policies > Interfaces > Leaf Interfaces > Policy Groups.
2. Chuột phải vào PC Interface Policy Group, chọn Create PC Interface Policy Group.
3. Tại mục Port Channel Policy, chọn LACP active.
4. Tại mục Attached Entity Profile (AEP): Chọn AEP đã tồn tại (nơi định nghĩa các VLAN/Domain).
5. Lưu ý: Phải chọn đúng vPC Protection Group khớp với cặp Leaf bạn đang cấu hình.
Bước 2: Tạo Interface Selector Profile
Tại đây, bạn gán các cổng vật lý thực tế trên 2 Leaf vào policy group đã tạo ở Bước 1.
1. Truy cập: Fabric > Access Policies > Interfaces > Leaf Interfaces > Profiles.
2. Chọn Profile của Leaf 1 và Leaf 2.
3. Tạo Interface Selector cho cổng vật lý (ví dụ: eth1/10).
4. Chọn Interface Policy Group đã tạo ở Bước 1.
Bước 3: Cấu hình vPC Domain trên APIC
Trước khi các cổng hoạt động, cặp Leaf phải "nhận diện" nhau trong một vPC Domain.
1. Truy cập: Fabric > Access Policies > Policies > Switch > Leaf > Virtual Port Channel Default.
2. Tạo mới vPC Domain.
3. Đặt vPC Domain ID (phải trùng nhau trên cả hai Leaf).
4. Nhập Peer Switch Destination Address (thường là địa chỉ Loopback của Leaf đối tác).
Bước 4: Kiểm tra trạng thái VPC Pair
Sau khi đẩy cấu hình (Deploy), bạn cần xác nhận trạng thái xem cặp Leaf đã "bắt tay" thành công chưa.
Sử dụng CLI của Leaf để kiểm tra nhanh (vào thẳng console của Leaf):
Nếu trạng thái hiển thị "vPC peer-link status: up" và "vPC status: up", chúc mừng bạn, cấu hình đã thành công.
Bước 5: Kiểm tra kết nối LACP từ Server
Nếu bạn đang kết nối xuống Server (ví dụ dùng VMware ESXi), hãy kiểm tra log trên vSwitch/vDS:
Đảm bảo LACP đã nhận diện được cả 2 đường vật lý từ 2 Leaf khác nhau.
Bảng đối chiếu các thông số kỹ thuật vPC
Các lỗi thường gặp và kinh nghiệm thực tế từ VietITPro
Trong quá trình bảo trì hạ tầng cho khách hàng tại TP.HCM, tôi thường xuyên gặp các lỗi "chết người" sau:
1. Mismatched vPC Domain ID: Nếu 2 Leaf thuộc cùng một vPC Domain nhưng ID không khớp trong chính sách, các cổng sẽ rơi vào trạng thái "suspended" hoặc "err-disable". Luôn kiểm tra kỹ ID trong bảng điều khiển.
2. Lỗi AEP (Attached Entity Profile): Đa số các trường hợp không đẩy được VLAN xuống cổng là do quên gán AEP vào Interface Policy Group. Hãy luôn kiểm tra lại Physical Domain và VLAN Pool gắn trong AEP đó.
3. Quên cấu hình LACP trên thiết bị hạ tầng: ACI yêu cầu LACP ở chế độ Active. Nếu server hoặc switch đối phương để On (không LACP), vPC sẽ không thể thiết lập kết nối (dù là ở layer 2).
Kinh nghiệm xử lý sự cố (Troubleshooting)
Khi gặp sự cố, đừng vội xóa cấu hình. Hãy thực hiện theo thứ tự:
- Bước 1: Kiểm tra đèn vật lý và trạng thái cổng trên Leaf:
show interface status. - Bước 2: Kiểm tra log LACP:
show lacp neighbor. - Bước 3: Kiểm tra trạng thái vPC logic:
show vpc brief(trên cả 2 Leaf). - Bước 4: Nếu cổng vẫn down, kiểm tra xem VLAN đã được gán vào
EPG(Endpoint Group) tương ứng chưa.
Câu hỏi thường gặp (FAQ)
Câu hỏi 1: Tôi có thể sử dụng vPC cho các thiết bị không hỗ trợ LACP không?
Trả lời: Không. vPC trong ACI bắt buộc yêu cầu LACP (Active-Active) để đảm bảo tính nhất quán của MAC address table trên fabric. Nếu thiết bị không hỗ trợ, bạn nên dùng Static Port Channel (chế độ On) nhưng sẽ không tận dụng được đầy đủ tính năng vPC.
Câu hỏi 2: Tại sao tôi thấy vPC hoạt động nhưng bandwidth không tăng gấp đôi?
Trả lời: ACI sử dụng hash dựa trên IP/Port (L3/L4). Nếu lưu lượng của bạn là một luồng đơn lẻ (single flow), nó sẽ chỉ chạy trên 1 đường vật lý. Hãy kiểm tra lại "Load Balancing Hash Algorithm" trong Fabric > Access Policies > Policies > Switch > Leaf > Port Channel Member.
Câu hỏi 3: Có cần cấu hình Peer-link riêng biệt như Nexus không?
Trả lời: Không. Trong ACI, Fabric Spines đóng vai trò là "Peer-link" ảo thông qua giao thức VXLAN. Bạn không cần kết nối vật lý trực tiếp giữa 2 Leaf để làm peer-link.
Lời kết từ chuyên gia
Cấu hình vPC trên ACI không khó nếu bạn hiểu bản chất của nó là "Policy-based". Hãy luôn tuân thủ nguyên tắc: Định nghĩa Policy > Gán Policy vào Interface > Kiểm tra trạng thái logic. Tại VietITPro, chúng tôi luôn khuyến nghị khách hàng sử dụng các template chuẩn cho từng nhóm server để tránh sai sót trong quá trình vận hành lâu dài. Nếu bạn gặp các lỗi phức tạp liên quan đến vi mạch trên card mạng (NIC) hoặc switch port bị hỏng vật lý, hãy liên hệ với trung tâm kỹ thuật của chúng tôi để được hỗ trợ kiểm tra bằng thiết bị chuyên dụng.
