Cisco ACI Fabric架构解析：Leaf与Spine交换机的核心功能与协同工作

Leaf 交换机的作用

Leaf是ACI Fabric的边缘层，直接连接终端设备、服务器和外部网络。它承担了绝大部分的数据平面流量转发和安全策略执行功能。

1. 基础设施与流量转发

2. 终端学习与同步

• Data Path Learning：通过数据平面学习MAC/IP端点信息。
• COOP 同步：作为 Citizen 角色，将本地学习的端点信息上报给Spine（Oracle），用于代理查询。

3. 网关与转发模式

• Pervasive/Anycast Gateway：为租户子网提供分布式任播网关，实现跨Leaf的无缝三层转发。
• 转发模式：
  • Proxy：通过Spine代理查询未知目的地（例如 iping、bounce场景）。
  • Flood：广播未知单播或组播流量。
  • ARP Unicast：对ARP请求进行单播优化。

4. 负载均衡

5. 组播与STP处理

• IGMP Snooping：在Leaf上执行，优化组播流量转发。
• STP BPDU Flooding：仅在对应的接入VLAN或泛洪域（Flood Domain）内泛洪，不会扩散到整个网桥域。
• VPC DF/NDF：
  • DF（Designated Forwarder）：在VPC正常工作时，仅由一个VPC成员端口转发组播或广播流量，避免重复。

6. EPG分类与安全策略

• EPG 区分依据：VLAN、IP前缀、iVXLAN标识。
• 安全策略执行：合约规则（actrlRule）仅下发到Leaf，所有安全策略都在网络边缘执行。

7. 外部路由互联

• 与外部路由器对等：支持OSPF、BGP、静态路由等多种协议。
• 路由同步：通过 MP-BGP 将学习到的外部路由分发给Fabric内的其他Leaf。

Spine 交换机的作用

Spine是ACI Fabric的核心层，主要负责高速转发、代理查询和控制平面协调，它不直接连接任何终端设备。

1. 流量传输

2. 端点代理（Proxy）

• 租户MAC/IP代理：当Leaf需要查询未知端点位置时，Spine会作为代理提供相应的端点信息。
• 隧道处理：
  • Decap：解封装从Leaf发往Spine的代理iVXLAN隧道流量。
  • Encap：封装从Spine返回给Leaf的响应iVXLAN隧道流量。

3. 控制平面

COOP 层级结构：

• Spine之间的COOP邻居称为 Oracle，它们共同组成 Council（理事会）。
• Leaf则作为 Citizen，向Oracle上报并查询端点信息。

要点总结

下表清晰地对比了Leaf与Spine在ACI架构中的不同职责：

补充说明

• iVXLAN vs VXLAN：iVXLAN是ACI内部使用的增强型VXLAN协议，携带了额外的策略标识（例如sClass）；而标准VXLAN通常用于与外部网络设备进行互通。
• FTAG（Forwarding Tag）：这是ACI用于实现组播负载均衡的一种机制，通过构建多棵转发树来分散流量，提升效率。

希望这篇关于Cisco ACI核心组件解析的内容能帮助你更清晰地理解Leaf与Spine的协同工作原理。想深入探讨更多网络架构知识，欢迎访问云栈社区。