F5-roetedomeine en MPLS-VRF's: karteer die huurder-oordrag
Twee huurders, een adres, twee roetedomeine. Pen elke objek met %ID vas, gebruik die verskaffer se VRF en roete-teikens, en verifieer elke huurder afsonderlik.
Twee huurders bedryf albei 'n toepassing by 10.50.0.10. Die verskaffer hou hulle apart in afsonderlike MPLS-VPN's, en die BIG-IP hou hul plaaslike verkeer in afsonderlike roetedomeine. Daardie reëling werk tot by die oordrag, waar 'n ontbrekende agtervoegsel of 'n gekopieerde roete-teiken stilweg een huurder se pakkie in die ander huurder se konteks plaas. Hierdie runbook karteer die twee modelle saam en eindig met 'n toets per huurder.
Werkblad: een ry per huurder
Vul dit in voordat jy enigiets verander. Elke latere stap verwys na 'n sel daarin, en 'n leë sel is 'n besluit wat nog niemand geneem het nie.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Stap 1: pen elke objek aan sy roetedomein vas
F5 se dokumentasie oor roetedomeine beskryf geïsoleerde verkeerskontekste, duplikaatadresse en die address%ID-notasie vir konfigurasie-objekte. 'n Adres wat as 10.50.0.10%2 geskryf word, noem die plaaslike roetedomein-konteks, en daardie agtervoegsel is nie 'n MPLS-etiket wat in die kliënt se IP-pakkie gedra word nie.
'n VLAN of 'n ondersteunde tonnel behoort in die gedokumenteerde model aan een roetedomein, so die koppelvlak en die adres moet ooreenstem. Inspekteer ook die administratiewe partisie se verstek-roetedomein, want 'n weggelaate agtervoegsel beteken nie geen konteks nie; dit beteken watter konteks die partisie ook al as verstek gebruik. Daardie enkele verstek verduidelik die meeste van die voorvalle waar 'n nuwe objek stilweg in die verkeerde huurder geantwoord het. Kontroleer dit voordat jy 'n self-adres byvoeg.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsStap 2: gebruik die verskaffer se VRF en roete-teikens
By die MPLS-rand word die huurder geïdentifiseer deur die verskaffer se VRF en die ooreengekome kliënte-roetediens. Roete-teikens beheer watter roetes die verskaffer tussen VRF's invoer en uitvoer, en om 'n soortgelyk-lykende BIG-IP-roetedomeinnommer te kies skep niks van daardie verhouding nie.
Die twee identifiseerders leef in verskillende stelsels en beteken verskillende dinge. 'n Roetedomein-ID is 'n plaaslike konteks op die toestel. 'n Roete-teiken is 'n verskafferkant-beleidseienskap wat roeteverspreiding bepaal, en 'n roete-onderskeier is weer 'n derde ding, wat gebruik word om andersins identiese voorvoegsels apart te hou.
Stap 3: besluit of kontekste bereikbaarheid mag deel
Hersien ouer-domein-soektog en streng isolasie se instellings doelbewus, want hulle verander wat 'n konteks kan bereik. Die F5-gids laat beheerde aanstuur deur daardie verhoudings toe, en dit is juis waarom 'n roetedomein nie op sy eie as 'n volledige huurder-sekuriteitsbeleid beskou moet word nie.
As albei huurders 'n gedeelde diens nodig het, spesifiseer die goedgekeurde pad en toestemmings eerder as om een huurder sommer na die ander se roetekonteks te wys. Bewaar toepassingsidentiteit en enige opsetlike bronvertaling saam met die netwerkbestemming, anders sal die gedeelde diens een huurder as die ander sien.
'n Gewone gerouteerde oordrag verbind BIG-IP met 'n verskaffer-randroeteerder sonder om BIG-IP 'n MPLS-PE te maak. As direkte MPLS- of VPN-roetefamilie-integrasie werklik nodig is, kry uitdruklike ondersteuning vir die presiese platform en vrystelling, want plaaslike roetedomein-isolasie vestig nie daardie vermoë nie.
Stap 4: verifieer een huurder op 'n slag
Toets huurder A vanaf 'n eindpunt in A se konteks na A se toepassingsadres, en herhaal dan vir B. Gebruik die %ID-vorm in diagnostiek sodat jy kan bewys watter konteks geantwoord het, en bevestig dat 'n versoek uit die verkeerde konteks misluk eerder as om ergens geloofwaardig te beland.
Kontroleer die verskafferkant in dieselfde gang: die voorvoegsel is in die regte VRF teenwoordig, die roete-teikens stem ooreen met die werkblad, en die terugpad gebruik die beoogde aansluiting. 'n Ping wat van die toestel self werk, bewys die toestel se konteks, nie die huurder s'n nie.
Teken die finale kartering in die werkblad aan, insluitend elke partisie se verstek-roetedomein en enige ouer-domein-verhouding wat jy geaktiveer het. Die volgende verandering aan hierdie omgewing sal gemaak word deur iemand wat daardie tabel lees, nie deur iemand wat hierdie artikel lees nie.