نطاقات التوجيه في F5 وVRF في MPLS: خطّط لتسليم المستأجر
مستأجران، عنوان واحد، ونطاقا توجيه. ثبّت كل كائن باستخدام %ID، واستخدم VRF المزوّد وأهداف المسار، وتحقق من كل مستأجر على حدة.
يشغّل مستأجران تطبيقًا واحدًا على 10.50.0.10. ويفصل بينهما المزوّد في شبكات MPLS VPN منفصلة، ويحفظ BIG-IP حركة كل منهما المحلية في نطاق توجيه منفصل. ويظل هذا الترتيب صحيحًا حتى لحظة التسليم، حيث يضع لاحقة ناقصة أو هدف مسار منسوخ حزمة أحد المستأجرين بهدوء داخل سياق المستأجر الآخر. يربط هذا الدليل بين النموذجين وينتهي باختبار لكل مستأجر.
ورقة العمل: صف واحد لكل مستأجر
املأ هذه الورقة قبل أن تغيّر أي شيء. كل خطوة لاحقة تشير إلى خلية فيها، والخلية الفارغة قرار لم يتخذه أحد بعد.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
الخطوة 1: ثبّت كل كائن على نطاق التوجيه الخاص به
تصف وثائق نطاق التوجيه من F5 سياقات حركة معزولة وعناوين مكررة وترميز address%ID لكائنات الإعداد. والعنوان المكتوب على هيئة 10.50.0.10%2 يسمّي سياق نطاق التوجيه المحلي، وتلك اللاحقة ليست تسمية MPLS تُحمل في حزمة IP الخاصة بالعميل.
ينتمي VLAN أو نفق مدعوم إلى نطاق توجيه واحد في النموذج الموثّق، لذلك يجب أن تتوافق الواجهة والعنوان. افحص أيضًا نطاق التوجيه الافتراضي للقسم الإداري، لأن اللاحقة المحذوفة لا تعني عدم وجود سياق؛ بل تعني السياق الذي يعتمده القسم افتراضيًا. هذا الافتراضي الواحد يفسّر معظم الحوادث التي ردّ فيها كائن جديد بهدوء داخل المستأجر الخطأ. تحقق منه قبل أن تضيف عنوانًا ذاتيًا.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsالخطوة 2: استخدم VRF المزوّد وأهداف المسار
عند حافة MPLS، يُعرَّف المستأجر عبر VRF الخاص بالمزوّد وخدمة التوجيه المتفق عليها للعميل. تتحكم أهداف المسار في المسارات التي يستوردها المزوّد ويصدّرها بين شبكات VRF، واختيار رقم نطاق توجيه في BIG-IP يشبهها لا ينشئ أي شيء من تلك العلاقة.
يعيش المعرّفان في نظامين مختلفين ويعنيان أمرين مختلفين. معرّف نطاق التوجيه سياق محلي على الجهاز. وهدف المسار سمة سياسة من جهة المزوّد تحدد توزيع المسارات، أما ميّز المسار فهو شيء ثالث آخر، يُستخدم لإبقاء البادئات المتطابقة منفصلة.
الخطوة 3: قرر ما إذا كان يمكن للسياقات أن تتشارك الوصول
راجع إعدادات البحث في النطاق الأب والعزل الصارم عن قصد، لأنها تغيّر ما يمكن أن يصل إليه السياق. يسمح دليل F5 بإعادة توجيه مضبوطة عبر تلك العلاقات، ولهذا بالتحديد لا ينبغي التعامل مع نطاق التوجيه كسياسة أمن كاملة للمستأجر بمفرده.
إذا احتاج المستأجران إلى خدمة مشتركة، فحدد المسار والأذونات المعتمدة بدلًا من توجيه أحد المستأجرين بعشوائية إلى سياق التوجيه الخاص بالآخر. حافظ على هوية التطبيق وأي تحويل مقصود للمصدر مع وجهة الشبكة، وإلا سترى الخدمة المشتركة أحد المستأجرين على أنه الآخر.
تسليم التوجيه العادي يربط BIG-IP بموجّه حافة المزوّد من دون أن يجعل BIG-IP نقطة MPLS PE. وإذا كانت هناك حاجة حقيقية إلى تكامل مباشر مع MPLS أو عائلة مسارات VPN، فاحصل على دعم صريح للمنصة والإصدار المحددين، لأن العزل المحلي لنطاق التوجيه لا يثبت تلك القدرة.
الخطوة 4: تحقق من مستأجر واحد في كل مرة
اختبر المستأجر A من نقطة نهاية في سياق A إلى عنوان تطبيق A، ثم كرر ذلك للمستأجر B. استخدم صيغة %ID في التشخيصات لتثبت أي سياق أجاب، وتأكد من أن طلبًا من السياق الخطأ يفشل بدلًا من أن يصل إلى مكان معقول.
افحص جهة المزوّد في الجولة نفسها: البادئة موجودة في VRF الصحيح، وأهداف المسار تطابق ورقة العمل، ومسار العودة يستخدم الارتباط المقصود. أما اختبار ping الذي ينجح من الجهاز نفسه فيثبت سياق الجهاز، لا سياق المستأجر.
سجّل التعيين النهائي في ورقة العمل، بما في ذلك نطاق التوجيه الافتراضي لكل قسم وأي علاقة نطاق أب فعّلتها. التغيير التالي في هذه البيئة سينفّذه شخص يقرأ ذلك الجدول، لا شخص يقرأ هذا المقال.