NX-OS EVPN null marşrutu: atmanı bir tenant daxilində saxlayın

Sorğu bir sətirlik dəyişiklik kimi gəlir: bir ünvanı blackhole et. Tenant konteksti daxilində Null0-a host marşrutu əlavə edirsən, prefiks gözlənildiyi kimi lokal cədvəldən yox olur və sonra suallar başlayır. Marşrut qutudan çıxdı? Uzaq VTEP-lər atdı, yoxsa sadəcə əlçatanlığı itirdi? İndi ikinci tenant təsirlənir?

Düzgün lokal statik marşrut bu suallardan yalnız birincisinə cavab verir, buna görə də blackhole dəyişikliyi əslində bir əmr deyil, nəzərdən keçirilmiş üç nəticədir.

Dəyişiklik əslində nə verməlidir

Üç nəticəni yazmaqla başla. Nəzərdə tutulan tenant təyinatı lokal olaraq atmalıdır. Yalnız icazə verilmiş marşrut ixrac edilməlidir, başqa heç nə onunla getməməlidir. Hər qəbul edən VTEP fərqli yol yerinə nəzərdə tutulan atma əməliyyatını seçməlidir.

Hər nəticənin öz sübutu var və heç biri digərini şərtləndirmir. Lokal Null0 marşrutu lokal atma yaradır və yenidən paylanma olmadan heç nə ixrac etmir. Razılaşdırılmış community olmadan yenidən paylanan marşrut adi prefiks kimi gəlir və yönləndirilir. Qəbul siyasəti olmayan community tamamilə görməzlikdən gələ bilər.

Nəticələri əvvəlcə yazmaq səni tez-tez rast gəlinən uğursuzluqdan da qoruyur: təyinat artıq əlaqəsiz bir səbəbdən əlçatmaz olduğu üçün işləyən kimi görünən dəyişiklik. Fərqi necə ayırd edəcəyini təsvir edə bilmirsinizsə, qəbul testi hələ dizayn edilməyib.

Lokal ifadə yalnız birinci hissəni yerinə yetirir

10.4(x) qatarındakı NX-OS üçün null marşrut VRF adını çəkən tək əmr yerinə tenantın VRF konteksti daxilində yerləşir. Fraqment qısadır və o, qətiyyən tam EVPN konfiqurasiyası deyil.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Ünvan hədəf deyil, sənədləşdirmə prefiksidir. VRF adının marşrut əmrinin özü içində göründüyü IOS ilə sintaksis fərqinə diqqət yetir və hər hansı bir şeyi yapışdırmazdan əvvəl faktiki işlətdiyin buraxılış üçün dəstəklənən formanı təsdiqlə.

Tək başına bu sətir TENANT_A daxilində həmin host üçün trafiki atır və başqa heç nə etmir. Marşrutu işarələmir, onu BGP üçün seçmir və community təyin etmir. Bunlar ayrı konfiqurasiya qərarlarıdır və hər biri dəyişikliyin ya işləməyəcək qədər dar, ya da təhlükəsiz olmayacaq qədər geniş ola biləcəyi yerdir.

Lokal atma eyni təyinat üçün qanuni trafikə də təsir edir. Məqsəd real istifadəçilər ünvanı hələ də istəyərkən bir sui-istifadə mənbəyini dayandırmaqdırsa, null marşrut səhv vasitədir və bunu ilk dəstək zəngindən öyrənəcəksən.

İxrac və idxal ayrı razılaşmalardır

Əhatə dairəsi yenidən paylanma zamanı müəyyən edilir. Uyğun prefiksləri təsdiqlənmiş mitigasiya ilə məhdudlaşdır, onları tenant daxilində saxla və mənbə peer-ləri dizaynda olanlarla məhdudlaşdır. Bir işarələnmiş host marşrutu getməlidir deyə bütün statik marşrutları yenidən paylamaq texniki xidmət dəyişikliyinin marşrutlaşdırma insidentinə çevrilmə üsuludur.

BLACKHOLE community tanınmış dəyər barədə razılaşmadır, hər hansı qonşunun istənilən ünvanı atma icazəsi deyil. RFC 7999 onu bu şərtlərlə təsvir edir və kimin elan edə biləcəyi ilə bağlı etimad sərhədi tətbiq detalı deyil, dizaynın hissəsidir.

Qəbul edən tərəf öz konfiqurasiyasına ehtiyac duyur. NX-OS-da Type 5 null marşrutları atma davranışını seçmək üçün VTEP-də route-map emalı tələb edir və bu, ixrac addımları ilə birlikdə sənədləşdirilib. Düzgün işarələyən göndərən cihaz və işarəni görməzlikdən gələn qəbul edici, tətbiq olunmuş kimi görünən və trafiki yenə də yönləndirən dəyişiklik yaradır.

Orada olarkən route-map-ı yan təsirlər üçün nəzərdən keçir. Yeni məhdudlaşdırıcı siyasət əlaqəsiz prefikslər üçün qanuni əlçatanlığı sıxışdıra bilər və bu zərər blackhole-dan daha gec görünür və ona bağlamaq daha çətindir.

Geri çıxarmanı yeridilmədən əvvəl yaz

Heç nə konfiqurasiya edilməzdən əvvəl təyinat sahibini, səbəbi, təsdiqləyəni və bitmə tarixini qeyd et. Bitmə tarixi olmayan atma heç kimin mənşəyini xatırlamadığı daimi qeydə çevrilir və ünvanı sazlayan növbəti şəxs onu şəbəkənin normal hissəsi kimi qəbul edəcək.

Dəyişdirdiyin marşrutdan asılı olmayan müstəqil idarəetmə yolu saxla. Əgər mitigasiya cihaza çatmaq üçün istifadə etdiyin ünvanı əhatə edirsə, əlavə addımlarla kilidlənmə yaratmısan.

Mitigasiyanı silən dəqiq idarəetməni adlandır və o silinməni laboratoriyada və ya ödəyə biləcəyin pəncərə ərzində sınaqdan keçir. Heç kimin məşq etmədiyi geri çıxarma prosedur deyil, plandır.

Əmr çıxışı ilə deyil, sübutla qəbul et

Seçilmiş marşrutlaşdırma vəziyyətini və nəzərdə tutulan VTEP-lərdə yönləndirmə vəziyyətini yoxla, və təsirlənməz qalmalı olan qonşu təyinatı yoxla. Başqa heç bir tenantın prefiksi idxal etmədiyini təsdiqlə, çünki tenantlar arası sızma texniki xidmət əməliyyatını insidentə çevirən uğursuzluq modelidir.

Sonra geri çıxar və normal marşrutun və xidmətin qayıtdığını yoxla. NX-OS EVPN null marşrut bələdçisi 10.4(x) buraxılışı üçün burada təsvir olunan işarələməni, yenidən paylanmanı və qəbul siyasətini sənədləşdirir və öz buraxılışınla müqayisə etməli olduğun mənbədir.