NX-OS EVPN і маршрут null: трымайце адкід у межах аднаго тэнанта

Запыт прыходзіць як змена ў адзін радок: зачорніць адзін адрас. Вы дадаяце маршрут да хоста ў Null0 унутры кантэксту тэнанта, прэфікс знікае з лакальнай табліцы як і чакалася, і тады пачынаюцца пытанні. Маршрут пакінуў прыладу? Далёкія VTEP адкінулі ці проста страцілі дасяжнасць? Ці закрануты другі тэнант?

Правільны лакальны статычны маршрут адказвае толькі на першае з гэтых пытанняў, таму змена blackhole — гэта насамрэч тры правераныя вынікі, а не адна каманда.

Што змена насамрэч павінна даць

Пачніце з таго, што запішаце тры вынікі. Мэтавы тэнант павінен адкінуць прызначэнне лакальна. Экспартаваць можна толькі дазволены маршрут, і нішто іншае не павінна ехаць разам. Кожны прымальны VTEP павінен выбраць мэтавае дзеянне адкіду, а не іншы шлях.

Кожны вынік мае свае доказы, і ні адзін не вынікае з іншага. Лакальны маршрут Null0 дае лакальны адкід і без пераразмеркавання не экспартуе нічога. Пераразмеркаваны маршрут без узгодненай community прыходзіць як звычайны прэфікс і перасылаецца. Community без палітыкі прыёму можа быць цалкам праігнараваная.

Запіс вынікаў спачатку таксама абараняе ад частой памылкі: змена выглядае працоўнай, бо прызначэнне ўжо было недасяжным па несвязанай прычыне. Калі вы не можаце апісаць, як адрозніце гэтыя выпадкі, тэст прыёмкі яшчэ не спроектаваны.

Лакальны сказ робіць толькі першую частку

Для NX-OS у галіне 10.4(x) маршрут null знаходзіцца ўнутры кантэксту VRF тэнанта, а не ў адной камандзе, якая называе VRF. Фрагмент кароткі, і ён аніяк не з’яўляецца поўнай канфігурацыяй EVPN.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Адрас — гэта прэфікс для дакументацыі, а не мэта. Звярніце ўвагу на розніцу ў сінтаксісе з IOS, дзе імя VRF з’яўляецца ўнутры самой каманды маршруту, і пацвердзіце падтрыманую форму для выпуску, які вы фактычна выкарыстоўваеце, перш чым нешта ўстаўляць.

Сама па сабе гэтая радок адкідае трафік для гэтага хоста ўнутры TENANT_A і больш нічога не робіць. Яна не маркіруе маршрут, не выбірае яго для BGP і не задае community. Гэта асобныя рашэнні канфігурацыі, і кожнае з іх — месца, дзе змена можа быць занадта вузкай, каб працаваць, або занадта шырокай, каб быць бяспечнай.

Лакальны адкід таксама ўплывае на законны трафік да таго ж прызначэння. Калі мэта — спыніць адну крыніцу злоўжывання, пакуль рэальным карыстальнікам адрас яшчэ патрэбны, маршрут null — няправільны інструмент, і вы даведаецеся пра гэта з першага званка ў падтрымку.

Экспарт і імпарт — асобныя дамоўленасці

Пераразмеркаванне — гэта месца, дзе вызначаецца абсяг. Абмяжуйце прыдатныя прэфіксы зацверджаным змякчэннем, трымайце іх унутры тэнанта і абмяжуйце крынічныя піры тымі, што ёсць у дызайне. Пераразмеркаванне ўсіх статычных маршрутаў таму, што адзін памаркіраваны маршрут да хоста павінен прайсці, — гэта шлях, якім змена абслугоўвання становіцца інцыдэнтам маршрутызацыі.

Community BLACKHOLE — гэта дамоўленасць пра вядомае значэнне, а не дазвол любому суседу адкідаць любы адрас. RFC 7999 апісвае яго менавіта так, і мяжа даверу вакол таго, хто можа яго аб’яўляць, — частка дызайну, а не дэталь рэалізацыі.

Прымальны бок патрабуе ўласнай канфігурацыі. У NX-OS маршруты null тыпу 5 патрабуюць апрацоўкі route-map на VTEP, каб выбраць паводзіны адкіду, што дакументавана разам з крокамі экспарту. Прылада-адпраўнік, якая правільна маркіруе, і прыёмнік, які ігнаруе маркер, даюць змену, што выглядае ўжытай і ўсё роўна перасылае трафік.

Праверце route-map на пабочныя эфекты, пакуль вы там. Новая абмежавальная палітыка можа заглушыць законную дасяжнасць для несвязаных прэфіксаў, і гэтая шкода праяўляецца пазней за blackhole і яе цяжэй да яго аднесці.

Напішыце адкліканне перад устаўкай

Запішыце ўладальніка прызначэння, прычыну, таго, хто зацвердзіў, і тэрмін дзеяння, перш чым нешта будзе сканфігуравана. Адкід без тэрміну становіцца пастаянным запісам, паходжанне якога ніхто не памятае, і наступны чалавек, які будзе адладжваць адрас, палічыць яго звычайнай часткай сеткі.

Трымайце незалежны шлях кіравання, які не залежыць ад маршруту, які вы змяняеце. Калі змякчэнне ахоплівае адрас, які вы выкарыстоўваеце для доступу да прылады, вы стварылі блакаванне з дадатковымі крокамі.

Назвіце дакладны элемент кіравання, які здымае змякчэнне, і праверце гэтае зняцце ў лабараторыі або ў акне, якое вы можаце сабе дазволіць. Адкліканне, якое ніхто не рэпеціраваў, — гэта план, а не працэдура.

Прымайце з доказамі, а не з вывадам каманды

Праверце выбраны стан маршрутызацыі і стан перасылкі на мэтавых VTEP, а таксама праверце суседняе прызначэнне, якое павінна застацца незакранутым. Пацвердзіце, што ні адзін іншы тэнант не імпартаваў прэфікс, бо ўцечка паміж тэнантамі — гэта рэжым адмовы, які ператварае дзеянне абслугоўвання ў інцыдэнт.

Пасля адклічце і праверце, што звычайны маршрут і сэрвіс вярнуліся. Кіраўніцтва па маршрутах null у NX-OS EVPN для выпуску 10.4(x) дакументуе маркіроўку, пераразмеркаванне і палітыку прыёму, апісаныя тут, і гэта эталон, з якім варта звяраць уласны выпуск.