Домены маршрутызацыі F5 і VRF у MPLS: адлюстраванне перадачы кліента
Два кліенты, адзін адрас, два домены маршрутызацыі. Закмаплівайце кожны аб'ект праз %ID, выкарыстоўвайце VRF і мэты маршрутаў правайдэра і правярайце кожнага кліента асобна.
Два кліенты запускаюць адну праграму на 10.50.0.10. Правайдэр трымае іх асобна ў розных MPLS VPN, а BIG-IP захоўвае іх лакальны трафік у розных доменах маршрутызацыі. Гэтая схема працуе ажно да перадачы, дзе адсутны суфікс або скапіяваная мэта маршруту ціха змяшчае пакет аднаго кліента ў кантэкст іншага. Гэты runbook звязвае дзве мадэлі разам і заканчваецца тэстам для кожнага кліента.
Рабочы аркуш: адзін радок на кліента
Запоўніце гэта перад любымі зменамі. Кожны наступны крок спасылаецца на ячэйку ў ім, а пустая ячэйка — гэта рашэнне, якое ніхто яшчэ не прыняў.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Крок 1: прывяжыце кожны аб'ект да яго домена маршрутызацыі
Дакументацыя F5 пра домены маршрутызацыі апісвае ізаляваныя кантэксты трафіку, дубляваныя адрасы і натацыю address%ID для аб'ектаў канфігурацыі. Адрас, запісаны як 10.50.0.10%2, называе лакальны кантэкст домена маршрутызацыі, і гэты суфікс не з'яўляецца меткай MPLS, якая пераносіцца ў IP-пакеце кліента.
VLAN або падтрыманы тунэль у дакументаванай мадэлі належыць аднаму домену маршрутызацыі, таму інтэрфейс і адрас павінны супадаць. Таксама праверце домен маршрутызацыі па змаўчанні адміністрацыйнага раздзела, бо прапушчаны суфікс не азначае адсутнасць кантэксту; ён азначае той кантэкст, які раздзел выкарыстоўвае па змаўчанні. Гэтае адзінае значэнне па змаўчанні тлумачыць большасць інцыдэнтаў, калі новы аб'ект ціха адказваў не таму кліенту. Праверце яго перад даданнем уласнага адраса.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsКрок 2: выкарыстоўвайце VRF і мэты маршрутаў правайдэра
На мяжы MPLS кліент вызначаецца праз VRF правайдэра і ўзгодненую паслугу маршрутызацыі кліента. Мэты маршрутаў вызначаюць, якія маршруты правайдэр імпартуе і экспартуе паміж VRF, і выбар падобнага на выгляд нумара домена маршрутызацыі BIG-IP не стварае нічога з гэтай сувязі.
Два ідэнтыфікатары жывуць у розных сістэмах і азначаюць рознае. ID домена маршрутызацыі — гэта лакальны кантэкст на прыладзе. Мэта маршруту — гэта атрыбут палітыкі на баку правайдэра, які вызначае размеркаванне маршрутаў, а дыскрымінатар маршруту — гэта яшчэ трэцяе, што выкарыстоўваецца, каб трымаць аднолькавыя прэфіксы асобна.
Крок 3: вырашыце, ці могуць кантэксты дзяліць дасяжнасць
Свядома перагледзьце налады пошуку ў бацькоўскім домене і строгай ізаляцыі, бо яны змяняюць тое, да чаго кантэкст можа дабрацца. Кіраўніцтва F5 дазваляе кантраляваную перадачу праз гэтыя сувязі, і менавіта таму домен маршрутызацыі не варта лічыць поўнай палітыкай бяспекі кліента сам па сабе.
Калі абодвум кліентам патрэбна агульная паслуга, вызначце ўзгоднены шлях і дазволы замест таго, каб проста накіраваць аднаго кліента ў кантэкст маршрутызацыі іншага. Захоўвайце ідэнтычнасць праграмы і любое наўмыснае пераўтварэнне крыніцы разам з сеткавым прызначэннем, інакш агульная паслуга ўбачыць аднаго кліента як іншага.
Звычайная перадача з маршрутызацыяй злучае BIG-IP з пагранічным маршрутызатарам правайдэра, не робячы BIG-IP пунктам MPLS PE. Калі прамая інтэграцыя MPLS або сямейства маршрутаў VPN сапраўды патрэбна, атрымайце відавочную падтрымку для дакладнай платформы і выпуску, бо лакальная ізаляцыя домена маршрутызацыі не стварае такой магчымасці.
Крок 4: правярайце па аднаму кліенту за раз
Праверце кліента A з канцавой кропкі ў кантэксце A да адраса праграмы A, затым паўтарыце для B. Выкарыстоўвайце форму %ID у дыягностыцы, каб даказаць, які кантэкст адказаў, і пераканайцеся, што запыт з няправільнага кантэксту падае, а не трапляе ў нейкае праўдападобнае месца.
Праверце бок правайдэра ў тым жа праходзе: прэфікс прысутнічае ў правільным VRF, мэты маршрутаў адпавядаюць рабочаму аркушу, а зваротны шлях выкарыстоўвае меркаванае далучэнне. Ping, які працуе з самай прылады, даказвае кантэкст прылады, а не кліента.
Запішыце канчатковае супастаўленне ў рабочы аркуш, уключаючы домен маршрутызацыі па змаўчанні кожнага раздзела і любую ўключаную сувязь бацькоўскага домена. Наступную змену ў гэтым асяроддзі зробіць той, хто чытае гэтую табліцу, а не той, хто чытае гэты артыкул.