Домейни за маршрутизация на F5 и MPLS VRF: картографиране на предаването на наемателя
Два наемателя, един адрес, два домейна за маршрутизация. Закрепете всеки обект с %ID, използвайте VRF и цели на маршрутите на доставчика и проверете всеки наемател поотделно.
Два наемателя изпълняват едно и също приложение на 10.50.0.10. Доставчикът ги държи разделени в отделни MPLS VPN, а BIG-IP пази локалния им трафик в отделни домейни за маршрутизация. Тази подредба работи до самото предаване, където липсващ суфикс или копирана цел на маршрут тихо поставя пакета на единия наемател в контекста на другия. Това ръководство свързва двата модела и завършва с тест за всеки наемател.
Работен лист: един ред за всеки наемател
Попълнете го, преди да промените каквото и да е. Всяка следваща стъпка се позовава на клетка в него, а празната клетка е решение, което още никой не е взел.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Стъпка 1: закрепете всеки обект към неговия домейн за маршрутизация
Документацията на F5 за домейните за маршрутизация описва изолирани контексти на трафика, дублирани адреси и нотацията address%ID за конфигурационни обекти. Адрес, записан като 10.50.0.10%2, назовава локалния контекст на домейна за маршрутизация и този суфикс не е MPLS етикет, носен в IP пакета на клиента.
VLAN или поддържан тунел принадлежи на един домейн за маршрутизация в документирания модел, затова интерфейсът и адресът трябва да съвпадат. Проверете също домейна за маршрутизация по подразбиране на административния дял, защото пропуснат суфикс не означава липса на контекст; означава контекста, който дялът използва по подразбиране. Тази единствена стойност по подразбиране обяснява повечето инциденти, при които нов обект тихо е отговарял на грешния наемател. Проверете я, преди да добавите собствен адрес.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsСтъпка 2: използвайте VRF и цели на маршрутите на доставчика
На MPLS ръба наемателят се идентифицира чрез VRF на доставчика и договорената услуга за маршрутизация на клиента. Целите на маршрутите определят кои маршрути доставчикът внася и изнася между VRF, а изборът на подобен на вид номер на домейн за маршрутизация в BIG-IP не създава нищо от тази връзка.
Двата идентификатора живеят в различни системи и означават различни неща. ID на домейн за маршрутизация е локален контекст на устройството. Целта на маршрут е атрибут на политика от страна на доставчика, който решава разпределението на маршрутите, а разграничителят на маршрут е трето нещо, използвано да държи иначе еднакви префикси разделени.
Стъпка 3: решете дали контекстите могат да споделят достъпност
Прегледайте съзнателно настройките за търсене в родителския домейн и строгата изолация, защото те променят до какво може да достигне контекстът. Ръководството на F5 разрешава контролирано препращане през тези връзки и точно затова домейнът за маршрутизация не бива да се третира като пълна политика за сигурност на наемателя сам по себе си.
Ако и двамата наематели се нуждаят от споделена услуга, посочете одобрения път и разрешения, вместо просто да насочите единия наемател към контекста за маршрутизация на другия. Запазете идентичността на приложението и всяко умишлено преобразуване на източника заедно с мрежовата дестинация, иначе споделената услуга ще види единия наемател като другия.
Обикновеното маршрутизирано предаване свързва BIG-IP с граничен маршрутизатор на доставчика, без да прави BIG-IP MPLS PE. Ако наистина е необходима директна интеграция на MPLS или VPN семейство маршрути, получете изрична поддръжка за точната платформа и издание, защото локалната изолация на домейна за маршрутизация не установява тази възможност.
Стъпка 4: проверявайте по един наемател наведнъж
Тествайте наемател A от крайна точка в контекста на A до адреса на приложението на A, след което повторете за B. Използвайте формата %ID в диагностиката, за да докажете кой контекст е отговорил, и потвърдете, че заявка от грешния контекст се проваля, вместо да попадне някъде правдоподобно.
Проверете страната на доставчика в същия проход: префиксът присъства в правилния VRF, целите на маршрутите съвпадат с работния лист, а обратният път използва предвиденото прикачване. Ping, който работи от самото устройство, доказва контекста на устройството, не този на наемателя.
Запишете окончателното съответствие в работния лист, включително домейна за маршрутизация по подразбиране на всеки дял и всяка връзка с родителски домейн, която сте включили. Следващата промяна в тази среда ще бъде направена от някой, който чете тази таблица, а не от някой, който чете тази статия.