F5 রুট ডোমেইন ও MPLS VRF: টেন্যান্ট হ্যান্ডঅফ ম্যাপ করুন
দুই টেন্যান্ট, এক ঠিকানা, দুই রুট ডোমেইন। প্রতিটি অবজেক্ট %ID দিয়ে পিন করুন, প্রোভাইডারের VRF ও রুট টার্গেট ব্যবহার করুন এবং প্রতিটি টেন্যান্ট আলাদাভাবে যাচাই করুন।
দুই টেন্যান্টই 10.50.0.10 ঠিকানায় একটি অ্যাপ্লিকেশন চালায়। প্রোভাইডার তাদের আলাদা MPLS VPN-এ পৃথক রাখে, আর BIG-IP তাদের স্থানীয় ট্রাফিক আলাদা রুট ডোমেইনে রাখে। এই ব্যবস্থা হ্যান্ডঅফ পর্যন্ত কাজ করে, যেখানে একটি অনুপস্থিত সাফিক্স বা কপি করা রুট-টার্গেট চুপচাপ এক টেন্যান্টের প্যাকেট অন্য টেন্যান্টের কনটেক্সটে ফেলে দেয়। এই রানবুক দুই মডেলকে একসাথে ম্যাপ করে এবং প্রতি-টেন্যান্ট পরীক্ষায় শেষ হয়।
ওয়ার্কশিট: প্রতি টেন্যান্টে এক সারি
কিছু বদলানোর আগে এটি পূরণ করুন। পরের প্রতিটি ধাপ এখানকার একটি সেলে নির্দেশ করে, আর খালি সেল মানে এমন একটি সিদ্ধান্ত যা এখনো কেউ নেয়নি।
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
ধাপ 1: প্রতিটি অবজেক্টকে তার রুট ডোমেইনে পিন করুন
F5-এর রুট-ডোমেইন ডকুমেন্টেশন বিচ্ছিন্ন ট্রাফিক কনটেক্সট, ডুপ্লিকেট ঠিকানা এবং কনফিগারেশন অবজেক্টের জন্য address%ID নোটেশন বর্ণনা করে। 10.50.0.10%2 হিসেবে লেখা একটি ঠিকানা স্থানীয় রুট-ডোমেইন কনটেক্সট বোঝায়, এবং সেই সাফিক্স গ্রাহকের IP প্যাকেটে বহন করা MPLS লেবেল নয়।
ডকুমেন্টেড মডেলে একটি VLAN বা সমর্থিত টানেল একটি রুট ডোমেইনের অন্তর্গত, তাই ইন্টারফেস ও ঠিকানা মিলতে হবে। প্রশাসনিক পার্টিশনের ডিফল্ট রুট ডোমেইনও পরীক্ষা করুন, কারণ বাদ পড়া সাফিক্স মানে কনটেক্সট নেই নয়; এর মানে পার্টিশন যে কনটেক্সটকে ডিফল্ট করে। ওই একক ডিফল্টই বেশিরভাগ ঘটনা ব্যাখ্যা করে যেখানে একটি নতুন অবজেক্ট চুপচাপ ভুল টেন্যান্টে উত্তর দিয়েছে। নিজের ঠিকানা যোগ করার আগে এটি যাচাই করুন।
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsধাপ 2: প্রোভাইডারের VRF ও রুট টার্গেট ব্যবহার করুন
MPLS প্রান্তে টেন্যান্ট চিহ্নিত হয় প্রোভাইডারের VRF এবং সম্মত গ্রাহক রাউটিং পরিষেবা দিয়ে। রুট টার্গেট নিয়ন্ত্রণ করে প্রোভাইডার VRF-গুলোর মধ্যে কোন রুট আমদানি ও রপ্তানি করে, আর দেখতে-একইরকম BIG-IP রুট-ডোমেইন নম্বর বেছে নিলে সেই সম্পর্কের কিছুই তৈরি হয় না।
দুই শনাক্তকারী ভিন্ন সিস্টেমে থাকে এবং ভিন্ন অর্থ বোঝায়। রুট-ডোমেইন ID হলো অ্যাপ্লায়েন্সের একটি স্থানীয় কনটেক্সট। রুট টার্গেট হলো প্রোভাইডার-পক্ষের একটি নীতি অ্যাট্রিবিউট যা রুট বিতরণ নির্ধারণ করে, আর রুট ডিস্টিংগুইশার হলো আরেকটি তৃতীয় জিনিস, যা অন্যথায় অভিন্ন প্রিফিক্সগুলোকে আলাদা রাখতে ব্যবহৃত হয়।
ধাপ 3: কনটেক্সটগুলো পৌঁছানোর ক্ষমতা ভাগ করতে পারে কি না ঠিক করুন
প্যারেন্ট-ডোমেইন লুকআপ ও কঠোর বিচ্ছিন্নতার সেটিংস ইচ্ছাকৃতভাবে পর্যালোচনা করুন, কারণ সেগুলো বদলে দেয় একটি কনটেক্সট কী পর্যন্ত পৌঁছাতে পারে। F5 গাইড ওই সম্পর্কগুলোর মধ্য দিয়ে নিয়ন্ত্রিত ফরওয়ার্ডিং অনুমোদন করে, আর ঠিক সে কারণেই একটি রুট ডোমেইনকে একা সম্পূর্ণ টেন্যান্ট-নিরাপত্তা নীতি হিসেবে বিবেচনা করা উচিত নয়।
যদি দুই টেন্যান্টেরই একটি ভাগ করা পরিষেবা দরকার হয়, তবে এক টেন্যান্টকে হঠাৎ অন্যটির রাউটিং কনটেক্সটে নির্দেশ করার বদলে অনুমোদিত পথ ও অনুমতিগুলো উল্লেখ করুন। অ্যাপ্লিকেশন পরিচয় এবং নেটওয়ার্ক গন্তব্যের সাথে যেকোনো ইচ্ছাকৃত সোর্স রূপান্তর সংরক্ষণ করুন, নইলে ভাগ করা পরিষেবা এক টেন্যান্টকে অন্যটি হিসেবে দেখবে।
সাধারণ রাউটেড হ্যান্ডঅফ BIG-IP-কে প্রোভাইডার এজ রাউটারের সাথে যুক্ত করে, BIG-IP-কে MPLS PE বানায় না। যদি সরাসরি MPLS বা VPN রুট-ফ্যামিলি ইন্টিগ্রেশন সত্যিই দরকার হয়, তবে সঠিক প্ল্যাটফর্ম ও রিলিজের জন্য স্পষ্ট সমর্থন নিন, কারণ স্থানীয় রুট-ডোমেইন বিচ্ছিন্নতা সেই সক্ষমতা প্রতিষ্ঠা করে না।
ধাপ 4: একবারে এক টেন্যান্ট যাচাই করুন
A টেন্যান্টকে A-এর কনটেক্সটের একটি এন্ডপয়েন্ট থেকে A-এর অ্যাপ্লিকেশন ঠিকানায় পরীক্ষা করুন, তারপর B-এর জন্য পুনরাবৃত্তি করুন। ডায়াগনস্টিকসে %ID ফর্ম ব্যবহার করুন যাতে প্রমাণ করতে পারেন কোন কনটেক্সট উত্তর দিয়েছে, এবং নিশ্চিত করুন যে ভুল কনটেক্সট থেকে আসা অনুরোধ ব্যর্থ হয়, কোনো বিশ্বাসযোগ্য জায়গায় পৌঁছায় না।
একই ধাপে প্রোভাইডারের দিকটাও পরীক্ষা করুন: প্রিফিক্স সঠিক VRF-এ আছে, রুট টার্গেট ওয়ার্কশিটের সাথে মেলে, এবং ফেরার পথটি উদ্দিষ্ট অ্যাটাচমেন্ট ব্যবহার করে। অ্যাপ্লায়েন্স থেকেই সফল একটি ping অ্যাপ্লায়েন্সের কনটেক্সট প্রমাণ করে, টেন্যান্টের নয়।
চূড়ান্ত ম্যাপিং ওয়ার্কশিটে লিখে রাখুন, যার মধ্যে প্রতিটি পার্টিশনের ডিফল্ট রুট ডোমেইন এবং আপনার সক্রিয় করা যেকোনো প্যারেন্ট-ডোমেইন সম্পর্ক রয়েছে। এই পরিবেশে পরবর্তী পরিবর্তনটি করবে এমন কেউ যে ওই টেবিলটি পড়ে, এমন কেউ নয় যে এই নিবন্ধটি পড়ে।