NX-OS EVPN null ruta: zadržite odbacivanje unutar jednog tenanta

Zahtjev dolazi kao promjena u jednom redu: blackhole jednu adresu. Dodate host rutu na Null0 unutar konteksta tenanta, prefiks nestane iz lokalne tablice kako se očekuje, a onda počinju pitanja. Je li ruta napustila uređaj? Jesu li udaljeni VTEP-ovi odbacili ili su jednostavno izgubili dostupnost? Je li drugi tenant sada pogođen?

Ispravna lokalna statička ruta odgovara samo na prvo od tih pitanja, zato je blackhole promjena zapravo tri pregledana ishoda, a ne jedna komanda.

Šta promjena zapravo mora proizvesti

Počnite tako što ćete zapisati tri ishoda. Predviđeni tenant mora lokalno odbaciti odredište. Samo ovlaštena ruta smije se izvesti, i ništa drugo ne smije ići s njom. Svaki VTEP koji prima mora odabrati predviđenu radnju odbacivanja, a ne drugu putanju.

Svaki ishod ima svoj dokaz i nijedan ne podrazumijeva ostale. Lokalna Null0 ruta proizvodi lokalno odbacivanje i, bez redistribucije, ne izvozi baš ništa. Redistribuirana ruta bez dogovorene community stiže kao običan prefiks i biva proslijeđena. Community bez politike primanja može biti potpuno ignorisana.

Zapisivanje ishoda prvo vas štiti i od čestog kvara: promjena koja izgleda da radi jer je odredište već bilo nedostupno iz nepovezanog razloga. Ako ne možete opisati kako biste razlikovali to dvoje, test prihvatanja još nije dizajniran.

Lokalna izjava radi samo prvi dio

Za NX-OS u liniji 10.4(x) null ruta stoji unutar VRF konteksta tenanta, a ne u jednoj komandi koja imenuje VRF. Fragment je kratak i izričito nije potpuna EVPN konfiguracija.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresa je dokumentacijski prefiks, a ne meta. Obratite pažnju na razliku u sintaksi prema IOS-u, gdje se naziv VRF-a pojavljuje unutar same komande rute, i potvrdite podržani oblik za izdanje koje stvarno koristite prije nego što bilo šta zalijepite.

Sama po sebi ova linija odbacuje promet za taj host unutar TENANT_A i ne čini ništa drugo. Ne označava rutu, ne bira je za BGP i ne postavlja community. To su odvojene konfiguracijske odluke, a svaka je mjesto gdje promjena može biti previše uska da radi ili previše široka da bi bila sigurna.

Lokalno odbacivanje pogađa i legitimni promet prema istom odredištu. Ako je namjera zaustaviti jedan izvor zloupotrebe dok stvarnim korisnicima adresa još treba, null ruta je pogrešan alat i to ćete naučiti iz prvog poziva podršci.

Izvoz i uvoz su odvojeni sporazumi

Redistribucija je mjesto gdje se odlučuje opseg. Ograničite prihvatljive prefikse na odobreno ublažavanje, zadržite ih unutar tenanta i ograničite izvorne peere na one iz dizajna. Redistribucija svake statičke rute zato što jedna označena host ruta treba putovati jeste način na koji promjena održavanja postaje incident u rutiranju.

Community BLACKHOLE je sporazum o poznatoj vrijednosti, a ne ovlaštenje za bilo kojeg susjeda da odbaci bilo koju adresu. RFC 7999 ga opisuje tim riječima, a granica povjerenja oko toga ko ga smije oglašavati dio je dizajna, a ne detalj implementacije.

Strana koja prima treba vlastitu konfiguraciju. Na NX-OS-u null rute tipa 5 zahtijevaju obradu route-map na VTEP-u da bi se odabralo ponašanje odbacivanja, što je dokumentovano uz korake izvoza. Uređaj pošiljalac koji ispravno označava i primalac koji zanemaruje oznaku daju promjenu koja izgleda primijenjeno i ipak prosljeđuje promet.

Pregledajte route-map zbog nuspojava dok ste tamo. Nova restriktivna politika može potisnuti legitimnu dostupnost za nepovezane prefikse, a ta šteta se pojavljuje kasnije od blackhole-a i teže joj je pripisati ga.

Napišite povlačenje prije umetanja

Zabilježite vlasnika odredišta, razlog, odobravaoca i rok prije nego što se bilo šta konfiguriše. Odbacivanje bez roka postaje trajni unos čije porijeklo niko ne pamti, a sljedeća osoba koja bude otklanjala problem s adresom tretirat će ga kao normalan dio mreže.

Održavajte nezavisnu putanju upravljanja koja ne zavisi od rute koju mijenjate. Ako ublažavanje pokriva adresu koju koristite za pristup uređaju, stvorili ste zaključavanje s dodatnim koracima.

Imenujte tačnu kontrolu koja uklanja ublažavanje i testirajte to uklanjanje u laboratoriji ili u prozoru koji možete priuštiti. Povlačenje koje niko nije uvježbao je plan, a ne procedura.

Prihvatite s dokazima, ne s izlazom komande

Provjerite odabrano stanje rutiranja i stanje prosljeđivanja na predviđenim VTEP-ovima, i provjerite susjedno odredište koje mora ostati nepogođeno. Potvrdite da nijedan drugi tenant nije uvezao prefiks, jer curenje između tenanata je način kvara koji radnju održavanja pretvara u incident.

Zatim povucite i provjerite da se normalna ruta i usluga vraćaju. NX-OS EVPN vodič za null rute za izdanje 10.4(x) dokumentuje označavanje, redistribuciju i politiku primanja opisanu ovdje i referenca je s kojom treba uporediti vlastito izdanje.