F5 domene rute i MPLS VRF-ovi: mapirajte primopredaju zakupca

Dva zakupca pokreću istu aplikaciju na 10.50.0.10. Provajder ih drži odvojeno u zasebnim MPLS VPN-ovima, a BIG-IP čuva njihov lokalni saobraćaj u zasebnim domenama rute. Taj raspored radi sve do primopredaje, gdje nedostajući sufiks ili kopirani cilj rute tiho stavlja paket jednog zakupca u kontekst drugog. Ovaj priručnik spaja dva modela i završava testom po zakupcu.

Radni list: jedan red po zakupcu

Popunite ovo prije nego što bilo šta promijenite. Svaki kasniji korak upućuje na ćeliju u njemu, a prazna ćelija je odluka koju još niko nije donio.

Korak 1: prikvačite svaki objekat za njegovu domenu rute

F5 dokumentacija o domenama rute opisuje izolovane kontekste saobraćaja, duplirane adrese i address%ID notaciju za konfiguracijske objekte. Adresa zapisana kao 10.50.0.10%2 imenuje lokalni kontekst domene rute, a taj sufiks nije MPLS oznaka koja se nosi u IP paketu korisnika.

VLAN ili podržani tunel u dokumentovanom modelu pripada jednoj domeni rute, pa se interfejs i adresa moraju slagati. Provjerite i zadanu domenu rute administrativne particije, jer izostavljeni sufiks ne znači da konteksta nema; znači onaj kontekst koji particija koristi kao zadani. Ta jedna zadana vrijednost objašnjava većinu incidenata u kojima je novi objekat tiho odgovarao pogrešnom zakupcu. Provjerite je prije nego što dodate vlastitu adresu.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Korak 2: koristite provajderov VRF i ciljeve ruta

Na MPLS ivici zakupac se identifikuje provajderovim VRF-om i dogovorenom uslugom rutiranja za korisnika. Ciljevi ruta kontrolišu koje rute provajder uvozi i izvozi između VRF-ova, a odabir slično izgledajućeg broja domene rute na BIG-IP-u ne stvara ništa od tog odnosa.

Dva identifikatora žive u različitim sistemima i znače različite stvari. ID domene rute je lokalni kontekst na uređaju. Cilj rute je atribut politike na strani provajdera koji odlučuje o distribuciji ruta, a razlikovnik rute je opet treća stvar koja služi da identični prefiksi ostanu razdvojeni.

Korak 3: odlučite mogu li konteksti dijeliti dostupnost

Namjerno pregledajte postavke pretrage roditeljske domene i stroge izolacije, jer mijenjaju do čega kontekst može doći. F5 vodič dopušta kontrolisano prosljeđivanje kroz te odnose i upravo zato domenu rute ne treba samu po sebi tretirati kao potpunu sigurnosnu politiku zakupca.

Ako oba zakupca trebaju zajedničku uslugu, odredite odobrenu putanju i dozvole umjesto da jedan zakupac jednostavno usmjerite na kontekst rutiranja drugog. Sačuvajte identitet aplikacije i svako namjerno prevođenje izvora zajedno sa mrežnim odredištem, inače će zajednička usluga vidjeti jednog zakupca kao drugog.

Obična rutirana primopredaja povezuje BIG-IP sa provajderovim rubnim ruterom, a da BIG-IP ne postane MPLS PE. Ako je direktna integracija MPLS-a ili VPN porodice ruta zaista potrebna, pribavite izričitu podršku za tačnu platformu i izdanje, jer lokalna izolacija domene rute ne uspostavlja tu mogućnost.

Korak 4: provjerite jedan po jedan zakupac

Testirajte zakupca A sa krajnje tačke u A-ovom kontekstu do A-ove adrese aplikacije, pa ponovite za B. Koristite oblik %ID u dijagnostici da dokažete koji je kontekst odgovorio i potvrdite da zahtjev iz pogrešnog konteksta ne uspijeva umjesto da sleti negdje uvjerljivo.

Provjerite i provajderovu stranu u istom prolazu: prefiks je prisutan u ispravnom VRF-u, ciljevi ruta se slažu sa radnim listom, a povratna putanja koristi predviđeni priključak. Ping koji radi sa samog uređaja dokazuje kontekst uređaja, ne zakupca.

Zabilježite konačno mapiranje u radni list, uključujući zadanu domenu rute svake particije i svaki odnos roditeljske domene koji ste omogućili. Sljedeću promjenu u ovom okruženju napravit će neko ko čita tu tabelu, a ne neko ko čita ovaj članak.