Dominis de ruta i VRF d'MPLS a F5: mapar el lliurament del inquilí
Dos inquilins, una adreça, dos dominis de ruta. Fixeu cada objecte amb %ID, feu servir el VRF i els objectius de ruta del proveïdor i verifiqueu cada inquilí per separat.
Dos inquilins executen la mateixa aplicació a 10.50.0.10. El proveïdor els manté separats en VPN MPLS diferents, i el BIG-IP guarda el trànsit local de cadascun en dominis de ruta diferents. Aquest arranjament funciona fins al lliurament, on un sufix absent o un objectiu de ruta copiat posa silenciosament el paquet d'un inquilí en el context de l'altre. Aquesta guia uneix els dos models i acaba amb una prova per inquilí.
Full de treball: una fila per inquilí
Ompliu-ho abans de canviar res. Cada pas posterior fa referència a una cel·la del full, i una cel·la buida és una decisió que encara no ha pres ningú.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Pas 1: fixeu cada objecte al seu domini de ruta
La documentació sobre dominis de ruta de F5 descriu contextos de trànsit aïllats, adreces duplicades i la notació address%ID per als objectes de configuració. Una adreça escrita com a 10.50.0.10%2 anomena el context local del domini de ruta, i aquest sufix no és una etiqueta MPLS que es porti al paquet IP del client.
Una VLAN o un túnel compatible pertany a un sol domini de ruta en el model documentat, de manera que la interfície i l'adreça han de coincidir. Reviseu també el domini de ruta per defecte de la partició administrativa, perquè un sufix omès no vol dir que no hi hagi context; vol dir el context que la partició fa servir per defecte. Aquest únic valor per defecte explica la majoria d'incidents en què un objecte nou responia en silenci a l'inquilí equivocat. Comproveu-lo abans d'afegir una adreça pròpia.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsPas 2: feu servir el VRF i els objectius de ruta del proveïdor
A la vora MPLS, l'inquilí s'identifica pel VRF del proveïdor i el servei d'encaminament acordat per al client. Els objectius de ruta controlen quines rutes importa i exporta el proveïdor entre VRF, i triar un número de domini de ruta de BIG-IP que s'hi assembli no crea res d'aquesta relació.
Els dos identificadors viuen en sistemes diferents i volen dir coses diferents. Un ID de domini de ruta és un context local a l'aparell. Un objectiu de ruta és un atribut de política del costat del proveïdor que decideix la distribució de rutes, i un distingidor de ruta és encara una tercera cosa, feta servir per mantenir separats prefixos que d'altra manera serien idèntics.
Pas 3: decidiu si els contextos poden compartir abast
Reviseu deliberadament la cerca al domini pare i els paràmetres d'aïllament estricte, perquè canvien què pot assolir un context. La guia de F5 permet un reenviament controlat a través d'aquestes relacions, i per això mateix un domini de ruta no s'ha de tractar per si sol com una política de seguretat completa de l'inquilí.
Si tots dos inquilins necessiten un servei compartit, especifiqueu el camí i els permisos aprovats en lloc d'apuntar un inquilí al context d'encaminament de l'altre sense més. Conserveu la identitat de l'aplicació i qualsevol traducció d'origen intencionada juntament amb la destinació de xarxa, o el servei compartit veurà un inquilí com l'altre.
Un lliurament encaminat ordinari connecta el BIG-IP a un encaminador de vora del proveïdor sense convertir el BIG-IP en un PE MPLS. Si cal de debò una integració directa d'MPLS o de la família de rutes VPN, obteniu suport explícit per a la plataforma i la versió exactes, perquè l'aïllament local del domini de ruta no estableix aquesta capacitat.
Pas 4: verifiqueu un inquilí alhora
Proveu l'inquilí A des d'un extrem del context d'A fins a l'adreça d'aplicació d'A, i després repetiu-ho per a B. Feu servir la forma %ID als diagnòstics per poder demostrar quin context ha respost, i confirmeu que una petició del context equivocat falla en lloc d'aterrar en un lloc versemblant.
Reviseu el costat del proveïdor en la mateixa passada: el prefix és al VRF correcte, els objectius de ruta coincideixen amb el full de treball i el camí de tornada fa servir l'adjunció prevista. Un ping que funciona des de l'aparell mateix demostra el context de l'aparell, no el de l'inquilí.
Registreu el mapatge final al full de treball, inclòs el domini de ruta per defecte de cada partició i qualsevol relació de domini pare que hàgiu activat. El proper canvi en aquest entorn el farà algú que llegeixi aquesta taula, no algú que llegeixi aquest article.