NX-OS EVPN a nulová trasa: udržte zahazování uvnitř jednoho tenanta

Požadavek přichází jako změna na jeden řádek: blackhole jednu adresu. Přidáte hostitelskou trasu do Null0 v kontextu tenanta, prefix podle očekávání zmizí z lokální tabulky a pak začnou otázky. Opustila trasa zařízení? Zahodily vzdálené VTEP, nebo prostě ztratily dostupnost? Je nyní ovlivněn druhý tenant?

Správná lokální statická trasa odpovídá jen na první z těchto otázek, a proto je blackhole změna ve skutečnosti tři revidované výsledky, ne jeden příkaz.

Co má změna skutečně přinést

Začněte tím, že sepíšete tři výsledky. Zamýšlený tenant musí cíl zahodit lokálně. Exportovat se smí jen povolená trasa a nic jiného s ní nesmí jet. Každý přijímající VTEP musí zvolit zamýšlenou akci zahazování, nikoli jinou cestu.

Každý výsledek má vlastní důkazy a žádný z nich neimplikuje ostatní. Lokální trasa Null0 vytváří lokální zahazování a bez redistribuce neexportuje vůbec nic. Redistribuovaná trasa bez dohodnuté community přichází jako běžný prefix a je předávána. Community bez přijímací politiky může být zcela ignorována.

Zapsání výsledků nejprve vás také chrání před častou chybou: změna vypadá funkčně, protože cíl byl už nedostupný z nesouvisejícího důvodu. Pokud nedokážete popsat, jak byste obojí rozlišili, akceptační test ještě není navržen.

Lokální příkaz dělá jen první část

U NX-OS ve větvi 10.4(x) leží nulová trasa v kontextu VRF tenanta, nikoli v jediném příkazu, který VRF pojmenovává. Fragment je krátký a rozhodně to není úplná konfigurace EVPN.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresa je dokumentační prefix, ne cíl. Všimněte si rozdílu v syntaxi proti IOS, kde se název VRF objevuje uvnitř samotného příkazu trasy, a před vložením čehokoli si potvrďte podporovanou podobu pro verzi, kterou skutečně provozujete.

Sama o sobě tato řádka zahazuje provoz pro daného hostitele uvnitř TENANT_A a nic jiného nedělá. Neznačkuje trasu, nevybírá ji pro BGP a nenastavuje community. To jsou samostatná konfigurační rozhodnutí a každé z nich je místem, kde změna může být buď příliš úzká, aby fungovala, nebo příliš široká, aby byla bezpečná.

Lokální zahazování ovlivňuje i legitimní provoz na stejný cíl. Pokud je záměrem zastavit jeden zneužívající zdroj, zatímco skuteční uživatelé adresu stále potřebují, je nulová trasa špatný nástroj a poznáte to při prvním volání na podporu.

Export a import jsou samostatné dohody

Redistribuce je místo, kde se rozhoduje rozsah. Omezte způsobilé prefixy na schválené zmírnění, udržte je uvnitř tenanta a omezující peers na ty z návrhu. Redistribuovat každou statickou trasu proto, že jedna označená hostitelská trasa musí cestovat, je způsob, jak se údržbová změna stane routing incidentem.

Community BLACKHOLE je dohoda o známé hodnotě, nikoli oprávnění pro kteréhokoli souseda zahodit jakoukoli adresu. RFC 7999 ji takto popisuje a hranice důvěry v to, kdo ji smí oznamovat, je součástí návrhu, ne implementačním detailem.

Přijímající strana potřebuje vlastní konfiguraci. V NX-OS vyžadují nulové trasy typu 5 ošetření route-map na VTEP, aby se zvolilo chování zahazování, což je zdokumentováno spolu s exportními kroky. Zařízení, které správně značkuje, a příjemce, který značku ignoruje, vytvoří změnu, jež vypadá aplikovaně a přesto provoz předává.

Projděte route-map kvůli vedlejším efektům, dokud jste tam. Nová restriktivní politika může potlačit legitimní dostupnost nesouvisejících prefixů a tato škoda se objeví později než blackhole a hůř se mu připisuje.

Napište stažení dřív než vložení

Zaznamenejte vlastníka cíle, důvod, schvalovatele a expiraci, než se cokoli nakonfiguruje. Zahazování bez expirace se stane trvalým záznamem, jehož původ si nikdo nepamatuje, a další člověk, který bude adresu ladit, jej bude považovat za běžnou součást sítě.

Udržujte nezávislou cestu správy, která nezávisí na trase, kterou měníte. Pokud zmírnění pokrývá adresu, kterou používáte k přístupu k zařízení, vytvořili jste uzamčení s kroky navíc.

Pojmenujte přesný prvek řízení, který zmírnění odstraní, a toto odstranění otestujte v laboratoři nebo v okně, které si můžete dovolit. Stažení, které si nikdo nenacvičil, je plán, ne postup.

Přijměte s důkazy, ne s výstupem příkazu

Zkontrolujte zvolený stav směrování a stav předávání na zamýšlených VTEP, a zkontrolujte sousední cíl, který musí zůstat nedotčen. Potvrďte, že žádný jiný tenant prefix neimportoval, protože únik mezi tenanty je režim selhání, který z údržbové akce dělá incident.

Potom trasu stáhněte a ověřte, že se normální trasa a služba vrátily. Průvodce nulovými trasami NX-OS EVPN pro verzi 10.4(x) dokumentuje značkování, redistribuci a přijímací politiku popsané zde a je referencí, se kterou máte porovnat vlastní verzi.