Parthau llwybr F5 a VRF MPLS: mapio trosglwyddiad y tenant
Dau denant, un cyfeiriad, dwy barth llwybr. Pinio pob gwrthrych gyda %ID, defnyddio VRF a thargedau llwybr y darparwr, a gwirio pob tenant ar wahân.
Mae dau denant yn rhedeg yr un rhaglen yn 10.50.0.10. Mae'r darparwr yn eu cadw ar wahân mewn VPN MPLS gwahanol, ac mae'r BIG-IP yn cadw eu traffig lleol mewn parthau llwybr gwahanol. Mae'r drefniant hwn yn gweithio hyd at y trosglwyddiad, lle mae ôl-ddodiad coll neu darged llwybr wedi'i gopïo yn rhoi pecyn un tenant yng nghyd-destun y llall yn dawel. Mae'r llyfr hwn yn mapio'r ddau fodel gyda'i gilydd ac yn gorffen gyda phrawf fesul tenant.
Taflen waith: un rhes fesul tenant
Llenwch hwn cyn i chi newid unrhyw beth. Mae pob cam diweddarach yn cyfeirio at gell ynddo, ac mae cell wag yn benderfyniad nad oes neb wedi'i wneud eto.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Cam 1: pinio pob gwrthrych i'w barth llwybr
Mae dogfennaeth parthau llwybr F5 yn disgrifio cyd-destunau traffig ynysig, cyfeiriadau dyblyg a'r nodiant address%ID ar gyfer gwrthrychau ffurfweddu. Mae cyfeiriad a ysgrifennir fel 10.50.0.10%2 yn enwi cyd-destun lleol y parth llwybr, ac nid label MPLS a gludir ym mhecyn IP y cwsmer yw'r ôl-ddodiad hwnnw.
Mae VLAN neu dwnnel a gefnogir yn perthyn i un parth llwybr yn y model dogfennol, felly rhaid i'r rhyngwyneb a'r cyfeiriad gytuno. Archwiliwch hefyd barth llwybr diofyn y rhan weinyddol, oherwydd nid yw ôl-ddodiad wedi'i hepgor yn golygu dim cyd-destun; mae'n golygu pa bynnag gyd-destun y mae'r rhan yn ei ddefnyddio'n ddiofyn. Mae'r un diofyn hwnnw'n esbonio'r rhan fwyaf o'r digwyddiadau lle'r oedd gwrthrych newydd yn ateb y tenant anghywir yn dawel. Gwiriwch ef cyn i chi ychwanegu cyfeiriad eich hun.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsCam 2: defnyddio VRF a thargedau llwybr y darparwr
Ar ymyl MPLS, mae'r tenant yn cael ei adnabod gan VRF y darparwr a'r gwasanaeth llwybro cwsmer a gytunwyd. Mae targedau llwybr yn rheoli pa lwybrau y mae'r darparwr yn eu mewnforio a'u hallforio rhwng VRF, ac nid yw dewis rhif parth llwybr BIG-IP tebyg yn creu unrhyw beth o'r berthynas honno.
Mae'r ddau adnabyddwr yn byw mewn systemau gwahanol ac yn golygu pethau gwahanol. Mae ID parth llwybr yn gyd-destun lleol ar y teclyn. Mae targed llwybr yn briodoledd polisi ar ochr y darparwr sy'n penderfynu dosbarthiad llwybrau, ac mae gwahanydd llwybr yn drydydd peth eto, a ddefnyddir i gadw rhagddodiadau sydd fel arall yn unfath ar wahân.
Cam 3: penderfynu a all cyd-destunau rannu cyrhaeddedd
Adolygwch osodiadau chwilio'r parth rhiant ac ynysu llym yn fwriadol, oherwydd maent yn newid beth y gall cyd-destun ei gyrraedd. Mae canllaw F5 yn caniatáu anfon rheoledig drwy'r perthnasau hynny, a dyna'n union pam na ddylid trin parth llwybr fel polisi diogelwch tenant cyflawn ar ei ben ei hun.
Os oes angen gwasanaeth a rennir ar y ddau denant, nodwch y llwybr a'r caniatadau a gymeradwywyd yn lle pwyntio un tenant yn ddifeddwl at gyd-destun llwybro'r llall. Cadwch hunaniaeth y rhaglen ac unrhyw gyfieithu ffynhonnell bwriadol ynghyd â'r cyrchfan rhwydwaith, neu bydd y gwasanaeth a rennir yn gweld un tenant fel y llall.
Mae trosglwyddiad llwybriedig cyffredin yn cysylltu BIG-IP â llwybrydd ymyl darparwr heb wneud BIG-IP yn PE MPLS. Os oes gwir angen integreiddio uniongyrchol MPLS neu deulu llwybrau VPN, cewch gefnogaeth benodol ar gyfer y platfform a'r rhyddhau union, oherwydd nid yw ynysu lleol parth llwybr yn sefydlu'r gallu hwnnw.
Cam 4: gwirio un tenant ar y tro
Profwch denant A o bwynt terfyn yng nghyd-destun A i gyfeiriad rhaglen A, yna ailadroddwch ar gyfer B. Defnyddiwch y ffurf %ID mewn diagnosteg fel y gallwch brofi pa gyd-destun a atebodd, a chadarnhau bod cais o'r cyd-destun anghywir yn methu yn hytrach nag yn glanio yn rhywle credadwy.
Gwiriwch ochr y darparwr yn yr un daith: mae'r rhagddodiad yn bresennol yn y VRF cywir, mae'r targedau llwybr yn cyfateb i'r daflen waith, ac mae'r llwybr dychwelyd yn defnyddio'r atodiad a fwriadwyd. Mae ping sy'n gweithio o'r teclyn ei hun yn profi cyd-destun y teclyn, nid cyd-destun y tenant.
Cofnodwch y mapio terfynol yn y daflen waith, gan gynnwys parth llwybr diofyn pob rhan ac unrhyw berthynas parth rhiant y gwnaethoch ei galluogi. Bydd y newid nesaf yn yr amgylchedd hwn yn cael ei wneud gan rywun sy'n darllen y tabl hwnnw, nid gan rywun sy'n darllen yr erthygl hon.