NX-OS EVPN null-route: hold kasseringen inde i én tenant

Anmodningen kommer som en ændring på én linje: blackhole én adresse. Du tilføjer en host-rute til Null0 inde i tenant-konteksten, præfikset forsvinder fra den lokale tabel som forventet, og så begynder spørgsmålene. Forlod ruten boksen? Kasserede de fjerne VTEP'er, eller mistede de blot nåbarhed? Er en anden tenant nu påvirket?

En korrekt lokal statisk rute besvarer kun det første af disse spørgsmål, og derfor er en blackhole-ændring i virkeligheden tre gennemgåede resultater frem for én kommando.

Hvad ændringen faktisk skal frembringe

Begynd med at skrive de tre resultater ned. Den tilsigtede tenant skal kassere destinationen lokalt. Kun den autoriserede rute må eksporteres, uden at noget andet følger med. Hver modtagende VTEP skal vælge den tilsigtede kasseringshandling frem for en anden vej.

Hvert resultat har sit eget bevis, og ingen af dem indebærer de andre. En lokal Null0-rute giver lokal kassering og eksporterer uden redistribution intet som helst. En redistribueret rute uden den aftalte community ankommer som et almindeligt præfiks og videresendes. En community uden modtagelsespolitikken kan blive ignoreret helt.

At skrive resultaterne ned først beskytter dig også mod en almindelig fejl: en ændring, der ser ud til at virke, fordi destinationen allerede var unåelig af en urelateret grund. Hvis du ikke kan beskrive, hvordan du vil kende forskel, er accepttesten endnu ikke designet.

Den lokale sætning gør kun den første del

For NX-OS i 10.4(x)-toget ligger null-ruten inde i tenantens VRF-kontekst frem for i én kommando, der navngiver VRF'en. Fragmentet er kort, og det er afgjort ikke en fuldstændig EVPN-konfiguration.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adressen er et dokumentationspræfiks, ikke et mål. Bemærk syntaksforskellen fra IOS, hvor VRF-navnet optræder inde i selve rute-kommandoen, og bekræft den understøttede form for den version, du faktisk kører, før du indsætter noget.

Alene kasserer denne linje trafik for den host inde i TENANT_A og gør intet andet. Den tagger ikke ruten, vælger den ikke til BGP og sætter ikke en community. Det er separate konfigurationsbeslutninger, og hver af dem er et sted, hvor ændringen kan være enten for snæver til at virke eller for bred til at være sikker.

Den lokale kassering påvirker også legitim trafik til samme destination. Hvis hensigten er at stoppe én misbrugende kilde, mens rigtige brugere stadig har brug for adressen, er en null-route det forkerte værktøj, og det lærer du ved det første supportopkald.

Eksport og import er separate aftaler

Redistribution er der, hvor omfanget besluttes. Begræns de kvalificerede præfikser til den godkendte afbødning, hold den inde i tenanten, og begræns de oprindende peers til dem i designet. At redistribuere hver statisk rute, fordi én tagget host-rute skal rejse, er hvordan en vedligeholdelsesændring bliver en routinghændelse.

BLACKHOLE-community'en er en aftale om en velkendt værdi, ikke en tilladelse for enhver nabo til at kassere enhver adresse. RFC 7999 beskriver den i de termer, og tillidsgrænsen omkring, hvem der må annoncere den, er en del af designet frem for en implementeringsdetalje.

Den modtagende side har brug for sin egen konfiguration. På NX-OS kræver Type 5 null-ruter route-map-behandling på VTEP'en for at vælge kasseringsadfærden, hvilket er dokumenteret sammen med eksporttrinnene. En sendende enhed, der tagger korrekt, og en modtager, der ignorerer tagget, giver en ændring, der ser ud til at være anvendt og alligevel videresender trafik.

Gennemgå route-map'et for bivirkninger, mens du er der. En ny restriktiv politik kan undertrykke legitim nåbarhed for urelaterede præfikser, og den skade viser sig senere end blackholen og er sværere at henføre til den.

Skriv tilbagetrækningen før indsættelsen

Registrér destinationens ejer, årsagen, godkenderen og en udløbsdato, før noget konfigureres. En kassering uden udløb bliver en permanent post, hvis oprindelse ingen husker, og den næste, der fejlfinder adressen, vil behandle den som en normal del af netværket.

Hold en uafhængig administrationsvej, der ikke afhænger af den rute, du ændrer. Hvis afbødningen dækker en adresse, du bruger til at nå enheden, har du skabt en udelukkelse med ekstra trin.

Navngiv den præcise kontrol, der fjerner afbødningen, og test den fjernelse i et laboratorium eller i et vindue, du har råd til. En tilbagetrækning, som ingen har øvet, er en plan frem for en procedure.

Acceptér med bevis, ikke med kommandoens output

Kontrollér den valgte routingtilstand og videresendelsestilstanden på de tilsigtede VTEP'er, og kontrollér en nabodestination, der skal forblive upåvirket. Bekræft, at ingen anden tenant har importeret præfikset, fordi lækage mellem tenants er den fejltilstand, der gør en vedligeholdelseshandling til en hændelse.

Træk derefter tilbage, og verificér at den normale rute og tjenesten vender tilbage. NX-OS EVPN-vejledningen om null-ruter for 10.4(x)-versionen dokumenterer tagning, redistribution og modtagelsespolitik beskrevet her, og det er referenceværket at holde op mod din egen version.