F5-rutedomæner og MPLS-VRF'er: kortlæg lejerens overdragelse
To lejere, én adresse, to rutedomæner. Fastgør hvert objekt med %ID, brug udbyderens VRF og rutemål, og verificér hver lejer separat.
To lejere kører begge en applikation på 10.50.0.10. Udbyderen holder dem adskilt i separate MPLS-VPN'er, og BIG-IP'en holder deres lokale trafik i separate rutedomæner. Den ordning fungerer helt frem til overdragelsen, hvor et manglende suffiks eller et kopieret rutemål stille placerer den ene lejers pakke i den andens kontekst. Denne runbook forbinder de to modeller og slutter med en test pr. lejer.
Regneark: én række pr. lejer
Udfyld dette, før du ændrer noget. Hvert senere trin henviser til en celle i det, og en tom celle er en beslutning, som ingen har taget endnu.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Trin 1: fastgør hvert objekt til sit rutedomæne
F5's dokumentation om rutedomæner beskriver isolerede trafik-kontekster, duplikerede adresser og address%ID-notationen for konfigurationsobjekter. En adresse skrevet som 10.50.0.10%2 angiver den lokale rutedomæne-kontekst, og det suffiks er ikke en MPLS-label, der bæres i kundens IP-pakke.
En VLAN eller en understøttet tunnel hører til ét rutedomæne i den dokumenterede model, så interfacet og adressen skal passe sammen. Undersøg også den administrative partitions standard-rutedomæne, fordi et udeladt suffiks ikke betyder ingen kontekst; det betyder den kontekst, som partitionen bruger som standard. Den ene standard forklarer de fleste hændelser, hvor et nyt objekt stille svarede i den forkerte lejer. Kontrollér det, før du tilføjer en selvadresse.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsTrin 2: brug udbyderens VRF og rutemål
Ved MPLS-kanten identificeres lejeren af udbyderens VRF og den aftalte kunderutingsservice. Rutemål styrer, hvilke ruter udbyderen importerer og eksporterer mellem VRF'er, og at vælge et lignende BIG-IP-rutedomænenummer skaber intet af den relation.
De to identifikatorer lever i forskellige systemer og betyder forskellige ting. Et rutedomæne-ID er en lokal kontekst på apparatet. Et rutemål er en politik-attribut på udbydersiden, som afgør rutefordeling, og en routedifferentiator er endnu en tredje ting, der bruges til at holde ellers identiske præfikser adskilt.
Trin 3: afgør, om kontekster må dele rækkevidde
Gennemgå opslag i overordnet domæne og indstillinger for streng isolering bevidst, fordi de ændrer, hvad en kontekst kan nå. F5-vejledningen tillader kontrolleret videresendelse gennem disse relationer, og netop derfor bør et rutedomæne ikke alene behandles som en fuld lejer-sikkerhedspolitik.
Hvis begge lejere har brug for en delt tjeneste, angiv den godkendte vej og tilladelser i stedet for blot at pege den ene lejer mod den andens routingkontekst. Bevar applikationsidentitet og enhver bevidst kildeoversættelse sammen med netværksdestinationen, ellers vil den delte tjeneste se den ene lejer som den anden.
En almindelig routet overdragelse forbinder BIG-IP til en udbyder-edge-router uden at gøre BIG-IP til et MPLS PE. Hvis direkte MPLS- eller VPN-rutefamilieintegration virkelig er påkrævet, skal du få eksplicit support til den præcise platform og release, fordi lokal rutedomæne-isolering ikke etablerer den egenskab.
Trin 4: verificér én lejer ad gangen
Test lejer A fra et endpoint i A's kontekst til A's applikationsadresse, og gentag derefter for B. Brug %ID-formen i diagnostik, så du kan bevise, hvilken kontekst der svarede, og bekræft, at en anmodning fra den forkerte kontekst fejler i stedet for at lande et plausibelt sted.
Kontrollér udbydersiden i samme gennemgang: præfikset findes i den rigtige VRF, rutemålene matcher regnearket, og returvejen bruger den tilsigtede attachment. En ping, der virker fra selve apparatet, beviser apparatets kontekst, ikke lejerens.
Notér den endelige mapping i regnearket, inklusive hver partitions standard-rutedomæne og enhver overordnet domæne-relation, du har aktiveret. Den næste ændring i dette miljø bliver lavet af en, der læser den tabel, ikke af en, der læser denne artikel.