NX-OS EVPN-Nullroute: die Verwerfung in einem Tenant halten

Die Anfrage kommt als einzeilige Änderung: eine Adresse blackholen. Sie fügen eine Host-Route nach Null0 im Tenant-Kontext hinzu, das Präfix verschwindet wie erwartet aus der lokalen Tabelle, und dann beginnen die Fragen. Hat die Route die Box verlassen? Haben die fernen VTEPs verworfen, oder haben sie einfach die Erreichbarkeit verloren? Ist jetzt ein zweiter Tenant betroffen?

Eine korrekte lokale statische Route beantwortet nur die erste dieser Fragen, weshalb eine Blackhole-Änderung eigentlich drei geprüfte Ergebnisse statt eines Befehls ist.

Was die Änderung tatsächlich erzeugen muss

Schreiben Sie zuerst die drei Ergebnisse auf. Der vorgesehene Tenant muss das Ziel lokal verwerfen. Nur die autorisierte Route darf exportiert werden, und nichts anderes darf mitfahren. Jeder empfangende VTEP muss die vorgesehene Verwerfungsaktion wählen und nicht einen anderen Pfad.

Jedes Ergebnis hat seinen eigenen Nachweis, und keines impliziert die anderen. Eine lokale Null0-Route erzeugt lokale Verwerfung und exportiert ohne Redistribution gar nichts. Eine redistribuierte Route ohne die vereinbarte Community kommt als gewöhnliches Präfix an und wird weitergeleitet. Eine Community ohne die Empfangsrichtlinie kann vollständig ignoriert werden.

Die Ergebnisse zuerst aufzuschreiben schützt auch vor einem häufigen Fehler: einer Änderung, die zu funktionieren scheint, weil das Ziel aus einem unabhängigen Grund ohnehin nicht erreichbar war. Wenn Sie nicht beschreiben können, wie Sie den Unterschied erkennen würden, ist der Abnahmetest noch nicht entworfen.

Die lokale Anweisung leistet nur den ersten Teil

Bei NX-OS im 10.4(x)-Zug liegt die Nullroute im VRF-Kontext des Tenants und nicht in einem einzelnen Befehl, der die VRF benennt. Das Fragment ist kurz, und es ist beileibe keine vollständige EVPN-Konfiguration.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Die Adresse ist ein Dokumentationspräfix, kein Ziel. Beachten Sie den Syntaxunterschied zu IOS, wo der VRF-Name innerhalb des Route-Befehls selbst erscheint, und bestätigen Sie die unterstützte Form für die Version, die Sie tatsächlich betreiben, bevor Sie irgendetwas einfügen.

Für sich genommen verwirft diese Zeile den Verkehr zu diesem Host innerhalb von TENANT_A und tut nichts weiter. Sie taggt die Route nicht, wählt sie nicht für BGP aus und setzt keine Community. Das sind getrennte Konfigurationsentscheidungen, und jede ist eine Stelle, an der die Änderung entweder zu eng sein kann, um zu wirken, oder zu weit, um sicher zu sein.

Die lokale Verwerfung trifft auch legitimen Verkehr zum selben Ziel. Wenn die Absicht ist, eine missbrauchende Quelle zu stoppen, während echte Nutzer die Adresse noch brauchen, ist eine Nullroute das falsche Werkzeug, und das werden Sie beim ersten Supportanruf lernen.

Export und Import sind getrennte Vereinbarungen

Bei der Redistribution wird der Umfang entschieden. Beschränken Sie die zulässigen Präfixe auf die genehmigte Maßnahme, halten Sie sie im Tenant und begrenzen Sie die Ursprungs-Peers auf die im Design. Jede statische Route zu redistribuieren, weil eine getaggte Host-Route reisen muss, ist der Weg, auf dem eine Wartungsänderung zum Routing-Vorfall wird.

Die BLACKHOLE-Community ist eine Vereinbarung über einen bekannten Wert, keine Berechtigung für jeden Nachbarn, jede Adresse zu verwerfen. RFC 7999 beschreibt sie in diesen Begriffen, und die Vertrauensgrenze, wer sie annoncieren darf, ist Teil des Designs und kein Implementierungsdetail.

Die empfangende Seite braucht ihre eigene Konfiguration. Unter NX-OS erfordern Type-5-Nullrouten eine route-map-Behandlung am VTEP, um das Verwerfungsverhalten auszuwählen, was zusammen mit den Export-Schritten dokumentiert ist. Ein sendendes Gerät, das korrekt taggt, und ein Empfänger, der das Tag ignoriert, ergeben eine Änderung, die angewendet aussieht und den Verkehr trotzdem weiterleitet.

Prüfen Sie die route-map auf Nebenwirkungen, während Sie dort sind. Eine neu einschränkende Richtlinie kann legitime Erreichbarkeit für unabhängige Präfixe unterdrücken, und dieser Schaden zeigt sich später als das Blackhole und ist ihm schwerer zuzuordnen.

Schreiben Sie den Rückbau vor dem Einbau

Halten Sie Zielinhaber, Grund, Genehmiger und ein Ablaufdatum fest, bevor irgendetwas konfiguriert wird. Eine Verwerfung ohne Ablauf wird zu einem dauerhaften Eintrag, dessen Ursprung niemand mehr kennt, und der Nächste, der die Adresse debuggt, wird sie als normalen Teil des Netzes behandeln.

Halten Sie einen unabhängigen Verwaltungspfad vor, der nicht von der Route abhängt, die Sie ändern. Wenn die Maßnahme eine Adresse abdeckt, über die Sie das Gerät erreichen, haben Sie eine Aussperrung mit zusätzlichen Schritten geschaffen.

Benennen Sie die genaue Kontrolle, die die Maßnahme entfernt, und testen Sie diese Entfernung im Labor oder in einem Fenster, das Sie sich leisten können. Ein Rückbau, den niemand geprobt hat, ist ein Plan und kein Verfahren.

Abnehmen mit Nachweisen, nicht mit der Befehlsausgabe

Prüfen Sie den gewählten Routing-Zustand und den Weiterleitungszustand an den vorgesehenen VTEPs, und prüfen Sie ein benachbartes Ziel, das unberührt bleiben muss. Bestätigen Sie, dass kein anderer Tenant das Präfix importiert hat, denn Übertragung zwischen Tenants ist der Fehlermodus, der eine Wartungsaktion zum Vorfall macht.

Ziehen Sie dann zurück und verifizieren Sie, dass die normale Route und der Dienst zurückkehren. Der NX-OS-EVPN-Leitfaden zu Nullrouten für die Version 10.4(x) dokumentiert das Tagging, die Redistribution und die Empfangsrichtlinie, die hier beschrieben sind, und er ist die Referenz, gegen die Sie Ihre eigene Version prüfen sollten.