NX-OS EVPN nula itinero: tenu la forĵeton ene de unu luanto

La peto alvenas kiel unulinia ŝanĝo: nigratruu unu adreson. Vi aldonas gastigan itineron al Null0 ene de la luanta kunteksto, la prefikso malaperas el la loka tabelo kiel atendite, kaj tiam la demandoj komenciĝas. Ĉu la itinero forlasis la aparaton? Ĉu la malproksimaj VTEP-oj forĵetis, aŭ ĉu ili simple perdis atingeblon? Ĉu dua luanto nun estas tuŝita?

Ĝusta loka statika itinero respondas nur la unuan el tiuj demandoj, kaj tial nigratrua ŝanĝo estas fakte tri reviziitaj rezultoj anstataŭ unu komando.

Kion la ŝanĝo efektive devas produkti

Komencu skribante la tri rezultojn. La celata luanto devas forĵeti la celon loke. Nur la rajtigita itinero rajtas esti eksportita, kaj nenio alia rajtas veturi kun ĝi. Ĉiu ricevanta VTEP devas elekti la celatan forĵetan agon anstataŭ alian vojon.

Ĉiu rezulto havas sian propran pruvon, kaj neniu implicas la aliajn. Loka Null0-itinero produktas lokan forĵeton kaj, sen redistribuado, eksportas absolute nenion. Redistribuita itinero sen la interkonsentita community alvenas kiel ordinara prefikso kaj estas plusendata. Community sen la riceva politiko povas esti tute ignorata.

Skribi la rezultojn unue ankaŭ protektas vin kontraŭ ofta fiasko: ŝanĝo kiu ŝajnas funkcii ĉar la celo jam estis neatingebla pro senliga kialo. Se vi ne povas priskribi kiel vi distingus la du kazojn, la akcepta testo ankoraŭ ne estas desegnita.

La loka deklaro faras nur la unuan parton

Por NX-OS en la 10.4(x) trajno, la nula itinero sidas ene de la VRF-kunteksto de la luanto, ne en unu komando kiu nomas la VRF. La fragmento estas mallonga, kaj ĝi estas emfaze ne kompleta EVPN-agordo.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

La adreso estas dokumenta prefikso, ne celo. Notu la sintaksan diferencon disde IOS, kie la VRF-nomo aperas ene de la itinera komando mem, kaj konfirmu la subtenatan formon por la eldono kiun vi efektive uzas antaŭ ol alglui ion ajn.

Sola, ĉi tiu linio forĵetas trafikon por tiu gastiganto ene de TENANT_A kaj faras nenion alian. Ĝi ne etikedas la itineron, ne elektas ĝin por BGP, kaj ne agordas community. Tiuj estas apartaj agordaj decidoj, kaj ĉiu el ili estas loko kie la ŝanĝo povas esti aŭ tro mallarĝa por funkcii aŭ tro larĝa por esti sekura.

La loka forĵeto ankaŭ tuŝas laŭleĝan trafikon al la sama celo. Se la intenco estas haltigi unu misuzan fonton dum realaj uzantoj ankoraŭ bezonas la adreson, nula itinero estas la malĝusta ilo kaj vi lernos tion ĉe la unua subtena alvoko.

Eksporto kaj importo estas apartaj interkonsentoj

Redistribuado estas kie la amplekso estas decidita. Limigu la taŭgajn prefiksojn al la aprobita mildigo, tenu ĝin ene de la luanto, kaj limigu la originajn peer-ojn al tiuj en la dezajno. Redistribui ĉiun statikan itineron ĉar unu etikedita gastiga itinero devas vojaĝi estas kiel prizorga ŝanĝo fariĝas itinera incidento.

La community BLACKHOLE estas interkonsento pri konata valoro, ne rajtigo por iu najbaro forĵeti iun ajn adreson. RFC 7999 priskribas ĝin per tiuj terminoj, kaj la fido-limo pri tio, kiu rajtas anonci ĝin, estas parto de la dezajno anstataŭ implementa detalo.

La ricevanta flanko bezonas sian propran agordon. En NX-OS, nula itineroj de tipo 5 postulas route-map-traktadon ĉe la VTEP por elekti la forĵetan konduton, kio estas dokumentita apud la eksportaj paŝoj. Aparato sendanta kiu etikedas ĝuste kaj ricevanto kiu ignoras la etikedon produktas ŝanĝon kiu ŝajnas aplikita kaj tamen plusendas trafikon.

Reviziu la route-map por kromefikoj dum vi estas tie. Nova restrikta politiko povas subpremi laŭleĝan atingeblon por senligaj prefiksoj, kaj tiu damaĝo aperas pli malfrue ol la nigratruo kaj estas pli malfacile atribuebla al ĝi.

Skribu la retiron antaŭ la enmeto

Registru la posedanton de la celo, la kialon, la aprobanton kaj limdaton antaŭ ol io estas agordita. Forĵeto sen limdato fariĝas permanenta ero kies originon neniu memoras, kaj la sekva persono kiu sencimigos la adreson traktos ĝin kiel normalan parton de la reto.

Tenu sendependan administran vojon kiu ne dependas de la itinero kiun vi ŝanĝas. Se la mildigo kovras adreson kiun vi uzas por atingi la aparaton, vi kreis ŝlosadon kun kromaj paŝoj.

Nomu la precizan regilon kiu forigas la mildigon, kaj testu tiun forigon en laboratorio aŭ dum fenestro kiun vi povas permesi al vi. Retiro kiun neniu provis estas plano anstataŭ proceduro.

Akceptu per pruvoj, ne per la eligo de la komando

Kontrolu la elektitan enitinrigan staton kaj la plusendan staton ĉe la celataj VTEP-oj, kaj kontrolu najbaran celon kiu devas resti netuŝita. Konfirmu ke neniu alia luanto importis la prefikson, ĉar likado inter luantoj estas la fiaskmaniero kiu igas prizorgan agon incidento.

Poste retiru kaj kontrolu ke la normala itinero kaj la servo revenas. La gvidilo pri nulaj itineroj de NX-OS EVPN por la eldono 10.4(x) dokumentas la etikedadon, la redistribuadon kaj la ricevan politikon priskribitajn ĉi tie, kaj ĝi estas la referenco por kompari kun via propra eldono.