F5 marsruudidomeenid ja MPLS VRF-id: kaardista üürniku üleandmine
Kaks üürnikku, üks aadress, kaks marsruudidomeeni. Kinnitage iga objekt %ID-ga, kasutage teenusepakkuja VRF-i ja marsruudisihtmärke ning kontrollige iga üürnikku eraldi.
Kaks üürnikku käitavad sama rakendust aadressil 10.50.0.10. Teenusepakkuja hoiab neid eraldi erinevates MPLS VPN-ides ja BIG-IP hoiab nende kohalikku liiklust eraldi marsruudidomeenides. See korraldus töötab kuni üleandmiseni, kus puuduv sufiks või kopeeritud marsruudisihtmärk paneb vaikselt ühe üürniku paketi teise üürniku konteksti. See käsiraamat seob kaks mudelit kokku ja lõpeb testiga iga üürniku kohta.
Tööleht: üks rida üürniku kohta
Täitke see enne, kui midagi muudate. Iga järgmine samm viitab selle lahtrile ja tühi lahter on otsus, mida keegi veel teinud ei ole.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Samm 1: kinnitage iga objekt oma marsruudidomeeni
F5 marsruudidomeenide dokumentatsioon kirjeldab isoleeritud liikluskontekste, dubleeritud aadresse ja konfiguratsiooniobjektide address%ID tähistust. Aadressina 10.50.0.10%2 kirjutatud aadress nimetab kohaliku marsruudidomeeni konteksti ja see sufiks ei ole MPLS-silt, mida kantakse kliendi IP-paketis.
VLAN või toetatud tunnel kuulub dokumenteeritud mudelis ühte marsruudidomeeni, seega peavad liides ja aadress kokku sobima. Kontrollige ka halduspartitsiooni vaikimisi marsruudidomeeni, sest väljajäetud sufiks ei tähenda, et konteksti pole; see tähendab seda konteksti, mida partitsioon vaikimisi kasutab. See üks vaikeväärtus selgitab enamikku juhtumeid, kus uus objekt vastas vaikselt valele üürnikule. Kontrollige seda enne, kui lisate oma aadressi.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsSamm 2: kasutage teenusepakkuja VRF-i ja marsruudisihtmärke
MPLS-i servas tuvastatakse üürnik teenusepakkuja VRF-i ja kokkulepitud kliendi marsruutimisteenuse kaudu. Marsruudisihtmärgid juhivad, milliseid marsruute teenusepakkuja VRF-ide vahel impordib ja ekspordib, ning sarnase välimusega BIG-IP marsruudidomeeni numbri valimine ei loo sellest suhtest midagi.
Kaks identifikaatorit elavad eri süsteemides ja tähendavad eri asju. Marsruudidomeeni ID on seadme kohalik kontekst. Marsruudisihtmärk on teenusepakkuja poolel olev poliitikaatribuut, mis otsustab marsruutide jaotuse, ja marsruudieristaja on jälle kolmas asi, mida kasutatakse muidu identsete prefiksite eraldi hoidmiseks.
Samm 3: otsustage, kas kontekstid tohivad kättesaadavust jagada
Vaadake teadlikult üle ülemdomeeni otsingu ja range isolatsiooni sätted, sest need muudavad, milleni kontekst jõuab. F5 juhend lubab nende seoste kaudu kontrollitud edastamist ja just seetõttu ei tohiks marsruudidomeeni pidada üksi täielikuks üürniku turbepoliitikaks.
Kui mõlemad üürnikud vajavad ühist teenust, määrake kinnitatud tee ja load, selle asemel et üks üürnik lihtsalt teise marsruutimiskonteksti suunata. Säilitage rakenduse identiteet ja igasugune kavatsuslik lähtetõlge koos võrgu sihtkohaga, muidu näeb ühine teenus üht üürnikku teisena.
Tavaline marsruuditud üleandmine ühendab BIG-IP-i teenusepakkuja serva-marsruuteriga, tegemata BIG-IP-ist MPLS PE-d. Kui otsene MPLS-i või VPN-i marsruudiperekonna integratsioon on tõesti vajalik, hankige sõnaselge tugi täpse platvormi ja väljalaske kohta, sest kohalik marsruudidomeeni isolatsioon ei loo seda võimekust.
Samm 4: kontrollige ühte üürnikku korraga
Testige üürnikku A A kontekstis olevast lõpp-punktist A rakenduse aadressini ja korrake seejärel B puhul. Kasutage diagnostikas vormi %ID, et tõestada, milline kontekst vastas, ja kinnitage, et vale konteksti päring ebaõnnestub, selle asemel et maanduda kuskil usutavas kohas.
Kontrollige samal käigul ka teenusepakkuja poolt: prefiks on õiges VRF-is, marsruudisihtmärgid vastavad töölehele ja tagasitee kasutab kavandatud ühendust. Ping, mis töötab seadmest endast, tõestab seadme konteksti, mitte üürniku oma.
Kirjutage lõplik vastendus töölehele, sealhulgas iga partitsiooni vaikimisi marsruudidomeen ja kõik lubatud ülemdomeeni seosed. Järgmise muudatuse selles keskkonnas teeb keegi, kes loeb seda tabelit, mitte keegi, kes loeb seda artiklit.