NX-OS EVPN null-reitti: pidä hylkäys yhden vuokralaisen sisällä

Pyyntö saapuu yhden rivin muutoksena: blackhole yksi osoite. Lisäät isäntäreitin Null0:aan vuokralaisen kontekstissa, etuliite katoaa paikallisesta taulusta odotetusti ja sitten kysymykset alkavat. Lähtikö reitti laitteesta? Hylkäsivätkö kaukaiset VTEPit vai menettivätkö ne yksinkertaisesti tavoitettavuuden? Onko toinen vuokralainen nyt vaikutuksen alainen?

Oikea paikallinen staattinen reitti vastaa vain ensimmäiseen näistä kysymyksistä, minkä vuoksi blackhole-muutos on oikeastaan kolme tarkistettua lopputulosta eikä yksi komento.

Mitä muutoksen on tosiasiassa tuotettava

Aloita kirjoittamalla kolme lopputulosta. Aiottu vuokralainen hylkää kohteen paikallisesti. Vain valtuutettu reitti saa viedä, eikä mitään muuta saa matkustaa mukana. Jokaisen vastaanottavan VTEPin on valittava aiottu hylkäystoiminto eikä eri polkua.

Jokaisella lopputuloksella on oma todisteensa, eikä mikään niistä edellytä muita. Paikallinen Null0-reitti tuottaa paikallisen hylkäyksen eikä ilman uudelleenjakelua vie yhtään mitään. Uudelleenjaettu reitti ilman sovittua communityä saapuu tavallisena etuliitteenä ja välitetään eteenpäin. Community ilman vastaanottokäytäntöä voidaan jättää kokonaan huomiotta.

Lopputulosten kirjoittaminen ensin suojaa sinut myös tavalliselta epäonnistumiselta: muutokselta, joka näyttää toimivan, koska kohde oli jo tavoittamattomissa toisesta syystä. Jos et pysty kuvaamaan, miten erottaisit tapaukset, hyväksyntätestiä ei ole vielä suunniteltu.

Paikallinen lause tekee vain ensimmäisen osan

NX-OS:ssa 10.4(x)-sarjassa null-reitti sijaitsee vuokralaisen VRF-kontekstin sisällä eikä yhdessä komennossa, joka nimeää VRF:n. Katkelma on lyhyt, eikä se ole missään nimessä täydellinen EVPN-kokoonpano.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Osoite on dokumentaation etuliite, ei kohde. Huomaa syntaksiero IOS:ään, jossa VRF:n nimi esiintyy reittikomennon sisällä, ja vahvista tuettu muoto sille versiolle, jota itse ajat, ennen kuin liität mitään.

Yksinään tämä rivi hylkää kyseisen isännän liikenteen TENANT_A:n sisällä eikä tee muuta. Se ei merkitse reittiä, ei valitse sitä BGP:lle eikä aseta communityä. Ne ovat erillisiä kokoonpanopäätöksiä, ja jokainen niistä on paikka, jossa muutos voi olla joko liian kapea toimiakseen tai liian laaja ollakseen turvallinen.

Paikallinen hylkäys vaikuttaa myös lailliseen liikenteeseen samaan kohteeseen. Jos tarkoitus on pysäyttää yksi väärinkäyttävä lähde samalla kun oikeat käyttäjät yhä tarvitsevat osoitetta, null-reitti on väärä työkalu ja opit sen ensimmäisestä tukipuhelusta.

Vienti ja tuonti ovat erillisiä sopimuksia

Uudelleenjakelu on paikka, jossa laajuus päätetään. Rajoita kelvolliset etuliitteet hyväksyttyyn lievennykseen, pidä se vuokralaisen sisällä ja rajaa lähdepeerit suunnitelmassa oleviin. Jokaisen staattisen reitin uudelleenjakelu siksi, että yhden merkityn isäntäreitin täytyy matkustaa, on se tapa, jolla huoltomuutoksesta tulee reititysongelma.

Community BLACKHOLE on sopimus tunnetusta arvosta, ei valtuutus kenelle tahansa naapurille hylätä mitä tahansa osoitetta. RFC 7999 kuvaa sen näillä termeillä, ja luottamusraja sen suhteen, kuka saa ilmoittaa sitä, on osa suunnittelua eikä toteutuksen yksityiskohta.

Vastaanottava puoli tarvitsee oman kokoonpanonsa. NX-OS:ssa tyypin 5 null-reitit vaativat route-map-käsittelyn VTEPissä hylkäyskäyttäytymisen valitsemiseksi, mikä on dokumentoitu vientivaiheiden yhteydessä. Oikein merkitsevä lähettävä laite ja merkinnän sivuuttava vastaanottaja tuottavat muutoksen, joka näyttää käyttöön otetulta ja välittää liikennettä silti.

Käy route-map läpi sivuvaikutusten varalta, kun olet siellä. Uusi rajoittava käytäntö voi tukahduttaa laillisen tavoitettavuuden asiaankuulumattomille etuliitteille, ja se vahinko ilmenee myöhemmin kuin blackhole ja on vaikeampi kohdistaa siihen.

Kirjoita peruutus ennen lisäystä

Kirjaa kohteen omistaja, syy, hyväksyjä ja vanheneminen ennen kuin mitään määritetään. Ilman vanhenemista hylkäyksestä tulee pysyvä merkintä, jonka alkuperää kukaan ei muista, ja seuraava osoitetta debuggaava pitää sitä verkon normaalina osana.

Pidä yllä riippumaton hallintapolku, joka ei riipu muuttamastasi reitistä. Jos lievennys kattaa osoitteen, jota käytät laitteeseen pääsemiseen, olet luonut ulossulkemisen lisäaskelin.

Nimeä täsmällinen ohjaus, joka poistaa lievennyksen, ja testaa se poisto laboratoriossa tai ikkunassa, johon sinulla on varaa. Peruutus, jota kukaan ei ole harjoitellut, on suunnitelma eikä menettely.

Hyväksy todisteilla, älä komennon tulosteella

Tarkista valittu reititystila ja välitystila aiotuilla VTEPeillä, ja tarkista naapurikohde, jonka on pysyttävä vaikuttamattomana. Vahvista, ettei mikään muu vuokralainen tuonut etuliitettä, sillä vuokralaisten välinen vuoto on se vikatila, joka muuttaa huoltotoimenpiteen ongelmaksi.

Peru sitten ja varmista, että normaali reitti ja palvelu palaavat. NX-OS EVPN null-reittien opas 10.4(x)-versiolle dokumentoi tässä kuvatun merkinnän, uudelleenjakelun ja vastaanottokäytännön, ja se on viite, johon omaa versiotasi pitää verrata.