F5:n reititysdomainit ja MPLS-VRF:t: kartoita vuokralaisen luovutus
Kaksi vuokralaista, yksi osoite, kaksi reititysdomainia. Kiinnitä jokainen objekti %ID:llä, käytä palveluntarjoajan VRF:ää ja reittikohteita ja tarkista jokainen vuokralainen erikseen.
Kaksi vuokralaista ajaa samaa sovellusta osoitteessa 10.50.0.10. Palveluntarjoaja pitää ne erillään eri MPLS-VPN:issä, ja BIG-IP pitää niiden paikallisen liikenteen eri reititysdomaineissa. Järjestely toimii luovutukseen asti, jossa puuttuva jälkiliite tai kopioitu reittikohde laittaa hiljaa yhden vuokralaisen paketin toisen vuokralaisen kontekstiin. Tämä käsikirja yhdistää kaksi mallia ja päättyy vuokralaiskohtaiseen testiin.
Työarkki: yksi rivi vuokralaista kohden
Täytä tämä ennen kuin muutat mitään. Jokainen myöhempi vaihe viittaa siinä olevaan soluun, ja tyhjä solu on päätös, jota kukaan ei ole vielä tehnyt.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Vaihe 1: kiinnitä jokainen objekti omaan reititysdomainiinsa
F5:n reititysdomainien dokumentaatio kuvaa eristetyt liikennekontekstit, päällekkäiset osoitteet ja konfiguraatio-objektien address%ID-merkinnän. Osoite, joka kirjoitetaan muodossa 10.50.0.10%2, nimeää paikallisen reititysdomainin kontekstin, eikä tuo jälkiliite ole asiakkaan IP-paketissa kuljetettava MPLS-tunniste.
VLAN tai tuettu tunneli kuuluu dokumentoidussa mallissa yhteen reititysdomainiin, joten liitännän ja osoitteen on oltava yhtäpitäviä. Tarkista myös hallinnollisen osion oletusreititysdomain, koska puuttuva jälkiliite ei tarkoita, ettei kontekstia ole; se tarkoittaa sitä kontekstia, jota osio käyttää oletuksena. Tämä yksi oletus selittää useimmat tapaukset, joissa uusi objekti vastasi hiljaa väärälle vuokralaiselle. Tarkista se ennen kuin lisäät oman osoitteen.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsVaihe 2: käytä palveluntarjoajan VRF:ää ja reittikohteita
MPLS-reunalla vuokralainen tunnistetaan palveluntarjoajan VRF:n ja sovitun asiakasreitityspalvelun perusteella. Reittikohteet ohjaavat, mitkä reitit palveluntarjoaja tuo ja vie VRF:ien välillä, eikä samannäköisen BIG-IP-reititysdomainin numeron valinta luo mitään tuosta suhteesta.
Kaksi tunnistetta elävät eri järjestelmissä ja tarkoittavat eri asioita. Reititysdomainin ID on laitteen paikallinen konteksti. Reittikohde on palveluntarjoajan puolen käytäntöattribuutti, joka päättää reittien jakelusta, ja reitinerotin on vielä kolmas asia, jota käytetään muuten identtisten etuliitteiden erottamiseen.
Vaihe 3: päätä, voivatko kontekstit jakaa tavoitettavuuden
Käy läpi ylätason domainin haku ja tiukan eristyksen asetukset tarkoituksella, koska ne muuttavat sitä, mitä konteksti voi tavoittaa. F5:n opas sallii valvotun edelleenlähetyksen näiden suhteiden kautta, ja juuri siksi reititysdomainia ei pidä yksinään pitää täydellisenä vuokralaisen tietoturvakäytäntönä.
Jos molemmat vuokralaiset tarvitsevat jaetun palvelun, määritä hyväksytty polku ja käyttöoikeudet sen sijaan, että ohjaisit yhden vuokralaisen huolettomasti toisen reitityskontekstiin. Säilytä sovelluksen identiteetti ja mahdollinen tarkoituksellinen lähdemuunnos verkkokohteen kanssa, tai jaettu palvelu näkee yhden vuokralaisen toisena.
Tavallinen reititetty luovutus yhdistää BIG-IP:n palveluntarjoajan reunareitittimeen tekemättä BIG-IP:stä MPLS PE:tä. Jos suora MPLS- tai VPN-reittiperheintegraatio on todella tarpeen, hanki nimenomainen tuki tarkalle alustalle ja versiolle, koska paikallinen reititysdomainin eristys ei luo tuota kyvykkyyttä.
Vaihe 4: tarkista yksi vuokralainen kerrallaan
Testaa vuokralaista A A:n kontekstissa olevasta päätepisteestä A:n sovellusosoitteeseen ja toista sitten B:lle. Käytä diagnostiikassa muotoa %ID, jotta voit todistaa, mikä konteksti vastasi, ja varmista, että väärästä kontekstista tuleva pyyntö epäonnistuu sen sijaan, että se laskeutuisi johonkin uskottavaan paikkaan.
Tarkista myös palveluntarjoajan puoli samalla kierroksella: etuliite on oikeassa VRF:ssä, reittikohteet vastaavat työarkkia ja paluupolku käyttää aiottua liitosta. Ping, joka toimii itse laitteesta, todistaa laitteen kontekstin, ei vuokralaisen.
Kirjaa lopullinen kartoitus työarkkiin, mukaan lukien kunkin osion oletusreititysdomain ja mahdollinen käyttöön ottamasi ylätason domainin suhde. Seuraavan muutoksen tähän ympäristöön tekee joku, joka lukee tuota taulukkoa, ei joku, joka lukee tätä artikkelia.