NX-OS EVPN-nulrûte: hâld de ôfwizing binnen ien tenant

It fersyk komt as in feroaring fan ien rigel: blackhole ien adres. Jo foegje in hostrûte ta oan Null0 binnen de tenant-kontekst, it prefiks ferdwynt sa’t ferwachte út ’e lokale tabel, en dan begjinne de fragen. Hat de rûte it apparaat ferlitten? Hawwe de fiere VTEP’s ôfwiisd, of binne se gewoan de berikberens kwyt? Wurdt no in twadde tenant beynfloede?

In korrekte lokale statyske rûte beantwurdet allinnich de earste fan dy fragen, en dêrom is in blackhole-feroaring eins trije neigongen útkomsten ynstee fan ien opdracht.

Wat de feroaring eins leverje moat

Begjin mei de trije útkomsten op te skriuwen. De bedoelde tenant moat de bestimming lokaal ôfwize. Allinnich de autorisearre rûte mei eksportearre wurde, en neat oars mei meiride. Eltse ûntfangende VTEP moat de bedoelde ôfwizingsaksje kieze ynstee fan in oar paad.

Eltse útkomst hat syn eigen bewiis, en gjinien betsjut de oaren. In lokale Null0-rûte leveret lokale ôfwizing en eksportearret sûnder werferdieling hielendal neat. In werferdielde rûte sûnder de ôfsprutsen community komt as in gewoan prefiks oan en wurdt trochstjoerd. In community sûnder it ûntfangstbelied kin folslein negearre wurde.

De útkomsten earst opskriuwen beskermet jo ek tsjin in faak foarkommende flater: in feroaring dy’t liket te wurkjen om’t de bestimming al om in net-ferbâne reden ûnberikber wie. As jo net beskriuwe kinne hoe’t jo it ferskil sjogge, is de akseptaasjetest noch net ûntwurpen.

De lokale útspraak docht allinnich it earste part

Foar NX-OS yn ’e 10.4(x)-rige sit de nulrûte binnen de VRF-kontekst fan ’e tenant, net yn ien opdracht dy’t de VRF neamt. It fragmint is koart, en it is perfoarst gjin folsleine EVPN-konfiguraasje.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

It adres is in dokumintaasjeprefiks, net in doel. Merk it ferskil yn syntaksis mei IOS op, dêr’t de VRF-namme binnen de rûte-opdracht sels ferskynt, en befêstigje de stipefoarm foar de ferzje dy’t jo echt draaie foardat jo eat plakke.

Op himsels wiist dizze rigel it ferkear foar dy host binnen TENANT_A ôf en docht er neat oars. Hy tagt de rûte net, kiest har net foar BGP en set gjin community. Dat binne aparte konfiguraasjebesluten, en elk is in plak dêr’t de feroaring itsij te smel wêze kin om te wurkjen, itsij te breed om feilich te wêzen.

De lokale ôfwizing rekket ek legit ferkear nei deselde bestimming. As it de bedoeling is om ien misbrûkende boarne te stopjen wylst echte brûkers it adres noch nedich hawwe, is in nulrûte it ferkearde middel en dat leare jo by de earste supportoprop.

Eksport en import binne aparte ôfspraken

Werferdieling is wêr’t it omfang besletten wurdt. Behein de geskikte prefiksen ta de goedkarde mitigation, hâld se binnen de tenant en behein de oarsprong-peers ta dy yn it ûntwerp. Alle statyske rûtes werferdiele om’t ien tagge hostrûte reizgje moat, is hoe’t in ûnderhâldsferoaring in routingynsidint wurdt.

De BLACKHOLE-community is in ôfspraak oer in bekende wearde, net in folmacht foar eltse buorrel om elk adres ôf te wizen. RFC 7999 beskriuwt it yn dy termen, en de fertrouwensgrins oer wa’t it oankundigje mei is part fan it ûntwerp en net in ymplemintaasjedetail.

De ûntfangende kant hat syn eigen konfiguraasje nedich. Op NX-OS freegje Type 5-nulrûtes om route-map-behanneling by de VTEP om it ôfwizingsgedrach te kiezen, wat bylâns de eksportstappen dokumintearre is. In stjoerend apparaat dat korrekt tagt en in ûntfanger dy’t de tag negearret leverje in feroaring dy’t tapast liket en it ferkear dochs trochstjoert.

Besjoch de route-map op byeffekten wylst jo der binne. In nij beheinend belied kin legitime berikberens foar net-ferbâne prefiksen ûnderdrukke, en dy skea ferskint letter as de blackhole en is hurder oan him ta te skriuwen.

Skriuw de weromlûking foar it ynfoegjen

Fêstlizze de bestimmingseigner, de reden, de goedkarrende en in ferfaldatum foardat der eat konfigurearre wurdt. In ôfwizing sûnder ferfal wurdt in permaninte ynfier wêrfan’t nimmen de oarsprong ûnthâldt, en de folgjende persoan dy’t it adres debugt, sil it as in normaal part fan it netwurk behannelje.

Hâld in ûnôfhinklik behearpad oan dat net ôfhinget fan ’e rûte dy’t jo feroarje. As de mitigation in adres dekt dat jo brûke om it apparaat te berikken, hawwe jo in útsluting mei ekstra stappen makke.

Neam de krekte kontrôle dy’t de mitigation fuorthellet, en test dy ferwidering yn in laboratoarium of yn in finster dat jo jo tastean kinne. In weromlûking dy’t nimmen oefene hat, is in plan ynstee fan in proseduere.

Akseptearje mei bewiis, net mei de útfier fan ’e opdracht

Kontrolearje de keazen routingsteat en de trochstjoersteat by de bedoelde VTEP’s, en kontrolearje in oanbuorjende bestimming dy’t ûnoantaast bliuwe moat. Befêstigje dat gjin oare tenant it prefiks importearre hat, want lekken tusken tenants is de flatermodus dy’t in ûnderhâldsaksje yn in ynsidint feroaret.

Lûk dan werom en ferifiearje dat de normale rûte en de tsjinst weromkomme. De NX-OS EVPN-hânlieding foar nulrûtes foar de 10.4(x)-ferzje dokumintearret it tagsjen, de werferdieling en it ûntfangstbelied dat hjir beskreaun is, en it is de referinsje om tsjin jo eigen ferzje te hâlden.