F5-rûtedomeinen en MPLS-VRF's: de oerdracht fan de hierder yn kaart bringe
Twa hierders, ien adres, twa rûtedomeinen. Pin elke objekt mei %ID fêst, brûk de VRF en rûte-doelen fan de oanbieder en kontrolearje elke hierder apart.
Twa hierders drage deselde applikaasje by 10.50.0.10. De oanbieder hâldt se skieden yn aparte MPLS-VPN's, en de BIG-IP hâldt har lokale ferkear yn aparte rûtedomeinen. Dy opstelling wurket oant de oerdracht, dêr't in ûntbrekkend efterheaksel of in kopiearre rûte-doel stilwei it pakket fan de iene hierder yn de kontekst fan de oare set. Dit boek bringt de beide modellen byinoar en einiget mei in test per hierder.
Wurkblêd: ien rige per hierder
Folje dit yn foardat jo eat feroarje. Eltse lettere stap ferwiist nei in sel deryn, en in lege sel is in beslút dat noch nimmen nommen hat.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Stap 1: pin elk objekt oan syn rûtedomein fêst
De dokumintaasje oer rûtedomeinen fan F5 beskriuwt isolearre ferkearskonteksten, dûbele adressen en de address%ID-notaasje foar konfiguraasje-objekten. In adres skreaun as 10.50.0.10%2 neamt de lokale rûtedomeinkontekst, en dat efterheaksel is gjin MPLS-label dat yn it IP-pakket fan de klant meidroegen wurdt.
In VLAN of in stipe tunnel heart yn it dokumintearre model by ien rûtedomein, dat de ynterface en it adres moatte oerienkomme. Ynspektearje ek it standert-rûtedomein fan de bestjoerlike partysje, want in weilitten efterheaksel betsjut net gjin kontekst; it betsjut dy kontekst dy't de partysje standert brûkt. Dat iene standert ferklearret de measte foarfallen dêr't in nij objekt stilwei yn de ferkearde hierder antwurde. Kontrolearje it foardat jo in eigen adres tafoegje.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsStap 2: brûk de VRF en rûte-doelen fan de oanbieder
By de MPLS-râne wurdt de hierder identifisearre troch de VRF fan de oanbieder en de ôfsprutsen klantrûtesjinst. Rûte-doelen beheare hokker rûtes de oanbieder tusken VRF's ymportearret en eksportearret, en it kiezen fan in gelyk-lykjend BIG-IP-rûtedomeinnûmer makket neat fan dy relaasje.
De twa identifikators libje yn ferskillende systemen en betsjutte ferskillende dingen. In rûtedomein-ID is in lokale kontekst op it apparaat. In rûte-doel is in beliedsattribút oan de oanbiederskant dat de rûtedistribúsje beslút, en in rûte-ûnderskieder is wer in tredde ding, brûkt om oars identike foarheaksels apart te hâlden.
Stap 3: beslute oft konteksten berikberens diele meie
Besjoch de ynstellings foar âlderdomynsykjen en strikte isolaasje bewust, want se feroarje wat in kontekst berikke kin. De F5-gids staat kontrolearre troerstjoering troch dy relaasjes ta, en dêrom krekt moat in rûtedomein net op himsels as in folsleine befeiligingsbelied fan de hierder behannele wurde.
As beide hierders in dielde tsjinst nedich hawwe, spesifisearje it goedkarde paad en de rjochten ynstee fan ien hierder samar nei de rûtekontekst fan de oare te wizen. Behâld de applikaasje-identiteit en alle bewuste boarneloersetting tegearre mei de netwurkbestimming, oars sil de dielde tsjinst de iene hierder as de oare sjen.
In gewoane rûtearre oerdracht ferbynt BIG-IP mei in râne-router fan de oanbieder sûnder BIG-IP in MPLS PE te meitsjen. As direkte MPLS- of VPN-rûtefamylje-yntegraasje wier nedich is, krije dan eksplisite stipe foar it krekte platfoarm en de ferzje, want lokale rûtedomein-isolaasje festiget dy mooglikheid net.
Stap 4: kontrolearje ien hierder tagelyk
Test hierder A fan in einpunt yn 'e kontekst fan A nei it applikaasje-adres fan A, en werhelje dat dan foar B. Brûk de foarm %ID yn diagnostyk, sadat jo bewize kinne hokker kontekst antwurde, en befêstigje dat in fersyk út 'e ferkearde kontekst mislearret ynstee fan earne leauwensweardich te bedaarljen.
Kontrolearje de oanbiederskant yn deselde gong: it foarheaksel is yn 'e goede VRF oanwêzich, de rûte-doelen komme oerien mei it wurkblêd, en it werompaad brûkt de bedoelde oansluting. In ping dy't fan it apparaat sels wurket, bewissiget de kontekst fan it apparaat, net dy fan de hierder.
Skriuw de definitive mappering yn it wurkblêd, ynklusyf it standert-rûtedomein fan elke partysje en alle âlderdomyn-relaasje dy't jo ynskeakele hawwe. De folgjende feroaring yn dizze omjouwing sil dien wurde troch immen dy't dy tabel lêst, net troch immen dy't dit artikel lêst.