Dominios de ruta e VRF de MPLS en F5: mapear a entrega do inquilino
Dous inquilinos, un enderezo, dous dominios de ruta. Fixe cada obxecto con %ID, use o VRF e os obxectivos de ruta do provedor e verifique cada inquilino por separado.
Dous inquilinos executan a mesma aplicación en 10.50.0.10. O provedor manténos separados en VPN MPLS distintas, e o BIG-IP garda o seu tráfico local en dominios de ruta distintos. Ese arranxo funciona ata a entrega, onde un sufixo ausente ou un obxectivo de ruta copiado coloca en silencio o paquete dun inquilino no contexto do outro. Esta guía une os dous modelos e remata cunha proba por inquilino.
Folla de traballo: unha fila por inquilino
Enchédea antes de cambiar nada. Cada paso posterior refírese a unha cela da folla, e unha cela baleira é unha decisión que aínda ninguén tomou.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Paso 1: fixe cada obxecto ao seu dominio de ruta
A documentación de dominios de ruta de F5 describe contextos de tráfico illados, enderezos duplicados e a notación address%ID para obxectos de configuración. Un enderezo escrito como 10.50.0.10%2 nomea o contexto local do dominio de ruta, e ese sufixo non é unha etiqueta MPLS que viaxe no paquete IP do cliente.
Unha VLAN ou un túnel compatible pertence a un só dominio de ruta no modelo documentado, así que a interface e o enderezo deben coincidir. Revise tamén o dominio de ruta predeterminado da partición administrativa, porque un sufixo omitido non significa que non haxa contexto; significa o contexto que a partición usa por defecto. Ese único valor predeterminado explica a maioría dos incidentes nos que un obxecto novo respondía en silencio ao inquilino equivocado. Comprobe iso antes de engadir un enderezo propio.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsPaso 2: use o VRF e os obxectivos de ruta do provedor
Na beira MPLS, o inquilino identifícase polo VRF do provedor e o servizo de encamiñamento acordado para o cliente. Os obxectivos de ruta controlan que rutas importa e exporta o provedor entre VRF, e escoller un número de dominio de ruta de BIG-IP semellante non crea nada desa relación.
Os dous identificadores viven en sistemas distintos e significan cousas distintas. Un ID de dominio de ruta é un contexto local no aparello. Un obxectivo de ruta é un atributo de política do lado do provedor que decide a distribución de rutas, e un distinguidor de ruta é aínda unha terceira cousa, usada para manter separados prefixos que doutro xeito serían idénticos.
Paso 3: decida se os contextos poden compartir alcance
Revise a propósito os axustes de busca no dominio pai e de illamento estrito, porque cambian a que pode chegar un contexto. A guía de F5 permite o reenvío controlado a través desas relacións, e por iso mesmo un dominio de ruta non debe tratarse por si só como unha política de seguridade completa do inquilino.
Se ambos os inquilinos necesitan un servizo compartido, especifique o camiño e os permisos aprobados en lugar de apuntar sen máis a un inquilino ao contexto de encamiñamento do outro. Conserve a identidade da aplicación e calquera tradución de orixe intencionada xunto co destino de rede, ou o servizo compartido verá un inquilino como o outro.
Unha entrega encamiñada normal conecta o BIG-IP cun router de beira do provedor sen converter o BIG-IP nun PE MPLS. Se de verdade fai falta unha integración directa de MPLS ou da familia de rutas VPN, obteña soporte explícito para a plataforma e a versión exactas, porque o illamento local do dominio de ruta non establece esa capacidade.
Paso 4: verifique un inquilino á vez
Probe o inquilino A desde un extremo no contexto de A ata o enderezo de aplicación de A, e despois repita para B. Use a forma %ID nos diagnósticos para poder demostrar que contexto respondeu, e confirme que unha petición do contexto equivocado falla en lugar de aterrar nalgún lugar verosímil.
Revise o lado do provedor na mesma pasada: o prefixo está no VRF correcto, os obxectivos de ruta coinciden coa folla de traballo e o camiño de volta usa a conexión prevista. Un ping que funciona desde o propio aparello demostra o contexto do aparello, non o do inquilino.
Rexiste a asignación final na folla de traballo, incluído o dominio de ruta predeterminado de cada partición e calquera relación de dominio pai que habilitase. O próximo cambio neste ambiente faráo alguén que lea esa táboa, non alguén que lea este artigo.