תחומי ניתוב של F5 ו-VRF ב-MPLS: למפות את מסירת הדייר
שני דיירים, כתובת אחת, שני תחומי ניתוב. הצמידו כל אובייקט עם %ID, השתמשו ב-VRF וביעדי הניתוב של הספק, ואמתו כל דייר בנפרד.
שני דיירים מריצים את אותה אפליקציה בכתובת 10.50.0.10. הספק מפריד ביניהם ב-VPN של MPLS נפרדים, וה-BIG-IP שומר את התעבורה המקומית שלהם בתחומי ניתוב נפרדים. הסידור הזה עובד עד למסירה, שבה סיומת חסרה או יעד ניתוב שהועתק מכניסים בשקט את החבילה של דייר אחד לתוך ההקשר של האחר. הספר הזה מחבר בין שני המודלים ומסתיים בבדיקה לכל דייר.
גיליון עבודה: שורה אחת לכל דייר
מלאו אותו לפני שאתם משנים משהו. כל שלב בהמשך מפנה לתא בו, ותא ריק הוא החלטה שאף אחד עוד לא קיבל.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
שלב 1: הצמידו כל אובייקט לתחום הניתוב שלו
התיעוד של תחומי ניתוב של F5 מתאר הקשרי תעבורה מבודדים, כתובות כפולות ואת הסימון address%ID לאובייקטי תצורה. כתובת שנכתבת כ-10.50.0.10%2 מציינת את ההקשר המקומי של תחום הניתוב, והסיומת הזו אינה תווית MPLS שנישאת בחבילת ה-IP של הלקוח.
VLAN או מנהרה נתמכת שייכים לתחום ניתוב אחד במודל המתועד, ולכן הממשק והכתובת חייבים להתאים. בדקו גם את תחום הניתוב המוגדר כברירת מחדל של המחיצה הניהולית, משום שסיומת שהושמטה אינה אומרת שאין הקשר; היא אומרת את ההקשר שהמחיצה משתמשת בו כברירת מחדל. אותה ברירת מחדל אחת מסבירה את רוב התקריות שבהן אובייקט חדש ענה בשקט לדייר הלא נכון. בדקו אותה לפני שאתם מוסיפים כתובת משלכם.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsשלב 2: השתמשו ב-VRF וביעדי הניתוב של הספק
בקצה ה-MPLS, הדייר מזוהה על ידי ה-VRF של הספק ושירות הניתוב המוסכם של הלקוח. יעדי הניתוב קובעים אילו נתיבים הספק מייבא ומייצא בין VRF-ים, ובחירת מספר תחום ניתוב דומה לכאורה ב-BIG-IP אינה יוצרת דבר מאותו יחס.
שני המזהים חיים במערכות שונות ומשמעותם שונה. מזהה תחום ניתוב הוא הקשר מקומי במכשיר. יעד ניתוב הוא מאפיין מדיניות בצד הספק שקובע את התפלגות הנתיבים, ואילו מבדיל ניתוב הוא דבר שלישי נוסף, שמשמש לשמור קידומות זהות אחרת בנפרד.
שלב 3: החליטו אם הקשרים רשאים לחלוק נגישות
סקרו במכוון את הגדרות החיפוש בתחום האב ואת הבידוד הנוקשה, משום שהן משנות למה הקשר יכול להגיע. המדריך של F5 מתיר העברה מבוקרת דרך אותם יחסים, וזו בדיוק הסיבה שאין להתייחס לתחום ניתוב לבדו כמדיניות אבטחה מלאה של הדייר.
אם שני הדיירים זקוקים לשירות משותף, ציינו את הנתיב וההרשאות המאושרים במקום להפנות דייר אחד כלאחר יד להקשר הניתוב של האחר. שמרו על זהות האפליקציה ועל כל תרגום מקור מכוון יחד עם יעד הרשת, אחרת השירות המשותף יראה דייר אחד כאל האחר.
מסירה מנותבת רגילה מחברת את BIG-IP לנתב קצה של הספק בלי להפוך את BIG-IP לנקודת MPLS PE. אם באמת נדרש שילוב ישיר של MPLS או של משפחת נתיבי VPN, קבלו תמיכה מפורשת לפלטפורמה ולמהדורה המדויקות, משום שבידוד מקומי של תחום ניתוב אינו מבסס את היכולת הזו.
שלב 4: אמתו דייר אחד בכל פעם
בדקו את דייר A מנקודת קצה בהקשר של A לכתובת האפליקציה של A, ואחר כך חזרו על כך עבור B. השתמשו בצורה %ID באבחון כדי להוכיח איזה הקשר ענה, ואשרו שבקשה מההקשר הלא נכון נכשלת במקום לנחות במקום סביר.
בדקו את צד הספק באותה מעבר: הקידומת נמצאת ב-VRF הנכון, יעדי הניתוב תואמים לגיליון העבודה, ונתיב החזרה משתמש בחיבור המיועד. פינג שעובד מהמכשיר עצמו מוכיח את ההקשר של המכשיר, לא את זה של הדייר.
תעדו את המיפוי הסופי בגיליון העבודה, כולל תחום הניתוב המוגדר כברירת מחדל של כל מחיצה וכל יחס תחום אב שהפעלתם. את השינוי הבא בסביבה הזו יעשה מי שקורא את הטבלה הזו, לא מי שקורא את המאמר הזה.