F5 रूट डोमेन और MPLS VRF: टेनेंट हैंडऑफ़ को मैप करें
दो टेनेंट, एक पता, दो रूट डोमेन। हर ऑब्जेक्ट को %ID से पिन करें, प्रोवाइडर के VRF और रूट टारगेट का उपयोग करें और हर टेनेंट को अलग से जाँचें।
दोनों टेनेंट 10.50.0.10 पर एक ही एप्लिकेशन चलाते हैं। प्रोवाइडर उन्हें अलग-अलग MPLS VPN में अलग रखता है, और BIG-IP उनका स्थानीय ट्रैफ़िक अलग-अलग रूट डोमेन में रखता है। यह व्यवस्था हैंडऑफ़ तक काम करती है, जहाँ गायब सफ़िक्स या कॉपी किया गया रूट-टारगेट चुपचाप एक टेनेंट का पैकेट दूसरे टेनेंट के संदर्भ में डाल देता है। यह रनबुक दोनों मॉडलों को साथ मैप करता है और प्रति-टेनेंट परीक्षण पर समाप्त होता है।
वर्कशीट: प्रति टेनेंट एक पंक्ति
कुछ भी बदलने से पहले इसे भरें। हर आगे का चरण इसमें की एक सेल का संदर्भ देता है, और खाली सेल ऐसा निर्णय है जो अभी तक किसी ने नहीं लिया।
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
चरण 1: हर ऑब्जेक्ट को उसके रूट डोमेन से पिन करें
F5 का रूट-डोमेन दस्तावेज़ अलग-थलग ट्रैफ़िक संदर्भों, डुप्लिकेट पतों और कॉन्फ़िगरेशन ऑब्जेक्ट के लिए address%ID संकेतन का वर्णन करता है। 10.50.0.10%2 के रूप में लिखा गया पता स्थानीय रूट-डोमेन संदर्भ को नाम देता है, और वह सफ़िक्स ग्राहक के IP पैकेट में ले जाया जाने वाला MPLS लेबल नहीं है।
दस्तावेज़ित मॉडल में VLAN या समर्थित टनल एक ही रूट डोमेन का होता है, इसलिए इंटरफ़ेस और पता मेल खाने चाहिए। प्रशासनिक विभाजन के डिफ़ॉल्ट रूट डोमेन की भी जाँच करें, क्योंकि छोड़ा गया सफ़िक्स संदर्भ न होना नहीं दर्शाता; यह वह संदर्भ दर्शाता है जिसे विभाजन डिफ़ॉल्ट रूप से उपयोग करता है। वही एक डिफ़ॉल्ट ज़्यादातर उन घटनाओं को समझाता है जिनमें एक नया ऑब्जेक्ट चुपचाप गलत टेनेंट में उत्तर देता था। अपना पता जोड़ने से पहले उसे जाँचें।
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsचरण 2: प्रोवाइडर के VRF और रूट टारगेट का उपयोग करें
MPLS किनारे पर टेनेंट की पहचान प्रोवाइडर के VRF और सहमत ग्राहक रूटिंग सेवा से होती है। रूट टारगेट नियंत्रित करते हैं कि प्रोवाइडर VRF के बीच कौन-से रूट आयात और निर्यात करता है, और मिलता-जुलता BIG-IP रूट-डोमेन नंबर चुनने से उस संबंध का कुछ भी नहीं बनता।
दोनों पहचानकर्ता अलग-अलग सिस्टम में रहते हैं और अलग-अलग अर्थ रखते हैं। रूट-डोमेन ID उपकरण पर एक स्थानीय संदर्भ है। रूट टारगेट प्रोवाइडर पक्ष की एक नीति विशेषता है जो रूट वितरण तय करती है, और रूट डिस्टिंग्विशर एक तीसरी चीज़ है, जिसका उपयोग अन्यथा समान प्रीफ़िक्स को अलग रखने के लिए किया जाता है।
चरण 3: तय करें कि संदर्भ पहुँच साझा कर सकते हैं या नहीं
मूल-डोमेन लुकअप और सख्त अलगाव की सेटिंग्स को जानबूझकर समीक्षा करें, क्योंकि वे बदलती हैं कि एक संदर्भ कहाँ तक पहुँच सकता है। F5 गाइड उन संबंधों के माध्यम से नियंत्रित फ़ॉरवर्डिंग की अनुमति देता है, और इसी कारण रूट डोमेन को अकेले पूरी टेनेंट-सुरक्षा नीति नहीं मानना चाहिए।
अगर दोनों टेनेंट को साझा सेवा चाहिए, तो एक टेनेंट को लापरवाही से दूसरे के रूटिंग संदर्भ में इंगित करने के बजाय स्वीकृत पथ और अनुमतियाँ निर्दिष्ट करें। एप्लिकेशन पहचान और नेटवर्क गंतव्य के साथ किसी भी जानबूझकर किए गए स्रोत अनुवाद को सुरक्षित रखें, वरना साझा सेवा एक टेनेंट को दूसरा देखेगी।
सामान्य रूटेड हैंडऑफ़ BIG-IP को प्रोवाइडर एज राउटर से जोड़ता है, बिना BIG-IP को MPLS PE बनाए। अगर सीधा MPLS या VPN रूट-फ़ैमिली एकीकरण वास्तव में आवश्यक है, तो सटीक प्लेटफ़ॉर्म और रिलीज़ के लिए स्पष्ट समर्थन प्राप्त करें, क्योंकि स्थानीय रूट-डोमेन अलगाव वह क्षमता स्थापित नहीं करता।
चरण 4: एक बार में एक टेनेंट सत्यापित करें
टेनेंट A को A के संदर्भ में एक एंडपॉइंट से A के एप्लिकेशन पते तक परखें, फिर B के लिए दोहराएँ। डायग्नोस्टिक्स में %ID रूप का उपयोग करें ताकि साबित कर सकें कि किस संदर्भ ने उत्तर दिया, और पुष्टि करें कि गलत संदर्भ से आया अनुरोध किसी विश्वसनीय जगह पर पहुँचने के बजाय विफल होता है।
उसी दौर में प्रोवाइडर पक्ष भी जाँचें: प्रीफ़िक्स सही VRF में मौजूद है, रूट टारगेट वर्कशीट से मेल खाते हैं, और वापसी पथ इच्छित अटैचमेंट का उपयोग करता है। उपकरण से ही चलने वाला ping उपकरण का संदर्भ साबित करता है, टेनेंट का नहीं।
अंतिम मैपिंग वर्कशीट में दर्ज करें, जिसमें हर विभाजन का डिफ़ॉल्ट रूट डोमेन और आपके द्वारा सक्षम किया गया कोई भी मूल-डोमेन संबंध शामिल हो। इस वातावरण में अगला बदलाव वह व्यक्ति करेगा जो उस तालिका को पढ़ता है, न कि वह जो यह लेख पढ़ता है।