F5 domene usmjeravanja i MPLS VRF-ovi: mapirajte primopredaju zakupca

Dva zakupca pokreću istu aplikaciju na 10.50.0.10. Davatelj ih drži odvojeno u zasebnim MPLS VPN-ovima, a BIG-IP čuva njihov lokalni promet u zasebnim domenama usmjeravanja. Taj raspored radi sve do primopredaje, gdje nedostajući sufiks ili kopirani cilj rute tiho stavlja paket jednog zakupca u kontekst drugoga. Ovaj priručnik spaja dva modela i završava testom po zakupcu.

Radni list: jedan redak po zakupcu

Ispunite ovo prije nego što bilo što promijenite. Svaki kasniji korak upućuje na ćeliju u njemu, a prazna ćelija je odluka koju još nitko nije donio.

Korak 1: prikvačite svaki objekt za njegovu domenu usmjeravanja

F5 dokumentacija o domenama usmjeravanja opisuje izolirane kontekste prometa, duplicirane adrese i address%ID notaciju za konfiguracijske objekte. Adresa zapisana kao 10.50.0.10%2 imenuje lokalni kontekst domene usmjeravanja, a taj sufiks nije MPLS oznaka koja se nosi u IP paketu korisnika.

VLAN ili podržani tunel u dokumentiranom modelu pripada jednoj domeni usmjeravanja, pa se sučelje i adresa moraju slagati. Provjerite i zadanu domenu usmjeravanja administrativne particije, jer izostavljeni sufiks ne znači da konteksta nema; znači onaj kontekst koji particija koristi kao zadani. Ta jedna zadana vrijednost objašnjava većinu incidenata u kojima je novi objekt tiho odgovarao pogrešnom zakupcu. Provjerite je prije nego što dodate vlastitu adresu.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Korak 2: koristite VRF i ciljeve ruta davatelja

Na MPLS rubu zakupac se identificira davateljevim VRF-om i dogovorenom uslugom usmjeravanja za korisnika. Ciljevi ruta kontroliraju koje rute davatelj uvozi i izvozi između VRF-ova, a odabir slično izgledajućeg broja domene usmjeravanja na BIG-IP-u ne stvara ništa od tog odnosa.

Dva identifikatora žive u različitim sustavima i znače različite stvari. ID domene usmjeravanja lokalni je kontekst na uređaju. Cilj rute atribut je politike na strani davatelja koji odlučuje o distribuciji ruta, a razlikovnik rute još je treća stvar koja služi da identični prefiksi ostanu razdvojeni.

Korak 3: odlučite mogu li konteksti dijeliti dostupnost

Namjerno pregledajte postavke pretraživanja roditeljske domene i stroge izolacije, jer mijenjaju do čega kontekst može doći. F5 vodič dopušta kontrolirano prosljeđivanje kroz te odnose i upravo zato domenu usmjeravanja ne treba samu po sebi smatrati potpunom sigurnosnom politikom zakupca.

Ako oba zakupca trebaju zajedničku uslugu, odredite odobreni put i dozvole umjesto da jedan zakupac jednostavno usmjerite prema kontekstu usmjeravanja drugoga. Sačuvajte identitet aplikacije i svako namjerno prevođenje izvora zajedno s mrežnim odredištem, inače će zajednička usluga vidjeti jednog zakupca kao drugoga.

Obična rutirana primopredaja povezuje BIG-IP s rubnim usmjerivačem davatelja, a da BIG-IP ne postane MPLS PE. Ako je izravna integracija MPLS-a ili VPN obitelji ruta doista potrebna, pribavite izričitu podršku za točnu platformu i izdanje, jer lokalna izolacija domene usmjeravanja ne uspostavlja tu mogućnost.

Korak 4: provjerite jedan po jedan zakupac

Testirajte zakupca A s krajnje točke u A-ovu kontekstu do A-ove adrese aplikacije, pa ponovite za B. Koristite oblik %ID u dijagnostici da dokažete koji je kontekst odgovorio i potvrdite da zahtjev iz pogrešnog konteksta ne uspijeva umjesto da sleti negdje uvjerljivo.

Provjerite i stranu davatelja u istom prolazu: prefiks je prisutan u ispravnom VRF-u, ciljevi ruta slažu se s radnim listom, a povratni put koristi predviđeni priključak. Ping koji radi sa samog uređaja dokazuje kontekst uređaja, ne zakupca.

Zabilježite konačno mapiranje u radni list, uključujući zadanu domenu usmjeravanja svake particije i svaki odnos roditeljske domene koji ste omogućili. Sljedeću promjenu u ovom okruženju napravit će netko tko čita tu tablicu, a ne netko tko čita ovaj članak.