F5 útvonaldomének és MPLS VRF-ek: a bérlő átadásának feltérképezése
Két bérlő, egy cím, két útvonaldomén. Rögzítse az egyes objektumokat %ID-vel, használja a szolgáltató VRF-jét és útvonalcéljait, és ellenőrizze külön-külön az egyes bérlőket.
Két bérlő ugyanazt az alkalmazást futtatja a 10.50.0.10 címen. A szolgáltató külön MPLS VPN-ekben tartja őket, a BIG-IP pedig külön útvonaldoménekben tartja a helyi forgalmukat. Ez az elrendezés egészen az átadásig működik, ahol egy hiányzó utótag vagy egy lemásolt útvonalcél csendesen az egyik bérlő csomagját a másik bérlő környezetébe teszi. Ez a kézikönyv összekapcsolja a két modellt, és bérlőnkénti teszttel zárul.
Munkalap: egy sor bérlőnként
Töltse ki, mielőtt bármit módosítana. Minden későbbi lépés egy cellára hivatkozik benne, és az üres cella olyan döntés, amelyet még senki nem hozott meg.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
1. lépés: rögzítse az egyes objektumokat a saját útvonaldoménjükhöz
Az F5 útvonaldomén-dokumentációja elkülönített forgalmi környezeteket, ismétlődő címeket és a konfigurációs objektumok address%ID jelölését írja le. A 10.50.0.10%2 alakban írt cím a helyi útvonaldomén-környezetet nevezi meg, és ez az utótag nem az ügyfél IP-csomagjában hordozott MPLS-címke.
A dokumentált modellben egy VLAN vagy támogatott alagút egyetlen útvonaldoménhez tartozik, ezért az interfésznek és a címnek egyeznie kell. Vizsgálja meg a felügyeleti partíció alapértelmezett útvonaldoménjét is, mert a kihagyott utótag nem azt jelenti, hogy nincs környezet; azt a környezetet jelenti, amelyet a partíció alapértelmezés szerint használ. Ez az egyetlen alapértelmezés magyarázza a legtöbb olyan esetet, amikor egy új objektum csendesen a rossz bérlőnek válaszolt. Ellenőrizze, mielőtt saját címet ad hozzá.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs2. lépés: használja a szolgáltató VRF-jét és útvonalcéljait
Az MPLS peremén a bérlőt a szolgáltató VRF-je és a megállapodott ügyfél-útválasztási szolgáltatás azonosítja. Az útvonalcélok szabályozzák, mely útvonalakat importálja és exportálja a szolgáltató a VRF-ek között, és egy hasonlóan kinéző BIG-IP-útvonaldomén-szám választása semmit nem hoz létre ebből a kapcsolatból.
A két azonosító különböző rendszerekben él, és különböző dolgokat jelent. Az útvonaldomén-azonosító helyi környezet a készüléken. Az útvonalcél egy szolgáltató oldali házirend-attribútum, amely az útvonalak elosztásáról dönt, és az útvonalmegkülönböztető egy harmadik dolog, amely arra szolgál, hogy az egyébként azonos előtagokat elkülönítve tartsa.
3. lépés: döntse el, megoszthatják-e a környezetek az elérhetőséget
Szándékosan vizsgálja át a szülődomén-keresés és a szigorú elkülönítés beállításait, mert megváltoztatják, mit érhet el egy környezet. Az F5 útmutatója engedélyezi a szabályozott továbbítást ezeken a kapcsolatokon keresztül, és éppen ezért nem szabad egy útvonaldomént önmagában teljes bérlőbiztonsági házirendként kezelni.
Ha mindkét bérlőnek közös szolgáltatásra van szüksége, adja meg a jóváhagyott útvonalat és engedélyeket, ahelyett hogy az egyik bérlőt hanyagul a másik útválasztási környezetére irányítaná. Őrizze meg az alkalmazás identitását és minden szándékos forrásfordítást a hálózati céllal együtt, különben a közös szolgáltatás az egyik bérlőt a másiknak fogja látni.
A szokásos útvonalvezetett átadás a BIG-IP-t a szolgáltató peremirányítójához kapcsolja anélkül, hogy a BIG-IP MPLS PE-vé válna. Ha valóban szükség van közvetlen MPLS- vagy VPN-útvonalcsalád-integrációra, kérjen kifejezett támogatást a pontos platformhoz és kiadáshoz, mert a helyi útvonaldomén-elkülönítés nem teremti meg ezt a képességet.
4. lépés: egyszerre egy bérlőt ellenőrizzen
Tesztelje az A bérlőt az A környezetében lévő végpontból az A alkalmazáscímére, majd ismételje meg B esetében. Használja a %ID alakot a diagnosztikában, hogy bizonyíthassa, melyik környezet válaszolt, és erősítse meg, hogy a rossz környezetből érkező kérés meghiúsul, ahelyett hogy valahol hihető helyen landolna.
Ugyanabban a menetben ellenőrizze a szolgáltató oldalát is: az előtag a megfelelő VRF-ben van, az útvonalcélok egyeznek a munkalappal, és a visszaút a szándékolt csatlakozást használja. Az a ping, amely magától a készüléktől működik, a készülék környezetét bizonyítja, nem a bérlőét.
Jegyezze fel a végleges leképezést a munkalapra, beleértve az egyes partíciók alapértelmezett útvonaldoménjét és minden engedélyezett szülődomén-kapcsolatot. A következő változtatást ebben a környezetben az fogja elvégezni, aki azt a táblázatot olvassa, nem az, aki ezt a cikket olvassa.