Rute null NX-OS EVPN: jaga pembuangan tetap di dalam satu tenant

Permintaan datang sebagai perubahan satu baris: blackhole satu alamat. Anda menambahkan rute host ke Null0 di dalam konteks tenant, prefiks menghilang dari tabel lokal seperti yang diharapkan, dan kemudian pertanyaan dimulai. Apakah rute meninggalkan perangkat? Apakah VTEP jauh membuang, atau hanya kehilangan keterjangkauan? Apakah tenant kedua sekarang terkena dampak?

Rute statis lokal yang benar hanya menjawab pertanyaan pertama, itulah sebabnya perubahan blackhole sebenarnya adalah tiga hasil yang ditinjau, bukan satu perintah.

Apa yang sebenarnya harus dihasilkan perubahan itu

Mulailah dengan menuliskan ketiga hasilnya. Tenant yang dimaksud harus membuang tujuan secara lokal. Hanya rute yang diizinkan yang boleh diekspor, tanpa sesuatu lain ikut serta. Setiap VTEP penerima harus memilih tindakan pembuangan yang dimaksud dan bukan jalur lain.

Setiap hasil memiliki buktinya sendiri, dan tidak ada yang menyiratkan yang lain. Rute Null0 lokal menghasilkan pembuangan lokal dan, tanpa redistribusi, tidak mengekspor apa pun. Rute yang diredistribusikan tanpa community yang disepakati tiba sebagai prefiks biasa dan diteruskan. Community tanpa kebijakan penerimaan bisa diabaikan sepenuhnya.

Menuliskan hasilnya lebih dulu juga melindungi Anda dari kegagalan yang umum: perubahan yang tampak berhasil karena tujuan sudah tidak terjangkau karena alasan yang tidak terkait. Jika Anda tidak dapat menjelaskan bagaimana membedakannya, uji penerimaan belum dirancang.

Pernyataan lokal hanya melakukan bagian pertama

Untuk NX-OS pada rangkaian 10.4(x), rute null berada di dalam konteks VRF tenant dan bukan dalam satu perintah yang menyebut VRF. Fragmennya pendek, dan ini jelas bukan konfigurasi EVPN yang lengkap.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Alamat itu prefiks dokumentasi, bukan target. Perhatikan perbedaan sintaksis dengan IOS, di mana nama VRF muncul di dalam perintah rute itu sendiri, dan pastikan bentuk yang didukung untuk rilis yang benar-benar Anda jalankan sebelum menempelkan apa pun.

Dengan sendirinya baris ini membuang lalu lintas untuk host tersebut di dalam TENANT_A dan tidak melakukan hal lain. Baris ini tidak menandai rute, tidak memilihnya untuk BGP, dan tidak menetapkan community. Itu adalah keputusan konfigurasi terpisah, dan masing-masing adalah tempat di mana perubahan bisa terlalu sempit untuk berfungsi atau terlalu luas untuk aman.

Pembuangan lokal juga memengaruhi lalu lintas sah ke tujuan yang sama. Jika maksudnya adalah menghentikan satu sumber yang menyalahgunakan sementara pengguna nyata masih membutuhkan alamat itu, rute null adalah alat yang salah dan Anda akan mempelajarinya dari panggilan dukungan pertama.

Ekspor dan impor adalah kesepakatan terpisah

Redistribusi adalah tempat cakupan diputuskan. Batasi prefiks yang memenuhi syarat pada mitigasi yang disetujui, jaga tetap di dalam tenant, dan batasi peer asal pada yang ada dalam desain. Meredistribusikan setiap rute statis karena satu rute host bertanda perlu bepergian adalah cara perubahan pemeliharaan menjadi insiden perutean.

Community BLACKHOLE adalah kesepakatan tentang nilai yang terkenal, bukan otorisasi bagi tetangga mana pun untuk membuang alamat mana pun. RFC 7999 menjelaskannya dalam istilah tersebut, dan batas kepercayaan tentang siapa yang boleh mengumumkannya adalah bagian dari desain, bukan detail implementasi.

Sisi penerima memerlukan konfigurasinya sendiri. Pada NX-OS, rute null tipe 5 memerlukan penanganan route-map di VTEP untuk memilih perilaku pembuangan, yang didokumentasikan bersama langkah ekspor. Perangkat pengirim yang menandai dengan benar dan penerima yang mengabaikan tanda menghasilkan perubahan yang tampak diterapkan dan tetap meneruskan lalu lintas.

Tinjau route-map untuk efek samping selama Anda di sana. Kebijakan baru yang membatasi dapat menekan keterjangkauan sah untuk prefiks yang tidak terkait, dan kerusakan itu muncul lebih lambat daripada blackhole dan lebih sulit dikaitkan dengannya.

Tuliskan penarikan sebelum penyisipan

Catat pemilik tujuan, alasan, penyetuju, dan masa berlaku sebelum apa pun dikonfigurasi. Pembuangan tanpa masa berlaku menjadi entri permanen yang asal-usulnya tidak diingat siapa pun, dan orang berikutnya yang akan men-debug alamat itu akan memperlakukannya sebagai bagian normal dari jaringan.

Pertahankan jalur manajemen independen yang tidak bergantung pada rute yang Anda ubah. Jika mitigasi mencakup alamat yang Anda gunakan untuk mencapai perangkat, Anda telah membuat penguncian dengan langkah tambahan.

Sebutkan kontrol persis yang menghapus mitigasi, dan uji penghapusan itu di laboratorium atau selama jendela yang Anda mampu. Penarikan yang belum pernah dilatih siapa pun adalah rencana, bukan prosedur.

Terima dengan bukti, bukan dengan keluaran perintah

Periksa status perutean yang dipilih dan status penerusan di VTEP yang dimaksud, dan periksa tujuan tetangga yang harus tetap tidak terpengaruh. Pastikan tidak ada tenant lain yang mengimpor prefiks itu, karena kebocoran antar-tenant adalah mode kegagalan yang mengubah tindakan pemeliharaan menjadi insiden.

Lalu tarik dan verifikasi bahwa rute normal dan layanan kembali. Panduan NX-OS EVPN untuk rute null untuk rilis 10.4(x) mendokumentasikan penandaan, redistribusi, dan kebijakan penerimaan yang dijelaskan di sini, dan inilah referensi untuk dibandingkan dengan rilis Anda sendiri.