Domain rute F5 dan VRF MPLS: petakan penyerahan penyewa
Dua penyewa, satu alamat, dua domain rute. Sematkan setiap objek dengan %ID, gunakan VRF dan target rute penyedia, lalu verifikasi setiap penyewa secara terpisah.
Dua penyewa menjalankan aplikasi yang sama di 10.50.0.10. Penyedia memisahkan mereka dalam VPN MPLS terpisah, dan BIG-IP menyimpan lalu lintas lokal mereka dalam domain rute terpisah. Susunan itu bekerja sampai penyerahan, di mana sufiks yang hilang atau target rute yang disalin diam-diam menempatkan paket satu penyewa ke dalam konteks penyewa lain. Runbook ini memetakan kedua model bersama-sama dan berakhir dengan uji per penyewa.
Lembar kerja: satu baris per penyewa
Isi ini sebelum Anda mengubah apa pun. Setiap langkah berikutnya merujuk ke sel di dalamnya, dan sel kosong adalah keputusan yang belum diambil siapa pun.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Langkah 1: sematkan setiap objek ke domain rutenya
Dokumentasi domain rute F5 menjelaskan konteks lalu lintas yang terisolasi, alamat duplikat, dan notasi address%ID untuk objek konfigurasi. Alamat yang ditulis sebagai 10.50.0.10%2 menamai konteks domain rute lokal, dan sufiks itu bukan label MPLS yang dibawa dalam paket IP pelanggan.
VLAN atau terowongan yang didukung termasuk dalam satu domain rute dalam model yang didokumentasikan, jadi antarmuka dan alamat harus sesuai. Periksa juga domain rute default partisi administratif, karena sufiks yang dihilangkan bukan berarti tidak ada konteks; itu berarti konteks yang dipakai partisi secara default. Satu default itulah yang menjelaskan sebagian besar insiden ketika objek baru diam-diam menjawab di penyewa yang salah. Periksa sebelum Anda menambahkan alamat sendiri.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsLangkah 2: gunakan VRF dan target rute penyedia
Di tepi MPLS, penyewa diidentifikasi oleh VRF penyedia dan layanan perutean pelanggan yang disepakati. Target rute mengontrol rute mana yang diimpor dan diekspor penyedia antar VRF, dan memilih nomor domain rute BIG-IP yang tampak serupa tidak menciptakan apa pun dari hubungan itu.
Kedua pengenal hidup di sistem berbeda dan berarti hal berbeda. ID domain rute adalah konteks lokal pada perangkat. Target rute adalah atribut kebijakan di sisi penyedia yang menentukan distribusi rute, dan pembeda rute adalah hal ketiga lagi, yang digunakan untuk menjaga prefiks yang sebenarnya identik tetap terpisah.
Langkah 3: putuskan apakah konteks boleh berbagi keterjangkauan
Tinjau setelan pencarian domain induk dan isolasi ketat secara sengaja, karena keduanya mengubah apa yang bisa dijangkau konteks. Panduan F5 mengizinkan penerusan terkendali melalui hubungan tersebut, dan itulah sebabnya domain rute tidak boleh diperlakukan sendiri sebagai kebijakan keamanan penyewa yang lengkap.
Jika kedua penyewa membutuhkan layanan bersama, tentukan jalur dan izin yang disetujui alih-alih dengan sembarangan mengarahkan satu penyewa ke konteks perutean penyewa lain. Pertahankan identitas aplikasi dan terjemahan sumber yang disengaja bersama tujuan jaringan, atau layanan bersama akan melihat satu penyewa sebagai penyewa lain.
Penyerahan terutekan biasa menghubungkan BIG-IP ke router tepi penyedia tanpa menjadikan BIG-IP sebagai PE MPLS. Jika integrasi langsung MPLS atau keluarga rute VPN benar-benar diperlukan, dapatkan dukungan eksplisit untuk platform dan rilis yang tepat, karena isolasi domain rute lokal tidak membangun kemampuan itu.
Langkah 4: verifikasi satu penyewa pada satu waktu
Uji penyewa A dari titik akhir di konteks A ke alamat aplikasi A, lalu ulangi untuk B. Gunakan bentuk %ID dalam diagnostik agar Anda dapat membuktikan konteks mana yang menjawab, dan pastikan permintaan dari konteks yang salah gagal alih-alih mendarat di tempat yang masuk akal.
Periksa sisi penyedia pada lintasan yang sama: prefiks ada di VRF yang benar, target rute cocok dengan lembar kerja, dan jalur kembali menggunakan lampiran yang dimaksud. Ping yang berhasil dari perangkat itu sendiri membuktikan konteks perangkat, bukan konteks penyewa.
Catat pemetaan akhir di lembar kerja, termasuk domain rute default setiap partisi dan hubungan domain induk yang Anda aktifkan. Perubahan berikutnya pada lingkungan ini akan dilakukan oleh orang yang membaca tabel itu, bukan oleh orang yang membaca artikel ini.