NX-OS EVPN null მარშრუტი: შეინახეთ უარყოფა ერთ ტენანტში

მოთხოვნა მოდის როგორც ერთსტრიქონიანი ცვლილება: ერთი მისამართის blackhole. თქვენ ამატებთ ჰოსტის მარშრუტს Null0-ზე ტენანტის კონტექსტში, პრეფიქსი ქრება ლოკალური ცხრილიდან, როგორც მოსალოდნელი იყო, და შემდეგ იწყება კითხვები. დატოვა მარშრუტმა მოწყობილობა? უარყვეს შორეულმა VTEP-ებმა, თუ უბრალოდ დაკარგეს ხელმისაწვდომობა? ახლა ზიანდება მეორე ტენანტი?

სწორი ლოკალური სტატიკური მარშრუტი პასუხობს მხოლოდ ამ კითხვებიდან პირველს, ამიტომ blackhole ცვლილება სინამდვილეში სამი განხილული შედეგია და არა ერთი ბრძანება.

რა უნდა წარმოქმნას ცვლილებამ რეალურად

დაიწყეთ სამი შედეგის ჩაწერით. მიზნობრივმა ტენანტმა დანიშნულება ლოკალურად უნდა უარყოს. მხოლოდ ავტორიზებული მარშრუტი შეიძლება ექსპორტირდეს და სხვა არაფერი არ უნდა მოძრაობდეს მასთან. ყოველმა მიმღებმა VTEP-მა უნდა აირჩიოს განზრახული უარყოფის ქმედება და არა სხვა გზა.

თითოეულ შედეგს აქვს თავისი მტკიცებულება და არც ერთი არ გულისხმობს სხვებს. ლოკალური Null0 მარშრუტი ქმნის ლოკალურ უარყოფას და გადანაწილების გარეშე საერთოდ არაფერს ექსპორტირებს. შეთანხმებული community-ს გარეშე გადანაწილებული მარშრუტი მოდის როგორც ჩვეულებრივი პრეფიქსი და გადაეცემა. მიღების პოლიტიკის გარეშე community შეიძლება სრულიად იგნორირებული იყოს.

შედეგების წინასწარ ჩაწერა იცავს გავრცელებული მარცხისგანაც: ცვლილება, რომელიც მუშაობს თითქოს, რადგან დანიშნულება უკვე მიუწვდომელი იყო დაუკავშირებელი მიზეზით. თუ ვერ აღწერთ, როგორ განასხვავებდით მათ, მიღების ტესტი ჯერ არ არის დაპროექტებული.

ლოკალური დებულება მხოლოდ პირველ ნაწილს ასრულებს

10.4(x) სერიის NX-OS-ში null მარშრუტი ტენანტის VRF კონტექსტის შიგნითაა და არა ერთ ბრძანებაში, რომელიც VRF-ს ასახელებს. ფრაგმენტი მოკლეა და ის სულაც არ არის სრული EVPN კონფიგურაცია.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

მისამართი დოკუმენტაციის პრეფიქსია და არა სამიზნე. ყურადღება მიაქციეთ სინტაქსის განსხვავებას IOS-ისგან, სადაც VRF-ის სახელი თავად მარშრუტის ბრძანების შიგნით ჩნდება, და სანამ რამეს ჩასვამთ, დაადასტურეთ მხარდაჭერილი ფორმა იმ გამოშვებისთვის, რომელსაც რეალურად ატარებთ.

თავისთავად ეს სტრიქონი უარყოფს ამ ჰოსტის ტრაფიკს TENANT_A-ის შიგნით და სხვა არაფერს აკეთებს. ის არ ამონიშნავს მარშრუტს, არ ირჩევს მას BGP-ისთვის და არ აყენებს community-ს. ეს ცალკე კონფიგურაციის გადაწყვეტილებებია და თითოეული ის ადგილია, სადაც ცვლილება შეიძლება იყოს ან მუშაობისთვის ძალიან ვიწრო, ან უსაფრთხოებისთვის ძალიან ფართო.

ლოკალური უარყოფა გავლენას ახდენს იმავე დანიშნულების კანონიერ ტრაფიკზეც. თუ განზრახვაა ერთი ბოროტად მოქმედი წყაროს შეჩერება, სანამ რეალურ მომხმარებლებს ჯერ კიდევ სჭირდებათ მისამართი, null მარშრუტი არასწორი ინსტრუმენტია და ამას პირველივე მხარდაჭერის ზარიდან შეიტყობთ.

ექსპორტი და იმპორტი ცალკე შეთანხმებებია

გადანაწილება ის ადგილია, სადაც მასშტაბი წყდება. შეზღუდეთ ვარგისი პრეფიქსები დამტკიცებული შემსუბუქებით, შეინახეთ ის ტენანტის შიგნით და შეზღუდეთ წყარო peer-ები დიზაინში არსებულებით. ყველა სტატიკური მარშრუტის გადანაწილება იმიტომ, რომ ერთი მონიშნული ჰოსტის მარშრუტი უნდა იმოძრაოს, სწორედ ის გზაა, რომლითაც ტექნიკური მომსახურების ცვლილება მარშრუტიზაციის ინციდენტად იქცევა.

BLACKHOLE community შეთანხმებაა ცნობილ მნიშვნელობაზე და არა ნებართვა რომელიმე მეზობლისთვის რომელიმე მისამართის უარყოფაზე. RFC 7999 აღწერს მას სწორედ ამ ტერმინებით და ნდობის საზღვარი იმაზე, თუ ვის შეუძლია მისი გამოცხადება, დიზაინის ნაწილია და არა იმპლემენტაციის დეტალი.

მიმღებ მხარეს საკუთარი კონფიგურაცია სჭირდება. NX-OS-ში მე-5 ტიპის null მარშრუტები მოითხოვს route-map დამუშავებას VTEP-ზე უარყოფის ქცევის ასარჩევად, რაც დოკუმენტირებულია ექსპორტის ნაბიჯებთან ერთად. სწორად მონიშვნელი გამომგზავნი მოწყობილობა და მონიშვნის უგულებელყოფილი მიმღები ქმნიან ცვლილებას, რომელიც გამოყენებულად გამოიყურება და მაინც გადასცემს ტრაფიკს.

სანამ იქ ხართ, გადახედეთ route-map-ს გვერდითი ეფექტებისთვის. ახალმა შემზღუდველმა პოლიტიკამ შეიძლება ჩაახშოს კანონიერი ხელმისაწვდომობა დაუკავშირებელი პრეფიქსებისთვის და ეს ზიანი blackhole-ზე გვიან ჩნდება და უფრო ძნელია მასზე მიკუთვნება.

დაწერეთ უკან გაწვევა ჩასმამდე

ჩაწერეთ დანიშნულების მფლობელი, მიზეზი, დამმტკიცებელი და ვადა, სანამ რამე დაკონფიგურდება. ვადის გარეშე უარყოფა ხდება მუდმივი ჩანაწერი, რომლის წარმომავლობა არავის ახსოვს, და მისამართის გამმართავი შემდეგი ადამიანი მას ქსელის ჩვეულებრივ ნაწილად მიიჩნევს.

შეინარჩუნეთ დამოუკიდებელი მართვის გზა, რომელიც არ არის დამოკიდებული თქვენ მიერ შეცვლილ მარშრუტზე. თუ შემსუბუქება ფარავს მისამართს, რომელსაც იყენებთ მოწყობილობამდე მისასვლელად, თქვენ შექმენით ჩაკეტვა დამატებითი ნაბიჯებით.

დაასახელეთ ზუსტი კონტროლი, რომელიც ხსნის შემსუბუქებას, და გამოსცადეთ ეს მოხსნა ლაბორატორიაში ან ფანჯარაში, რომელსაც შეგიძლიათ გაუძლოთ. უკან გაწვევა, რომელიც არავის გაუვლია ვარჯიშზე, გეგმაა და არა პროცედურა.

მიიღეთ მტკიცებულებებით და არა ბრძანების გამოტანით

შეამოწმეთ არჩეული მარშრუტიზაციის მდგომარეობა და გადაცემის მდგომარეობა მიზნობრივ VTEP-ებზე, და შეამოწმეთ მეზობელი დანიშნულება, რომელიც უნდა დარჩეს ხელუხლებელი. დაადასტურეთ, რომ არცერთ სხვა ტენანტს არ უწევს პრეფიქსი იმპორტირებული, რადგან ტენანტებს შორის გაჟონვა სწორედ ის მარცხის რეჟიმია, რომელიც ტექნიკურ ქმედებას ინციდენტად აქცევს.

შემდეგ უკან გაიწვიეთ და დაადასტურეთ, რომ ჩვეულებრივი მარშრუტი და სერვისი ბრუნდება. NX-OS EVPN null მარშრუტების სახელმძღვანელო 10.4(x) გამოშვებისთვის აღწერს აქ აღწერილ მონიშვნას, გადანაწილებას და მიღების პოლიტიკას და ეს არის ის ცნობარი, რომელსაც უნდა შეადაროთ თქვენი გამოშვება.