F5 მარშრუტის დომენები და MPLS VRF-ები: გამოისახეთ მოიჯარის გადაცემა
ორი მოიჯარე, ერთი მისამართი, ორი მარშრუტის დომენი. დაამაგრეთ თითოეული ობიექტი %ID-ით, გამოიყენეთ პროვაიდერის VRF და მარშრუტის სამიზნეები და შეამოწმეთ თითოეული მოიჯარე ცალ-ცალკე.
ორი მოიჯარე ერთსა და იმავე აპლიკაციას უშვებს 10.50.0.10-ზე. პროვაიდერი მათ ცალკეულ MPLS VPN-ებში ინახავს, ხოლო BIG-IP მათ ადგილობრივ ტრაფიკს ცალკეულ მარშრუტის დომენებში ინახავს. ეს განლაგება გადაცემამდე მუშაობს, სადაც დაკარგული სუფიქსი ან დაკოპირებული მარშრუტის სამიზნე ჩუმად ათავსებს ერთი მოიჯარის პაკეტს მეორის კონტექსტში. ეს სახელმძღვანელო ორ მოდელს აერთიანებს და მთავრდება თითოეული მოიჯარის ტესტით.
სამუშაო ფურცელი: ერთი რიგი თითო მოიჯარეზე
შეავსეთ ეს სანამ რამეს შეიცვლით. ყოველი შემდგომი ნაბიჯი მასში არსებულ უჯრას მიუთითებს, ხოლო ცარიელი უჯრა არის გადაწყვეტილება, რომელიც ჯერ არავის მიუღია.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
ნაბიჯი 1: დაამაგრეთ თითოეული ობიექტი მის მარშრუტის დომენს
F5-ის მარშრუტის დომენების დოკუმენტაცია აღწერს იზოლირებულ ტრაფიკის კონტექსტებს, დუბლირებულ მისამართებს და კონფიგურაციის ობიექტების address%ID აღნიშვნას. 10.50.0.10%2-ად დაწერილი მისამართი ასახელებს ადგილობრივი მარშრუტის დომენის კონტექსტს და ეს სუფიქსი არ არის MPLS ნიშანი, რომელიც მომხმარებლის IP პაკეტში გადაიტანება.
დოკუმენტირებულ მოდელში VLAN ან მხარდაჭერილი გვირაბი ერთ მარშრუტის დომენს ეკუთვნის, ამიტომ ინტერფეისი და მისამართი უნდა ემთხვეოდეს. შეამოწმეთ ასევე ადმინისტრაციული დანაყოფის ნაგულისხმევი მარშრუტის დომენი, რადგან გამოტოვებული სუფიქსი არ ნიშნავს კონტექსტის არარსებობას; ის ნიშნავს იმ კონტექსტს, რომელსაც დანაყოფი ნაგულისხმევად იყენებს. ეს ერთი ნაგულისხმევი ხსნის იმ შემთხვევათა უმეტესობას, როცა ახალი ობიექტი ჩუმად არასწორ მოიჯარეს პასუხობდა. შეამოწმეთ ის სანამ საკუთარ მისამართს დაამატებთ.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsნაბიჯი 2: გამოიყენეთ პროვაიდერის VRF და მარშრუტის სამიზნეები
MPLS-ის კიდეზე მოიჯარე იდენტიფიცირდება პროვაიდერის VRF-ით და შეთანხმებული მომხმარებლის მარშრუტიზაციის სერვისით. მარშრუტის სამიზნეები აკონტროლებენ, რომელი მარშრუტები შემოიტანოს და გაიტანოს პროვაიდერმა VRF-ებს შორის, და მსგავსი შესახედავი BIG-IP მარშრუტის დომენის ნომრის არჩევა ამ ურთიერთობიდან არაფერს ქმნის.
ორი იდენტიფიკატორი სხვადასხვა სისტემაში ცხოვრობს და სხვადასხვა რამეს ნიშნავს. მარშრუტის დომენის ID არის ლოკალური კონტექსტი მოწყობილობაზე. მარშრუტის სამიზნე არის პროვაიდერის მხარის პოლიტიკის ატრიბუტი, რომელიც განსაზღვრავს მარშრუტების განაწილებას, ხოლო მარშრუტის გამამხვევი კიდევ მესამე რამ არის, რომელიც გამოიყენება სხვაგვარად იდენტური პრეფიქსების ცალ-ცალკე შესანარჩუნებლად.
ნაბიჯი 3: გადაწყვიტეთ, შეიძლება თუ არა კონტექსტებმა ხელმისაწვდომობის გაზიარება
განზრახ გადახედეთ მშობელი დომენის ძიების და მკაცრი იზოლაციის პარამეტრებს, რადგან ისინი ცვლიან, რასაც კონტექსტი მიაღწევს. F5-ის სახელმძღვანელო ნებას რთავს კონტროლირებულ გადაგზავნას ამ ურთიერთობების მეშვეობით და სწორედ ამიტომ მარშრუტის დომენი არ უნდა განიხილებოდეს ცალკე, როგორც მოიჯარის სრული უსაფრთხოების პოლიტიკა.
თუ ორივე მოიჯარეს საერთო სერვისი სჭირდება, მიუთითეთ დამტკიცებული გზა და ნებართვები იმის ნაცვლად, რომ ერთი მოიჯარე უყურადღებოდ მეორის მარშრუტიზაციის კონტექსტისკენ მიმართოთ. შეინარჩუნეთ აპლიკაციის იდენტობა და ნებისმიერი განზრახ წყაროს ტრანსლაცია ქსელის დანიშნულებასთან ერთად, თორემ საერთო სერვისი ერთ მოიჯარეს მეორედ დაინახავს.
ჩვეულებრივი მარშრუტიზებული გადაცემა BIG-IP-ს პროვაიდერის კიდის როუტერს უკავშირებს ისე, რომ BIG-IP არ ხდება MPLS PE. თუ ნამდვილად საჭიროა MPLS-ის ან VPN მარშრუტების ოჯახის პირდაპირი ინტეგრაცია, მიიღეთ მკაფიო მხარდაჭერა ზუსტი პლატფორმისა და გამოშვებისთვის, რადგან მარშრუტის დომენის ლოკალური იზოლაცია ამ შესაძლებლობას არ ქმნის.
ნაბიჯი 4: შეამოწმეთ ერთი მოიჯარე ერთდროულად
შეამოწმეთ მოიჯარე A A-ს კონტექსტში არსებული ბოლო წერტილიდან A-ს აპლიკაციის მისამართამდე, შემდეგ გაიმეორეთ B-სთვის. გამოიყენეთ %ID ფორმა დიაგნოსტიკაში, რათა დაამტკიცოთ, რომელმა კონტექსტმა უპასუხა, და დაადასტურეთ, რომ არასწორი კონტექსტიდან მომდინარე მოთხოვნა ვერ ხერხდება და არა სადმე დამაჯერებელ ადგილას ხვდება.
იმავე გავლაზე შეამოწმეთ პროვაიდერის მხარეც: პრეფიქსი სწორ VRF-შია, მარშრუტის სამიზნეები ემთხვევა სამუშაო ფურცელს და დაბრუნების გზა იყენებს განზრახ შეერთებას. ping, რომელიც თავად მოწყობილობიდან მუშაობს, ადასტურებს მოწყობილობის კონტექსტს და არა მოიჯარისას.
ჩაწერეთ საბოლოო გამოსახვა სამუშაო ფურცელში, მათ შორის თითოეული დანაყოფის ნაგულისხმევი მარშრუტის დომენი და ნებისმიერი ჩართული მშობელი დომენის ურთიერთობა. ამ გარემოში შემდეგ ცვლილებას გააკეთებს ის, ვინც ამ ცხრილს კითხულობს და არა ის, ვინც ამ სტატიას კითხულობს.