NX-OS EVPN null маршруты: тастауды бір тенанттың ішінде ұстаңыз

Сұраныс бір жолдық өзгеріс ретінде келеді: бір мекенжайды blackhole жасау. Тенант контекстінің ішінде Null0-ге хост маршрутын қосасыз, префикс күткендей жергілікті кестеден жоғалады, содан кейін сұрақтар басталады. Маршрут құрылғыдан шықты ма? Алыс VTEP-тер тастады ма, әлде жай ғана қолжетімділіктен айырылды ма? Енді екінші тенант зардап шегіп жатыр ма?

Дұрыс жергілікті статикалық маршрут осы сұрақтардың тек біріншісіне жауап береді, сондықтан blackhole өзгерісі шын мәнінде бір команда емес, үш қаралған нәтиже.

Өзгеріс шын мәнінде нені өндіруі керек

Үш нәтижені жазып бастаңыз. Мақсатты тенант межелі орынды жергілікті түрде тастауы керек. Тек рұқсат етілген маршрут экспортталуы мүмкін, онымен бірге басқа ештеңе кетпеуі керек. Әрбір қабылдаушы VTEP басқа жолды емес, көзделген тастау әрекетін таңдауы керек.

Әр нәтиженің өз дәлелі бар және ешқайсысы басқаларын білдірмейді. Жергілікті Null0 маршруты жергілікті тастауды тудырады және қайта бөлусіз ештеңе экспорттамайды. Келісілген community жоқ қайта бөлінген маршрут қарапайым префикс ретінде келеді және жіберіледі. Қабылдау саясаты жоқ community толығымен елемеуі мүмкін.

Нәтижелерді алдын ала жазу жиі кездесетін сәтсіздіктен де қорғайды: межелі орын байланыссыз себеппен бұрыннан қолжетімсіз болғандықтан жұмыс істеп тұрғандай көрінетін өзгеріс. Екеуін қалай ажырататыныңызды сипаттай алмасаңыз, қабылдау тесті әлі жобаланбаған.

Жергілікті мәлімдеме тек бірінші бөлігін ғана жасайды

10.4(x) желісіндегі NX-OS үшін null маршруты VRF атауын көрсететін бір командада емес, тенанттың VRF контекстінің ішінде орналасады. Үзінді қысқа және ол ешбір жағдайда толық EVPN конфигурациясы емес.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Мекенжай — құжаттама префиксі, нысана емес. VRF атауы маршрут командасының өзінде көрінетін IOS-пен синтаксис айырмашылығына назар аударыңыз және бірдеңе қоюдан бұрын нақты пайдаланып жатқан шығарылымыңыз үшін қолдау көрсетілетін пішінді растаңыз.

Өздігінен бұл жол TENANT_A ішіндегі сол хосттың трафигін тастайды және басқа ештеңе жасамайды. Ол маршрутты тегтемейді, оны BGP үшін таңдамайды және community орнатпайды. Бұл бөлек конфигурациялық шешімдер және әрқайсысы өзгерістің жұмыс істеу үшін тым тар немесе қауіпсіздік үшін тым кең болуы мүмкін орны.

Жергілікті тастау сол межелі орынға заңды трафикке де әсер етеді. Егер мақсат нақты пайдаланушылар әлі мекенжайға мұқтаж кезде бір теріс пайдаланушы көзді тоқтату болса, null маршруты қате құрал және мұны бірінші қолдау қоңырауынан білесіз.

Экспорт пен импорт бөлек келісімдер

Қайта бөлу — ауқым шешілетін жер. Жарамды префикстерді бекітілген жұмсартумен шектеңіз, оны тенанттың ішінде ұстаңыз және бастапқы peer-лерді жобадағылармен шектеңіз. Бір тегтелген хост маршруты жүруі керек деп барлық статикалық маршруттарды қайта бөлу — техникалық қызмет өзгерісінің маршруттау оқиғасына айналу жолы.

BLACKHOLE community — белгілі мән туралы келісім, кез келген көршіге кез келген мекенжайды тастауға рұқсат емес. RFC 7999 оны дәл осы терминдермен сипаттайды, ал оны кім жариялай алатыны туралы сенім шекарасы — енгізу деталі емес, жобаның бөлігі.

Қабылдаушы жаққа өз конфигурациясы қажет. NX-OS-те 5-типті null маршруттары тастау мінез-құлқын таңдау үшін VTEP-те route-map өңдеуін қажет етеді, бұл экспорт қадамдарымен бірге құжатталған. Дұрыс тегтейтін жіберуші құрылғы мен тегті елемейтін қабылдаушы қолданылғандай көрінетін және трафикті бәрібір жіберетін өзгеріс жасайды.

Сол жерде болғанда route-map-ты жанама әсерлерге тексеріңіз. Жаңа шектеуші саясат байланыссыз префикстер үшін заңды қолжетімділікті басуы мүмкін, ал бұл зиян blackhole-дан кешірек көрінеді және оған телу қиынырақ.

Кірістіруден бұрын кері шақыруды жазыңыз

Бірдеңе конфигурацияланбай тұрып, межелі орынның иесін, себебін, бекітушісін және мерзімін жазып қойыңыз. Мерзімсіз тастау ешкім шығу тегін есте сақтамайтын тұрақты жазбаға айналады, ал мекенжайды келесі рет тексеруші адам оны желінің қалыпты бөлігі деп қабылдайды.

Өзгертіп жатқан маршрутқа тәуелді емес дербес басқару жолын ұстаңыз. Егер жұмсарту құрылғыға жету үшін пайдаланатын мекенжайды қамтыса, қосымша қадамдармен құлыптауды жасадыңыз.

Жұмсартуды алып тастайтын нақты басқаруды атаңыз және сол алып тастауды зертханада немесе көтере алатын терезеде сынақтан өткізіңіз. Ешкім жаттықпаған кері шақыру — процедура емес, жоспар.

Команда шығысымен емес, дәлелдермен қабылдаңыз

Таңдалған маршруттау күйін және жіберу күйін көзделген VTEP-терде тексеріңіз, және әсер етпеуі тиіс көршілес межелі орынды тексеріңіз. Басқа ешбір тенант префиксті импорттамағанын растаңыз, өйткені тенанттар арасындағы ағу — техникалық қызмет әрекетін оқиғаға айналдыратын сәтсіздік режимі.

Содан кейін кері шақырыңыз және қалыпты маршрут пен қызметтің қайта оралғанын тексеріңіз. NX-OS EVPN null маршруттары бойынша нұсқаулық 10.4(x) шығарылымы үшін осында сипатталған тегтеуді, қайта бөлуді және қабылдау саясатын құжаттайды және өз шығарылымыңызбен салыстыруға тиісті анықтама.