NX-OS EVPN-Nullroute: d’Verwerfung an engem eenzegen Tenant halen

D’Ufro kënnt als Ännerung vun enger Zeil: eng Adress blackholen. Dir füügt eng Host-Route op Null0 am Tenant-Kontext dobäi, de Prefix verschwënnt wéi erwaart aus der lokaler Tabell, an dann fänken d’Froen un. Huet d’Route d’Këscht verlooss? Hunn déi wäit VTEPen verwerft, oder hunn si einfach d’Erreechbarkeet verluer? Ass elo en zweeten Tenant betraff?

Eng richteg lokal statesch Route beäntwert just déi éischt vun dëse Froen, dofir ass eng Blackhole-Ännerung eigentlech dräi gepréift Resultater an net eng eenzeg Kommando.

Wat d’Ännerung tatsächlech muss produzéieren

Fänkt u mat deenen dräi Resultater opzeschreiwen. Den intendéierten Tenant muss d’Zil lokal verwerfen. Just déi autoriséiert Route däerf exportéiert ginn, an näischt anescht däerf matfueren. All empfangenden VTEP muss déi intendéiert Verwerfungsaktie wielen an net en anere Wee.

All Resultat huet seng eege Beweiser, an keen implizéiert déi aner. Eng lokal Null0-Route produzéiert lokal Verwerfung an exportéiert ouni Redistributioun guer näischt. Eng redistribuéiert Route ouni déi ausgemaach community kënnt als gewéinleche Prefix un a gëtt virugeschéckt. Eng community ouni d’Empfankspolitik kann komplett ignoréiert ginn.

D’Resultater fir d’éischt opzeschreiwen schützt dech och virun engem heefege Fehler: enger Ännerung, déi ze funktionéieren schéngt, well d’Zil schonn aus engem onverbonnene Grond onereechbar war. Wanns de net beschreiwe kanns, wéi s de den Ënnerscheed erkenne wäers, ass den Akzeptanztest nach net entworf.

Déi lokal Ausso mécht just den éischten Deel

Fir NX-OS an der 10.4(x)-Serie sëtzt d’Nullroute am VRF-Kontext vum Tenant an net an enger eenzeger Kommando, déi d’VRF nennt. De Fragment ass kuerz, an et ass bestëmmt keng komplett EVPN-Konfiguratioun.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

D’Adress ass e Dokumentatiounspräfix, keen Zil. Bemierkt den Ënnerscheed an der Syntax zum IOS, wou den VRF-Numm an der Route-Kommando selwer erschéngt, a bestätegt d’ënnerstëtzt Form fir de Release, deen s de tatsächlech bedreiws, ier s eppes aspasse leschs.

Fir sech geholl verwerft dës Zeil den Trafik fir dee Host am TENANT_A an mécht näischt anescht. Si taggt d’Route net, wielt se net fir BGP aus an setzt keng community. Dat sinn getrennt Konfiguratiounsentscheedungen, an all eenzel ass eng Plaz wou d’Ännerung entweder ze enk ka sinn fir ze funktionéieren oder ze breet fir sécher ze sinn.

Déi lokal Verwerfung trëfft och legitimen Trafik op dat selwecht Zil. Wann d’Absicht ass eng mëssbrauchend Quell ze stoppen, während richteg Benotzer d’Adress nach brauchen, ass eng Nullroute dat falscht Instrument an dat léiers du beim éischten Support-Uruff.

Export an Import sinn getrennt Ofmachungen

Bei der Redistributioun gëtt de Kader decidéiert. Beschränk déi eligibel Prefixen op déi geneemegt Ofmëllerung, hal se am Tenant an a beschränk d’Origine-Peeren op déi aus dem Design. All statesch Route redistribuéieren, well eng getaggte Host-Route misst reesen, ass de Wee wéi eng Ënnerhaltsännerung zu engem Routing-Virfall gëtt.

D’BLACKHOLE-community ass eng Ofmachung iwwer e bekannte Wäert, keng Autorisatioun fir all Noper all Adress ze verwerfen. RFC 7999 beschreift se an deene Begrëffer, an d’Vertrauensgrenz ronderëm wien se annoncéiere kann, ass Deel vum Design an net en Implementatiounsdetail.

Déi empfangend Säit brauch seng eege Konfiguratioun. Op NX-OS erfuerderen Type 5-Nullrouten eng route-map-Behandlung um VTEP fir d’Verwerfungsverhalen auszewielen, wat zesumme mat den Exportschrëtt dokumentéiert ass. En sendent Gerät, dat richteg taggt, an en Empfänger, deen den Tag ignoréiert, ginn eng Ännerung, déi ugewannt ausgesäit an den Trafik awer weiderleet.

Préift d’route-map op Nieweneffekter, während s de do sëtz. Eng nei restriktiv Politik kann legitim Erreechbarkeet fir onverbonne Prefixen ënnerdrécken, an dee Schued erschéngt méi spéit wéi d’Blackhole an ass schwéier dobäi ze attribuéieren.

Schreif de Réckzuch virum Asetze

Halt den Zilbesëtzer, de Grond, den Geneemeger an en Ofleefdatum fest, ier eppes konfiguréiert gëtt. Eng Verwerfung ouni Ofleef gëtt en dauerhaften Antréit, vun deem keen den Ursprong nach weess, an déi nächst Persoun, déi d’Adress debuggt, wäert se als normalen Deel vum Netz behandelen.

Halt en onofhängege Verwaltungswee, deen net vun der Route ofhänkt, déi s de änderes. Wann d’Ofmëllerung eng Adress deckt, déi s de benotzt fir d’Gerät z’erreechen, hues du eng Ausspärung mat zousätzleche Schrëtt geschaf.

Nenn déi genee Kontroll, déi d’Ofmëllerung ewechhëlt, an test dee Réckzuch am Labor oder an engem Fenster, deen s de dir leeschte kanns. En Réckzuch, deen keen geübt huet, ass e Plang an net eng Prozedur.

Akzeptéier mat Beweiser, net mat der Ausgab vun der Kommando

Kontrolléier den ausgewielten Routing-Zoustand an den Weiderleeungs-Zoustand op den intendéierten VTEPen, a kontrolléier en Nopeschziel, dat onberéiert musst bleiwen. Bestätegt, datt keen aneren Tenant de Prefix importéiert huet, well de Lecher tëschent Tenanten ass de Fehlermodus, deen eng Ënnerhaltsaktie zu engem Virfall mécht.

Zitt dann zréck a verifizéiert, datt déi normal Route an de Service zréckkommen. Den NX-OS EVPN-Guide fir Nullrouten fir de Release 10.4(x) dokumentéiert d’Tagging, d’Redistributioun an d’Empfankspolitik, déi hei beschriwwe sinn, an et ass d’Referenz fir mat dengem eege Release ze vergläichen.