F5-Routendomainen an MPLS-VRFen: den Tenant-Transfer kartograféieren
Zwee Tenanten, eng Adress, zwee Routendomainen. Fixéiert all Objet mat %ID, benotzt d'VRF an d'Route-Targeten vum Provider a verifizéiert all Tenant getrennt.
Zwee Tenanten bedreiwen déiselwecht Applikatioun op 10.50.0.10. De Provider hält si a getrennten MPLS-VPNen auserneen, an d'BIG-IP hält hire lokalen Trafic in getrennten Routendomainen. Dës Arrangement funktionéiert bis zum Transfer, wou e fehlende Suffix oder en kopéierte Route-Target roueg de Pak vun engem Tenant an de Kontext vum aneren setzt. Dëse Runbook verbënnt déi zwou Modeller an ennd mat engem Test pro Tenant.
Aarbechtsblat: eng Zeil pro Tenant
Fëllt dëst aus, ier Dir eppes ännert. All spéider Schrëtt bezitt sech op eng Zell doranner, an eng eidel Zell ass eng Entscheidung, déi nach keen getraff huet.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Schrëtt 1: fixéiert all Objet un seng Routendomain
D'Dokumentatioun vun F5 iwwer Routendomainen beschreift isoléiert Trafic-Kontexter, duebel Adressen an d'address%ID-Notatioun fir Konfiguratiounsobjeten. Eng Adress, déi als 10.50.0.10%2 geschriwwe gëtt, nennt de lokale Routendomain-Kontext, an dee Suffix ass keen MPLS-Label, deen am IP-Pak vum Client gedroe gëtt.
Eng VLAN oder en ënnerstëtzten Tunnel gehéiert am dokumentéierte Modell zu enger Routendomain, dofir mussen d'Interface an d'Adress iwwereneen kommen. Kontrolléiert och d'Standard-Routendomain vun der administrativer Partitioun, well en ausgeloosse Suffix net heescht, et gëtt kee Kontext; et heescht dee Kontext, deen d'Partitioun als Standard benotzt. Dee eenzegen Standard erkläert déi meescht Tëschefäll, bei deenen en neien Objet roueg am falschen Tenant geäntwert huet. Kontrolléiert en, ier Dir eng eege Adress derbäisetzt.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsSchrëtt 2: benotzt d'VRF an d'Route-Targeten vum Provider
Um MPLS-Rand gëtt den Tenant duerch d'VRF vum Provider an de vereinbarte Client-Routingsservice identifizéiert. Route-Targeten kontrolléieren, wéi eng Routen de Provider tëscht VRFen importéiert an exportéiert, an eng ähnlech ausgesinn BIG-IP-Routendomain-Nummer ze wielen erschaaft näischt vun där Bezéiung.
Déi zwou Identifianten liewen a verschiddene Systemer a bedeiten verschidde Saachen. Eng Routendomain-ID ass e lokale Kontext um Apparat. En Route-Target ass en Attribut vun der Politik op der Providersäit, deen d'Routenverdeelung entscheet, an en Route Distinguisher ass nach eng drëtt Saach, déi benotzt gëtt, fir soss identesch Prefixen auserneen ze halen.
Schrëtt 3: entscheet, ob Kontexter d'Erreechbarkeet deele kënnen
Kuckt d'Astellungen fir d'Elteren-Domain-Sich an déi strikt Isolatioun bewosst no, well se änneren, wat e Kontext erreeche kann. De F5-Guide erlaabt kontrolléiert Weiderleedung duerch dës Bezéiungen, an dofir soll eng Routendomain net eleng als vollstänneg Sécherheetspolitik vum Tenant behandelt ginn.
Wann déi zwee Tenanten eng gedeelte Service brauchen, spezifizéiert de guttgeheescht Wee an d'Berechtegungen, amplaz ee Tenant just esou op de Routingkontext vum aneren ze weisen. Erhaalt d'Applikatiounsidentitéit an all bewosst Quellëmwandlung zesumme mat dem Netzwierkzil, soss gesäit déi gedeelte Service een Tenant als deen aneren.
En normale geroutete Transfer verbënnt d'BIG-IP mat engem Provider-Edge-Router, ouni d'BIG-IP zu engem MPLS PE ze maachen. Wann eng direkt MPLS- oder VPN-Routefamilljen-Integratioun wierklech noutwenneg ass, kritt eng explizit Ënnerstëtzung fir déi genee Plattform an Release, well déi lokal Routendomain-Isolatioun déi Fäegkeet net begrënnt.
Schrëtt 4: verifizéiert een Tenant no deem aneren
Test den Tenant A vun engem Endpunkt am Kontext vun A bis op d'Applikatiounsadress vun A, a widderhuelt dat du fir B. Benotzt d'Form %ID an der Diagnostik, fir ze beweise wéi ee Kontext geäntwert huet, a bestätegt, datt eng Ufro aus dem falsche Kontext feelt, amplaz iergendwou plausibel ze landen.
Kontrolléiert d'Providersäit am selwechten Duerchgank: de Prefix ass an der richteger VRF, d'Route-Targeten entsprieche dem Aarbechtsblat, an de Réckwee benotzt déi virgesinn Uschloss. E Ping, deen um Apparat selwer funktionéiert, beweisegt de Kontext vum Apparat, net dee vum Tenant.
Notéiert d'final Mapping am Aarbechtsblat, inklusiv d'Standard-Routendomain vun all Partitioun an all Elteren-Domain-Bezéiung, déi Dir ageschalt hutt. Déi nächst Ännerung un dësem Ëmfeld gëtt vun engem gemaach, deen déi Tabell liest, net vun engem, deen dësen Artikel liest.