NX-OS EVPN nulinis maršrutas: laikykite atmetimą vieno nuomininko viduje

Užklausa ateina kaip vienos eilutės pakeitimas: užblokuoti vieną adresą. Pridedate maršrutą į hostą per Null0 nuomininko kontekste, priešdėlis, kaip ir tikėtasi, išnyksta iš vietinės lentelės, ir tada prasideda klausimai. Ar maršrutas paliko įrenginį? Ar tolimieji VTEP atmetė, ar tiesiog prarado pasiekiamumą? Ar dabar nukentės antras nuomininkas?

Taisyklingas vietinis statinis maršrutas atsako tik į pirmąjį iš šių klausimų, todėl blackhole pakeitimas iš tikrųjų yra trys peržiūrėti rezultatai, o ne viena komanda.

Ką pakeitimas iš tikrųjų turi pagaminti

Pradėkite užsirašydami tris rezultatus. Numatytoji nuomininkė turi atmesti paskirties vietą vietoje. Eksportuoti galima tik leistą maršrutą, ir niekas kitas neturi keliauti kartu. Kiekvienas priimantysis VTEP turi pasirinkti numatytą atmetimo veiksmą, o ne kitą kelią.

Kiekvienas rezultatas turi savo įrodymus, ir nė vienas neimplikuoja kitų. Vietinis Null0 maršrutas sukuria vietinį atmetimą ir be perskirstymo nieko neeksportuoja. Perskirstytas maršrutas be sutartos community atvyksta kaip įprastas priešdėlis ir yra persiunčiamas. Community be priėmimo politikos gali būti visiškai ignoruota.

Rezultatų išankstinis užrašymas apsaugo ir nuo dažnos klaidos: pakeitimo, kuris atrodo veikiantis, nes paskirties vieta jau buvo nepasiekiama dėl nesusijusios priežasties. Jei negalite aprašyti, kaip juos atskirtumėte, priėmimo testas dar nesuprojektuotas.

Vietinis teiginys atlieka tik pirmąją dalį

NX-OS 10.4(x) šakoje nulinis maršrutas yra nuomininko VRF kontekste, o ne vienoje komandoje, kuri įvardija VRF. Fragmentas trumpas, ir tai jokiu būdu nėra visa EVPN konfigūracija.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresas yra dokumentacijos priešdėlis, o ne tikslas. Atkreipkite dėmesį į sintaksės skirtumą nuo IOS, kur VRF pavadinimas pasirodo pačioje maršruto komandoje, ir prieš ką nors įklijuodami patvirtinkite palaikomą formą jūsų faktiškai naudojamam leidimui.

Viena pati ši eilutė atmeta srautą tam hostui TENANT_A viduje ir nieko daugiau nedaro. Ji nežymi maršruto, nepasirenka jo BGP ir nenustato community. Tai atskiri konfigūracijos sprendimai, ir kiekvienas jų yra vieta, kur pakeitimas gali būti arba per siauras, kad veiktų, arba per platus, kad būtų saugus.

Vietinis atmetimas taip pat paveikia teisėtą srautą į tą pačią paskirties vietą. Jei tikslas yra sustabdyti vieną piktnaudžiaujantį šaltinį, kol tikriems naudotojams adreso dar reikia, nulinis maršrutas yra netinkamas įrankis, ir tai sužinosite iš pirmo pagalbos skambučio.

Eksportas ir importas yra atskiri susitarimai

Perskirstymas yra vieta, kur nusprendžiama apimtis. Apribokite tinkamus priešdėlius patvirtinta švelninimo priemone, laikykite ją nuomininko viduje ir apribokite šaltinio peerus tais, kurie yra projekte. Perskirstyti kiekvieną statinį maršrutą todėl, kad vienas pažymėtas maršrutas į hostą turi keliauti, yra būdas, kuriuo priežiūros pakeitimas tampa maršrutizavimo incidentu.

BLACKHOLE community yra susitarimas dėl žinomos reikšmės, o ne leidimas bet kuriam kaimynui atmesti bet kurį adresą. RFC 7999 aprašo ją būtent šiais terminais, o pasitikėjimo riba, kas gali ją skelbti, yra dizaino dalis, o ne įgyvendinimo detalė.

Priimančioji pusė turi savo konfigūraciją. NX-OS 5 tipo nuliniai maršrutai reikalauja route-map apdorojimo VTEP, kad būtų pasirinktas atmetimo elgesys, ir tai dokumentuojama kartu su eksporto žingsniais. Taisyklingai žymintis siuntėjas ir žymą ignoruojantis gavėjas sukuria pakeitimą, kuris atrodo pritaikytas ir vis tiek persiunčia srautą.

Peržiūrėkite route-map šalutiniams poveikiams, kol ten esate. Nauja ribojanti politika gali nuslopinti teisėtą pasiekiamumą nesusijusiems priešdėliams, ir ta žala pasirodo vėliau nei blackhole ir ją sunkiau jam priskirti.

Parašykite atšaukimą prieš įterpimą

Užregistruokite paskirties savininką, priežastį, tvirtintoją ir galiojimo pabaigą prieš ką nors konfigūruojant. Atmetimas be galiojimo pabaigos tampa nuolatiniu įrašu, kurio kilmės niekas nepamena, ir kitas žmogus, derinantis adresą, traktuos jį kaip įprastą tinklo dalį.

Išlaikykite nepriklausomą valdymo kelią, kuris nepriklauso nuo maršruto, kurį keičiate. Jei švelninimo priemonė apima adresą, kurį naudojate įrenginiui pasiekti, sukūrėte užraktą su papildomais žingsniais.

Įvardykite tikslų valdiklį, kuris pašalina švelninimą, ir išbandykite tą pašalinimą laboratorijoje arba laiko tarpe, kurį galite sau leisti. Atšaukimas, kurio niekas nebandė, yra planas, o ne procedūra.

Priimkite su įrodymais, o ne su komandos išvestimi

Patikrinkite pasirinktą maršrutizavimo būseną ir persiuntimo būseną numatytuose VTEP, ir patikrinkite gretimą paskirties vietą, kuri turi likti nepaveikta. Patvirtinkite, kad joks kitas nuomininkas neimportavo priešdėlio, nes nuotėkis tarp nuomininkų yra gedimo būdas, kuris priežiūros veiksmą paverčia incidentu.

Tada atšaukite ir patikrinkite, kad įprastas maršrutas ir paslauga grįžta. NX-OS EVPN nulinių maršrutų vadovas 10.4(x) leidimui dokumentuoja čia aprašytą žymėjimą, perskirstymą ir priėmimo politiką, ir tai yra nuoroda, su kuria reikia lyginti savo leidimą.