F5 maršrutų domenai ir MPLS VRF: nuomininko perdavimo žemėlapis
Du nuomininkai, vienas adresas, du maršrutų domenai. Prispauskite kiekvieną objektą %ID, naudokite teikėjo VRF ir maršrutų tikslus ir patikrinkite kiekvieną nuomininką atskirai.
Du nuomininkai tame pačiame adrese 10.50.0.10 vykdo tą pačią programą. Teikėjas juos laiko atskirai skirtinguose MPLS VPN, o BIG-IP jų vietinį srautą laiko atskiruose maršrutų domenuose. Ši tvarka veikia iki pat perdavimo, kai trūkstamas priesagas arba nukopijuotas maršruto tikslas tyliai įdeda vieno nuomininko paketą į kito nuomininko kontekstą. Šis vadovas sujungia abu modelius ir baigiasi kiekvieno nuomininko testu.
Darbo lapas: viena eilutė vienam nuomininkui
Užpildykite tai prieš ką nors keisdami. Kiekvienas vėlesnis žingsnis nurodo į lapelyje esantį langelį, o tuščias langelis yra sprendimas, kurio dar niekas nepriėmė.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
1 žingsnis: prispauskite kiekvieną objektą prie jo maršrutų domeno
F5 maršrutų domenų dokumentacija aprašo izoliuotus srauto kontekstus, pasikartojančius adresus ir konfigūracijos objektų address%ID žymėjimą. Adresas, užrašytas kaip 10.50.0.10%2, įvardija vietinį maršrutų domeno kontekstą, ir ta priesaga nėra MPLS žyma, nešama kliento IP pakete.
Dokumentuotame modelyje VLAN arba palaikomas tunelis priklauso vienam maršrutų domenui, todėl sąsaja ir adresas turi sutapti. Patikrinkite ir administracinės skaidinio numatytąjį maršrutų domeną, nes praleista priesaga nereiškia, kad konteksto nėra; ji reiškia tą kontekstą, kurį skaidinys naudoja pagal numatytuosius nustatymus. Tas vienas numatytasis paaiškina daugumą incidentų, kai naujas objektas tyliai atsakydavo netinkamam nuomininkui. Patikrinkite jį prieš pridėdami savo adresą.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs2 žingsnis: naudokite teikėjo VRF ir maršrutų tikslus
MPLS krašte nuomininkas identifikuojamas pagal teikėjo VRF ir sutartą kliento maršrutizavimo paslaugą. Maršrutų tikslai kontroliuoja, kuriuos maršrutus teikėjas importuoja ir eksportuoja tarp VRF, o pasirinkus panašiai atrodantį BIG-IP maršrutų domeno numerį neišsivysto nieko iš to ryšio.
Du identifikatoriai gyvena skirtingose sistemose ir reiškia skirtingus dalykus. Maršrutų domeno ID yra vietinis įrenginio kontekstas. Maršrutų tikslas yra teikėjo pusės politikos atributas, lemiantis maršrutų paskirstymą, o maršruto skiriamasis požymis yra dar trečias dalykas, naudojamas kitaip identiškiems prefiksams atskirti.
3 žingsnis: nuspręskite, ar kontekstai gali dalytis pasiekiamumu
Sąmoningai peržiūrėkite tėvinio domeno paieškos ir griežtos izoliacijos nustatymus, nes jie keičia, ką kontekstas gali pasiekti. F5 vadovas leidžia kontroliuojamą persiuntimą per tuos ryšius, ir būtent todėl maršrutų domeno nereikėtų laikyti vienu visapusiška nuomininko saugumo politika.
Jei abiem nuomininkams reikia bendros paslaugos, nurodykite patvirtintą kelią ir leidimus, o ne nerūpestingai nukreipkite vieną nuomininką į kito maršrutizavimo kontekstą. Išsaugokite programos tapatybę ir bet kokį tyčinį šaltinio vertimą kartu su tinklo paskirties vieta, kitaip bendra paslauga matys vieną nuomininką kaip kitą.
Įprastas maršrutuojamas perdavimas sujungia BIG-IP su teikėjo krašto maršrutizatoriumi, nepadarydamas BIG-IP MPLS PE. Jei tiesioginė MPLS arba VPN maršrutų šeimos integracija tikrai reikalinga, gaukite aiškią paramą tikslią platformą ir leidimą, nes vietinė maršrutų domeno izoliacija nesukuria tos galimybės.
4 žingsnis: tikrinkite po vieną nuomininką
Išbandykite nuomininką A iš A kontekste esančio galinio taško į A programos adresą, tada pakartokite su B. Diagnostikoje naudokite formą %ID, kad galėtumėte įrodyti, kuris kontekstas atsakė, ir patvirtinkite, kad užklausa iš netinkamo konteksto nepavyksta, o ne nusileidžia kokia nors tikėtina vieta.
Tame pačiame etape patikrinkite ir teikėjo pusę: prefiksas yra tinkamame VRF, maršrutų tikslai atitinka darbo lapą, o grįžimo kelias naudoja numatytą prisijungimą. Ping, veikiantis iš paties įrenginio, įrodo įrenginio kontekstą, o ne nuomininko.
Užrašykite galutinį susiejimą darbo lape, įskaitant kiekvieno skaidinio numatytąjį maršrutų domeną ir bet kokį įjungtą tėvinio domeno ryšį. Kitas šios aplinkos pakeitimas bus atliktas to, kas skaitys tą lentelę, o ne to, kas skaitys šį straipsnį.