NX-OS EVPN nulles maršruts: turiet atmešanu viena nomnieka iekšienē

Pieprasījums nāk kā vienas rindas izmaiņa: bloķēt vienu adresi. Jūs pievienojat maršrutu uz resursdatoru uz Null0 nomnieka kontekstā, prefikss, kā gaidīts, pazūd no vietējās tabulas, un tad sākas jautājumi. Vai maršruts atstāja ierīci? Vai attālie VTEP to atmeta, vai vienkārši zaudēja sasniedzamību? Vai tagad tiek skarts otrs nomnieks?

Pareizs vietējais statiskais maršruts atbild tikai uz pirmo no šiem jautājumiem, tāpēc blackhole izmaiņa patiesībā ir trīs pārskatīti rezultāti, nevis viena komanda.

Kas izmaiņai patiesībā jārada

Sāciet, pierakstot trīs rezultātus. Paredzētajam nomniekam ir jāatmet galamērķis lokāli. Eksportēt drīkst tikai atļauto maršrutu, un nekas cits nedrīkst braukt līdzi. Katram saņēmējam VTEP ir jāizvēlas paredzētā atmešanas darbība, nevis cits ceļš.

Katram rezultātam ir savi pierādījumi, un neviens neietver pārējos. Vietējais Null0 maršruts rada vietēju atmešanu un bez pārdales neko neeksportē. Pārdalīts maršruts bez saskaņotā community ierodas kā parasts prefikss un tiek pārsūtīts. Community bez saņemšanas politikas var tikt pilnībā ignorēts.

Rezultātu iepriekšēja pierakstīšana pasargā arī no biežas kļūdas: izmaiņas, kas šķiet strādājam, jo galamērķis jau bija nesasniedzams nesaistīta iemesla dēļ. Ja nevarat aprakstīt, kā tos atšķirtu, pieņemšanas tests vēl nav izstrādāts.

Vietējais paziņojums veic tikai pirmo daļu

NX-OS 10.4(x) sazarojumā nulles maršruts atrodas nomnieka VRF kontekstā, nevis vienā komandā, kas nosauc VRF. Fragments ir īss, un tas nekādi nav pilnīga EVPN konfigurācija.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adrese ir dokumentācijas prefikss, nevis mērķis. Ievērojiet sintakses atšķirību no IOS, kur VRF nosaukums parādās pašā maršruta komandā, un pirms kaut kā ielīmēšanas apstipriniet atbalstīto formu jūsu faktiski izmantotajai versijai.

Vienatnē šī rinda atmet satiksmi uz šo resursdatoru TENANT_A iekšienē un neko citu nedara. Tā neietago maršrutu, neizvēlas to BGP un neiestata community. Tie ir atsevišķi konfigurācijas lēmumi, un katrs no tiem ir vieta, kur izmaiņa var būt vai nu pārāk šaura, lai strādātu, vai pārāk plaša, lai būtu droša.

Vietējā atmešana ietekmē arī likumīgu satiksmi uz to pašu galamērķi. Ja nodoms ir apturēt vienu ļaunprātīgu avotu, kamēr īstiem lietotājiem adrese vēl ir vajadzīga, nulles maršruts ir nepareizais rīks, un to uzzināsit no pirmā atbalsta zvana.

Eksports un imports ir atsevišķas vienošanās

Pārdale ir vieta, kur tiek izlemts apjoms. Ierobežojiet derīgos prefiksus ar apstiprināto mīkstināšanu, turiet to nomnieka iekšienē un ierobežojiet izcelsmes peerus ar tiem, kas ir projektā. Pārdalīt katru statisko maršrutu tāpēc, ka viens ietagots resursdatora maršruts ir jāpārvieto, ir veids, kā apkopes izmaiņa kļūst par maršrutēšanas incidentu.

BLACKHOLE community ir vienošanās par zināmu vērtību, nevis atļauja jebkuram kaimiņam atmest jebkuru adresi. RFC 7999 to apraksta tieši šajos terminos, un uzticēšanās robeža par to, kurš drīkst to izziņot, ir dizaina daļa, nevis ieviešanas detaļa.

Saņēmējai pusei ir vajadzīga sava konfigurācija. NX-OS 5. tipa nulles maršrutiem ir nepieciešama route-map apstrāde VTEP, lai izvēlētos atmešanas uzvedību, kas ir dokumentēta kopā ar eksporta soļiem. Pareizi ietagojoša sūtītāja ierīce un tagu ignorējošs saņēmējs rada izmaiņu, kas izskatās piemērota un tomēr pārsūta satiksmi.

Pārskatiet route-map blakusefektiem, kamēr esat tur. Jauna ierobežojoša politika var nomākt likumīgu sasniedzamību nesaistītiem prefiksiem, un šis kaitējums parādās vēlāk nekā blackhole un to ir grūtāk tam piedēvēt.

Uzrakstiet atsaukšanu pirms ievietošanas

Reģistrējiet galamērķa īpašnieku, iemeslu, apstiprinātāju un derīguma termiņu pirms kaut kas tiek konfigurēts. Atmešana bez termiņa kļūst par pastāvīgu ierakstu, kura izcelsmi neviens neatceras, un nākamais cilvēks, kas atkļūdos adresi, to uzskatīs par parastu tīkla daļu.

Uzturiet neatkarīgu pārvaldības ceļu, kas nav atkarīgs no maršruta, kuru maināt. Ja mīkstināšana aptver adresi, ko izmantojat, lai sasniegtu ierīci, jūs esat izveidojis bloķēšanu ar papildu soļiem.

Nosauciet precīzu kontroli, kas noņem mīkstināšanu, un pārbaudiet šo noņemšanu laboratorijā vai logā, ko varat atļauties. Atsaukšana, ko neviens nav trenējis, ir plāns, nevis procedūra.

Pieņemiet ar pierādījumiem, nevis ar komandas izvadi

Pārbaudiet izvēlēto maršrutēšanas stāvokli un pārsūtīšanas stāvokli paredzētajos VTEP, un pārbaudiet blakus esošu galamērķi, kam jāpaliek neskartam. Apstipriniet, ka neviens cits nomnieks nav importējis prefiksu, jo noplūde starp nomniekiem ir tā atteices mode, kas apkopes darbību pārvērš incidentā.

Pēc tam atsauciet un pārbaudiet, ka parastais maršruts un pakalpojums atgriežas. NX-OS EVPN nulles maršrutu rokasgrāmata 10.4(x) laidienam dokumentē šeit aprakstīto tagotēšanu, pārdali un saņemšanas politiku, un tā ir atsauce, ar ko salīdzināt savu laidienu.