F5 maršrutēšanas domēni un MPLS VRF: kartējiet nomnieka nodošanu
Divi nomnieki, viena adrese, divi maršrutēšanas domēni. Piespraudiet katru objektu ar %ID, izmantojiet pakalpojumu sniedzēja VRF un maršruta mērķus un pārbaudiet katru nomnieku atsevišķi.
Divi nomnieki vienā adresē 10.50.0.10 darbina vienu un to pašu lietojumprogrammu. Pakalpojumu sniedzējs tos tur atsevišķi dažādos MPLS VPN, un BIG-IP tur viņu vietējo trafiku atsevišķos maršrutēšanas domēnos. Šī kārtība darbojas līdz pat nodošanai, kur trūkstošs sufikss vai nokopēts maršruta mērķis klusi ievieto viena nomnieka paketi otra nomnieka kontekstā. Šī rokasgrāmata savieno abus modeļus un beidzas ar testu katram nomniekam.
Darba lapa: viena rinda katram nomniekam
Aizpildiet to pirms kaut kā mainīšanas. Katrs nākamais solis atsaucas uz šūnu tajā, un tukša šūna ir lēmums, ko vēl neviens nav pieņēmis.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
1. solis: piespraudiet katru objektu tā maršrutēšanas domēnam
F5 maršrutēšanas domēnu dokumentācija apraksta izolētus trafika kontekstus, dublētas adreses un konfigurācijas objektu address%ID apzīmējumu. Adrese, kas rakstīta kā 10.50.0.10%2, nosauc vietējo maršrutēšanas domēna kontekstu, un šis sufikss nav MPLS birka, ko pārnēsā klienta IP paketē.
Dokumentētajā modelī VLAN vai atbalstīts tunelis pieder vienam maršrutēšanas domēnam, tāpēc saskarnei un adresei jāsakrīt. Pārbaudiet arī administratīvās nodalījuma noklusējuma maršrutēšanas domēnu, jo izlaists sufikss nenozīmē, ka konteksta nav; tas nozīmē to kontekstu, ko nodalījums izmanto pēc noklusējuma. Šis vienīgais noklusējums izskaidro lielāko daļu gadījumu, kad jauns objekts klusi atbildēja nepareizajam nomniekam. Pārbaudiet to pirms savas adreses pievienošanas.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs2. solis: izmantojiet pakalpojumu sniedzēja VRF un maršruta mērķus
MPLS malā nomnieku identificē pakalpojumu sniedzēja VRF un saskaņotais klienta maršrutēšanas pakalpojums. Maršruta mērķi kontrolē, kuras maršrutus pakalpojumu sniedzējs importē un eksportē starp VRF, un līdzīgi izskatoša BIG-IP maršrutēšanas domēna numura izvēle nerada neko no šīs attiecības.
Abi identifikatori dzīvo dažādās sistēmās un nozīmē dažādas lietas. Maršrutēšanas domēna ID ir vietējs konteksts ierīcē. Maršruta mērķis ir pakalpojumu sniedzēja puses politikas atribūts, kas nosaka maršrutu sadali, un maršruta atšķirējs ir vēl trešā lieta, ko izmanto, lai citādi identiskus prefiksus turētu atsevišķi.
3. solis: izlemiet, vai konteksti drīkst dalīties sasniedzamībā
Apzināti pārskatiet vecākdomēna meklēšanas un stingrās izolācijas iestatījumus, jo tie maina to, ko konteksts var sasniegt. F5 rokasgrāmata atļauj kontrolētu pāradresāciju caur šīm attiecībām, un tieši tāpēc maršrutēšanas domēnu nevajadzētu uzskatīt par pilnīgu nomnieka drošības politiku vienam pašam.
Ja abiem nomniekiem nepieciešams kopīgs pakalpojums, norādiet apstiprināto ceļu un atļaujas, tā vietā lai vienu nomnieku nevērīgi novirzītu uz otra maršrutēšanas kontekstu. Saglabājiet lietojumprogrammas identitāti un jebkuru apzinātu avota tulkojumu kopā ar tīkla galamērķi, citādi kopīgais pakalpojums vienu nomnieku redzēs kā otru.
Parasta maršrutēta nodošana savieno BIG-IP ar pakalpojumu sniedzēja malas maršrutētāju, nepadarot BIG-IP par MPLS PE. Ja tiešā MPLS vai VPN maršrutu saimes integrācija patiešām ir nepieciešama, iegūstiet skaidru atbalstu konkrētai platformai un laidienam, jo vietējā maršrutēšanas domēna izolācija šo iespēju neizveido.
4. solis: pārbaudiet vienu nomnieku vienlaikus
Pārbaudiet nomnieku A no galapunkta A kontekstā uz A lietojumprogrammas adresi, pēc tam atkārtojiet ar B. Diagnostikā izmantojiet formu %ID, lai pierādītu, kurš konteksts atbildēja, un apstipriniet, ka pieprasījums no nepareizā konteksta neizdodas, nevis nonāk kaut kur ticamā vietā.
Tajā pašā piegājienā pārbaudiet arī pakalpojumu sniedzēja pusi: prefikss ir pareizajā VRF, maršruta mērķi atbilst darba lapai, un atgriešanās ceļš izmanto paredzēto pievienojumu. Ping, kas darbojas no pašas ierīces, pierāda ierīces kontekstu, nevis nomnieka.
Pierakstiet galīgo kartējumu darba lapā, tostarp katra nodalījuma noklusējuma maršrutēšanas domēnu un jebkuru iespējoto vecākdomēna attiecību. Nākamo izmaiņu šajā vidē veiks kāds, kas lasa šo tabulu, nevis kāds, kas lasa šo rakstu.