NX-OS EVPN null рута: задржете го отфрлањето во еден закупец

Барањето доаѓа како промена во еден ред: да се блокира една адреса. Додавате рута до домаќин кон Null0 во контекстот на закупецот, префиксот исчезнува од локалната табела како што се очекуваше, и тогаш почнуваат прашањата. Дали рутата го напушти уредот? Дали далечните VTEP отфрлија, или едноставно ја загубија достапноста? Дали сега е зафатен втор закупец?

Правилната локална статичка рута одговара само на првото од тие прашања, затоа промената со blackhole е всушност три прегледани исходи, а не една команда.

Што всушност треба да произведе промената

Започнете со запишување на трите исходи. Предвидениот закупец мора локално да ја отфрли дестинацијата. Само овластената рута смее да се извезе, и ништо друго не смее да патува со неа. Секој примачки VTEP мора да го избере предвиденото дејство на отфрлање, а не друга патека.

Секој исход има свои докази и ниту еден не ги подразбира другите. Локалната Null0 рута произведува локално отфрлање и без прераспределба не извезува ништо. Прераспределената рута без договорената community пристигнува како обичен префикс и се препраќа. Community без политиката за прием може целосно да се игнорира.

Запишувањето на исходите прво ве штити и од честа грешка: промена што изгледа дека работи затоа што дестинацијата веќе била недостапна од неповрзана причина. Ако не можете да опишете како би ги разликувале, тестот за прифаќање сѐ уште не е дизајниран.

Локалната изјава го прави само првиот дел

За NX-OS во линијата 10.4(x), null рутата стои во VRF контекстот на закупецот, а не во една команда што го именува VRF. Фрагментот е краток и тоа решително не е целосна EVPN конфигурација.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Адресата е документациски префикс, а не цел. Забележете ја разликата во синтаксата со IOS, каде името на VRF се појавува во самата команда за рута, и потврдете ја поддржаната форма за изданието што навистина го извршувате пред да залепите нешто.

Сама по себе оваа линија го отфрла сообраќајот за тој домаќин во TENANT_A и не прави ништо друго. Таа не ја означува рутата, не ја избира за BGP и не поставува community. Тоа се одделни конфигурациски одлуки и секоја е место каде промената може да биде или премногу тесна за да работи, или премногу широка за да биде безбедна.

Локалното отфрлање влијае и на легитимниот сообраќај кон истата дестинација. Ако намерата е да се запре еден извор што злоупотребува, додека вистинските корисници сѐ уште ја потребуваат адресата, null рутата е погрешна алатка и тоа ќе го научите од првиот повик до поддршка.

Извозот и увозот се одделни договори

Прераспределбата е местото каде се одлучува опсегот. Ограничете ги подобните префикси на одобреното ублажување, задржете го во закупецот и ограничете ги изворните peer-и на тие од дизајнот. Прераспределба на секоја статичка рута затоа што една означена рута до домаќин треба да патува е начинот на кој промената за одржување станува инцидент во рутирањето.

Community BLACKHOLE е договор за позната вредност, а не овластување за кој било сосед да отфрли која било адреса. RFC 7999 го опишува токму со тие термини, а границата на доверба околу тоа кој смее да го објавува е дел од дизајнот, а не детаљ од имплементацијата.

Примачката страна има потреба од сопствена конфигурација. Во NX-OS, null рутите од тип 5 бараат обработка со route-map на VTEP за да се избере однесувањето на отфрлање, што е документирано заедно со чекорите за извоз. Уред што испраќа и правилно означува и примач што ја игнорира ознаката произведуваат промена што изгледа применета и сепак го препраќа сообраќајот.

Прегледајте ја route-map за несакани ефекти додека сте таму. Новата рестриктивна политика може да потисне легитимна достапност за неповрзани префикси, а таа штета се појавува подоцна од blackhole и потешко се припишува на него.

Напишете го повлекувањето пред вметнувањето

Забележете го сопственикот на дестинацијата, причината, одобрувачот и рокот пред нешто да се конфигурира. Отфрлањето без рок станува траен запис чие потекло никој не го памети, и следниот што ќе ја отстранува грешката на адресата ќе го третира како нормален дел од мрежата.

Одржувајте независна патека за управување што не зависи од рутата што ја менувате. Ако ублажувањето покрива адреса што ја користите за да стигнете до уредот, сте создале заклучување со дополнителни чекори.

Именувајте ја точната контрола што го отстранува ублажувањето и тестирајте го тоа отстранување во лабораторија или во прозорец што можете да си го дозволите. Повлекување што никој не го вежбал е план, а не постапка.

Прифатете со докази, а не со излезот од командата

Проверете ја избраната состојба на рутирањето и состојбата на препраќањето на предвидените VTEP, и проверете соседна дестинација што мора да остане недопрена. Потврдете дека ниту еден друг закупец не го увезе префиксот, бидејќи истекувањето меѓу закупци е режимот на откажување што ја претвора акцијата за одржување во инцидент.

Потоа повлечете и проверете дека нормалната рута и услугата се враќаат. NX-OS EVPN водич за null рути за изданието 10.4(x) го документира означувањето, прераспределбата и политиката за прием опишани овде, и тоа е референцата со која треба да го споредите вашето издание.