F5 റൂട്ട് ഡൊമെയ്നുകളും MPLS VRF-കളും: ടെനന്റ് ഹാൻഡ്ഓഫ് മാപ്പ് ചെയ്യുക
രണ്ട് ടെനന്റുകൾ, ഒരു വിലാസം, രണ്ട് റൂട്ട് ഡൊമെയ്നുകൾ. ഓരോ ഒബ്ജക്റ്റും %ID ഉപയോഗിച്ച് പിൻ ചെയ്യുക, പ്രൊവൈഡറുടെ VRF-ഉം റൂട്ട് ടാർഗെറ്റുകളും ഉപയോഗിക്കുക, ഓരോ ടെനന്റും വെവ്വേറെ പരിശോധിക്കുക.
രണ്ട് ടെനന്റുകളും 10.50.0.10-ൽ ഒരേ അപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കുന്നു. പ്രൊവൈഡർ അവയെ വെവ്വേറെ MPLS VPN-കളിൽ വേർതിരിച്ച് നിർത്തുന്നു, BIG-IP അവരുടെ പ്രാദേശിക ട്രാഫിക് വെവ്വേറെ റൂട്ട് ഡൊമെയ്നുകളിൽ സൂക്ഷിക്കുന്നു. ഈ ക്രമീകരണം ഹാൻഡ്ഓഫ് വരെ പ്രവർത്തിക്കുന്നു; അവിടെ ഒരു സഫിക്സ് കാണാതിരിക്കുകയോ ഒരു റൂട്ട് ടാർഗെറ്റ് പകർത്തുകയോ ചെയ്യുമ്പോൾ ഒരു ടെനന്റിന്റെ പാക്കറ്റ് നിശ്ശബ്ദമായി മറ്റൊരു ടെനന്റിന്റെ സന്ദർഭത്തിലേക്ക് പോകുന്നു. ഈ റൺബുക്ക് രണ്ട് മോഡലുകളും ഒരുമിച്ച് മാപ്പ് ചെയ്ത് ഓരോ ടെനന്റിന്റെയും പരിശോധനയിൽ അവസാനിക്കുന്നു.
വർക്ക്ഷീറ്റ്: ഓരോ ടെനന്റിനും ഒരു വരി
എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ഇത് പൂരിപ്പിക്കുക. തുടർന്നുള്ള ഓരോ ഘട്ടവും ഇതിലെ ഒരു സെല്ലിനെ സൂചിപ്പിക്കുന്നു, ശൂന്യമായ സെൽ ഇതുവരെ ആരും എടുക്കാത്ത ഒരു തീരുമാനമാണ്.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
ഘട്ടം 1: ഓരോ ഒബ്ജക്റ്റിനെയും അതിന്റെ റൂട്ട് ഡൊമെയ്നിലേക്ക് പിൻ ചെയ്യുക
F5-ന്റെ റൂട്ട് ഡൊമെയ്ൻ ഡോക്യുമെന്റേഷൻ വേർതിരിച്ച ട്രാഫിക് സന്ദർഭങ്ങൾ, തനിപ്പകർപ്പ് വിലാസങ്ങൾ, കോൺഫിഗറേഷൻ ഒബ്ജക്റ്റുകൾക്കുള്ള address%ID നൊട്ടേഷൻ എന്നിവ വിവരിക്കുന്നു. 10.50.0.10%2 എന്ന് എഴുതിയ വിലാസം പ്രാദേശിക റൂട്ട് ഡൊമെയ്ൻ സന്ദർഭത്തെ പേരിടുന്നു, ആ സഫിക്സ് ഉപഭോക്താവിന്റെ IP പാക്കറ്റിൽ കൊണ്ടുപോകുന്ന MPLS ലേബലല്ല.
ഡോക്യുമെന്റ് ചെയ്ത മോഡലിൽ VLAN അല്ലെങ്കിൽ പിന്തുണയ്ക്കുന്ന ടണൽ ഒരു റൂട്ട് ഡൊമെയ്നിൽ ഉൾപ്പെടുന്നു, അതിനാൽ ഇന്റർഫേസും വിലാസവും പൊരുത്തപ്പെടണം. അഡ്മിനിസ്ട്രേറ്റീവ് പാർട്ടീഷന്റെ ഡിഫോൾട്ട് റൂട്ട് ഡൊമെയ്നും പരിശോധിക്കുക, കാരണം ഒഴിവാക്കിയ സഫിക്സ് സന്ദർഭമില്ല എന്നല്ല അർത്ഥമാക്കുന്നത്; പാർട്ടീഷൻ ഡിഫോൾട്ടായി ഉപയോഗിക്കുന്ന സന്ദർഭത്തെയാണ് അത് അർത്ഥമാക്കുന്നത്. ആ ഒറ്റ ഡിഫോൾട്ടാണ് പുതിയ ഒബ്ജക്റ്റ് നിശ്ശബ്ദമായി തെറ്റായ ടെനന്റിൽ ഉത്തരം നൽകിയ മിക്ക സംഭവങ്ങളും വിശദീകരിക്കുന്നത്. സ്വന്തം വിലാസം ചേർക്കുന്നതിന് മുമ്പ് അത് പരിശോധിക്കുക.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsഘട്ടം 2: പ്രൊവൈഡറുടെ VRF-ഉം റൂട്ട് ടാർഗെറ്റുകളും ഉപയോഗിക്കുക
MPLS അറ്റത്ത് ടെനന്റിനെ പ്രൊവൈഡറുടെ VRF-ഉം അംഗീകരിച്ച ഉപഭോക്തൃ റൂട്ടിംഗ് സേവനവും തിരിച്ചറിയുന്നു. ഏത് റൂട്ടുകൾ VRF-കൾക്കിടയിൽ പ്രൊവൈഡർ ഇറക്കുമതി ചെയ്യുന്നു, കയറ്റുമതി ചെയ്യുന്നു എന്ന് റൂട്ട് ടാർഗെറ്റുകൾ നിയന്ത്രിക്കുന്നു; സമാനമായി കാണുന്ന ഒരു BIG-IP റൂട്ട് ഡൊമെയ്ൻ നമ്പർ തിരഞ്ഞെടുക്കുന്നത് ആ ബന്ധത്തിൽ നിന്ന് ഒന്നും സൃഷ്ടിക്കുന്നില്ല.
രണ്ട് ഐഡന്റിഫയറുകളും വ്യത്യസ്ത സിസ്റ്റങ്ങളിൽ ജീവിക്കുന്നു, വ്യത്യസ്ത കാര്യങ്ങൾ അർത്ഥമാക്കുന്നു. റൂട്ട് ഡൊമെയ്ൻ ID ഉപകരണത്തിലെ പ്രാദേശിക സന്ദർഭമാണ്. റൂട്ട് ടാർഗെറ്റ് റൂട്ട് വിതരണം തീരുമാനിക്കുന്ന പ്രൊവൈഡർ ഭാഗത്തെ പോളിസി സവിശേഷതയാണ്, റൂട്ട് ഡിസ്റ്റിംഗ്വിഷർ ഇനിയും മൂന്നാമത്തെ ഒരു കാര്യമാണ്, മറ്റൊരു രീതിയിൽ സമാനമായ പ്രിഫിക്സുകൾ വേർതിരിച്ച് നിർത്താൻ അത് ഉപയോഗിക്കുന്നു.
ഘട്ടം 3: സന്ദർഭങ്ങൾക്ക് പ്രാപ്യത പങ്കിടാമോ എന്ന് തീരുമാനിക്കുക
മാതൃ-ഡൊമെയ്ൻ ലുക്കപ്പും കർശനമായ വേർതിരിവിന്റെ ക്രമീകരണങ്ങളും ബോധപൂർവം പരിശോധിക്കുക, കാരണം അവ ഒരു സന്ദർഭത്തിന് എത്താനാകുന്നത് മാറ്റുന്നു. F5 ഗൈഡ് ആ ബന്ധങ്ങളിലൂടെ നിയന്ത്രിത ഫോർവേഡിംഗ് അനുവദിക്കുന്നു, അതുകൊണ്ടുതന്നെ ഒരു റൂട്ട് ഡൊമെയ്നിനെ ഒറ്റയ്ക്ക് പൂർണമായ ടെനന്റ് സുരക്ഷാ നയമായി കാണരുത്.
രണ്ട് ടെനന്റുകൾക്കും പങ്കിട്ട സേവനം വേണമെങ്കിൽ, ഒരു ടെനന്റിനെ മറ്റൊന്നിന്റെ റൂട്ടിംഗ് സന്ദർഭത്തിലേക്ക് അശ്രദ്ധമായി ചൂണ്ടുന്നതിന് പകരം അംഗീകൃത പാതയും അനുമതികളും വ്യക്തമാക്കുക. അപ്ലിക്കേഷൻ ഐഡന്റിറ്റിയും ബോധപൂർവമുള്ള ഉറവിട വിവർത്തനവും നെറ്റ്വർക്ക് ലക്ഷ്യസ്ഥാനത്തോടൊപ്പം സംരക്ഷിക്കുക, അല്ലെങ്കിൽ പങ്കിട്ട സേവനം ഒരു ടെനന്റിനെ മറ്റൊന്നായി കാണും.
സാധാരണ റൂട്ടഡ് ഹാൻഡ്ഓഫ് BIG-IP-യെ MPLS PE ആക്കാതെ പ്രൊവൈഡറുടെ എഡ്ജ് റൗട്ടറുമായി ബന്ധിപ്പിക്കുന്നു. MPLS അല്ലെങ്കിൽ VPN റൂട്ട് കുടുംബത്തിന്റെ നേരിട്ടുള്ള സംയോജനം യഥാർത്ഥത്തിൽ ആവശ്യമാണെങ്കിൽ, കൃത്യമായ പ്ലാറ്റ്ഫോമിനും റിലീസിനും വ്യക്തമായ പിന്തുണ നേടുക, കാരണം പ്രാദേശിക റൂട്ട് ഡൊമെയ്ൻ വേർതിരിവ് ആ കഴിവ് സ്ഥാപിക്കുന്നില്ല.
ഘട്ടം 4: ഒരു സമയത്ത് ഒരു ടെനന്റ് പരിശോധിക്കുക
ടെനന്റ് A യെ A യുടെ സന്ദർഭത്തിലെ എൻഡ്പോയിന്റിൽ നിന്ന് A യുടെ അപ്ലിക്കേഷൻ വിലാസത്തിലേക്ക് പരിശോധിക്കുക, തുടർന്ന് B യ്ക്കും ആവർത്തിക്കുക. ഏത് സന്ദർഭം ഉത്തരം നൽകി എന്ന് തെളിയിക്കാൻ ഡയഗ്നോസ്റ്റിക്സിൽ %ID രൂപം ഉപയോഗിക്കുക, തെറ്റായ സന്ദർഭത്തിൽ നിന്നുള്ള അഭ്യർത്ഥന വിശ്വസനീയമായ എവിടെയെങ്കിലും ഇറങ്ങുന്നതിന് പകരം പരാജയപ്പെടുന്നുവെന്ന് ഉറപ്പാക്കുക.
അതേ ഘട്ടത്തിൽ പ്രൊവൈഡർ ഭാഗവും പരിശോധിക്കുക: പ്രിഫിക്സ് ശരിയായ VRF-ൽ ഉണ്ട്, റൂട്ട് ടാർഗെറ്റുകൾ വർക്ക്ഷീറ്റുമായി യോജിക്കുന്നു, തിരിച്ചുള്ള പാത ഉദ്ദേശിച്ച അറ്റാച്ച്മെന്റ് ഉപയോഗിക്കുന്നു. ഉപകരണത്തിൽ നിന്നുതന്നെ പ്രവർത്തിക്കുന്ന ഒരു ping ഉപകരണത്തിന്റെ സന്ദർഭം തെളിയിക്കുന്നു, ടെനന്റിന്റേതല്ല.
അന്തിമ മാപ്പിംഗ് വർക്ക്ഷീറ്റിൽ രേഖപ്പെടുത്തുക, ഓരോ പാർട്ടീഷന്റെയും ഡിഫോൾട്ട് റൂട്ട് ഡൊമെയ്നും നിങ്ങൾ പ്രവർത്തനക്ഷമമാക്കിയ ഏതെങ്കിലും മാതൃ-ഡൊമെയ്ൻ ബന്ധവും ഉൾപ്പെടെ. ഈ പരിസ്ഥിതിയിലെ അടുത്ത മാറ്റം ആ പട്ടിക വായിക്കുന്നയാൾ ചെയ്യും, ഈ ലേഖനം വായിക്കുന്നയാളല്ല.