Domain laluan F5 dan VRF MPLS: petakan penyerahan penyewa
Dua penyewa, satu alamat, dua domain laluan. Pin setiap objek dengan %ID, gunakan VRF dan sasaran laluan penyedia, dan sahkan setiap penyewa secara berasingan.
Dua penyewa menjalankan aplikasi yang sama di 10.50.0.10. Penyedia memisahkan mereka dalam VPN MPLS yang berasingan, dan BIG-IP menyimpan trafik tempatan mereka dalam domain laluan yang berasingan. Susunan itu berfungsi sehingga penyerahan, di mana akhiran yang hilang atau sasaran laluan yang disalin secara senyap meletakkan paket satu penyewa ke dalam konteks penyewa yang lain. Runbook ini memetakan kedua-dua model bersama-sama dan berakhir dengan ujian bagi setiap penyewa.
Lembaran kerja: satu baris bagi setiap penyewa
Isi ini sebelum anda mengubah apa-apa. Setiap langkah seterusnya merujuk kepada sel di dalamnya, dan sel kosong ialah keputusan yang belum dibuat oleh sesiapa.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Langkah 1: pin setiap objek kepada domain laluannya
Dokumentasi domain laluan F5 menerangkan konteks trafik terpencil, alamat pendua dan notasi address%ID untuk objek konfigurasi. Alamat yang ditulis sebagai 10.50.0.10%2 menamakan konteks domain laluan tempatan, dan akhiran itu bukan label MPLS yang dibawa dalam paket IP pelanggan.
VLAN atau terowong yang disokong tergolong dalam satu domain laluan dalam model yang didokumenkan, jadi antara muka dan alamat mesti sepadan. Periksa juga domain laluan lalai partition pentadbiran, kerana akhiran yang ditinggalkan bukan bermakna tiada konteks; ia bermaksud konteks yang digunakan partition secara lalai. Nilai lalai tunggal itu menjelaskan kebanyakan insiden apabila objek baharu menjawab secara senyap kepada penyewa yang salah. Periksanya sebelum anda menambah alamat sendiri.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsLangkah 2: gunakan VRF dan sasaran laluan penyedia
Di tepi MPLS, penyewa dikenal pasti oleh VRF penyedia dan perkhidmatan penghalaan pelanggan yang dipersetujui. Sasaran laluan mengawal laluan mana yang diimport dan dieksport oleh penyedia antara VRF, dan memilih nombor domain laluan BIG-IP yang kelihatan serupa tidak mencipta apa-apa daripada hubungan itu.
Kedua-dua pengecam hidup dalam sistem yang berbeza dan membawa maksud yang berbeza. ID domain laluan ialah konteks tempatan pada perkakas. Sasaran laluan ialah atribut dasar di sebelah penyedia yang menentukan pengagihan laluan, dan pembezal laluan ialah satu lagi perkara ketiga, digunakan untuk memastikan awalan yang sebenarnya serupa kekal berasingan.
Langkah 3: tentukan sama ada konteks boleh berkongsi capaian
Semak tetapan carian domain induk dan pengasingan ketat secara sengaja, kerana ia mengubah apa yang boleh dicapai oleh sesuatu konteks. Panduan F5 membenarkan penghantaran terkawal melalui hubungan itu, dan itulah sebabnya domain laluan tidak sepatutnya dianggap sendiri sebagai dasar keselamatan penyewa yang lengkap.
Jika kedua-dua penyewa memerlukan perkhidmatan dikongsi, nyatakan laluan dan kebenaran yang diluluskan dan bukannya dengan cuai mengarahkan satu penyewa ke konteks penghalaan penyewa yang lain. Kekalkan identiti aplikasi dan sebarang terjemahan sumber yang disengajakan bersama destinasi rangkaian, jika tidak perkhidmatan dikongsi akan melihat satu penyewa sebagai penyewa yang lain.
Penyerahan berpenghalaan biasa menyambungkan BIG-IP ke penghala tepi penyedia tanpa menjadikan BIG-IP sebagai PE MPLS. Jika penyepaduan langsung MPLS atau keluarga laluan VPN benar-benar diperlukan, dapatkan sokongan jelas untuk platform dan keluaran yang tepat, kerana pengasingan domain laluan tempatan tidak membina keupayaan itu.
Langkah 4: sahkan satu penyewa pada satu masa
Uji penyewa A dari titik akhir dalam konteks A ke alamat aplikasi A, kemudian ulangi untuk B. Gunakan bentuk %ID dalam diagnostik supaya anda boleh membuktikan konteks mana yang menjawab, dan sahkan bahawa permintaan daripada konteks yang salah gagal dan bukannya mendarat di tempat yang munasabah.
Periksa bahagian penyedia dalam hantaran yang sama: awalan hadir dalam VRF yang betul, sasaran laluan sepadan dengan lembaran kerja, dan laluan balik menggunakan lampiran yang dimaksudkan. Ping yang berfungsi dari perkakas itu sendiri membuktikan konteks perkakas, bukan konteks penyewa.
Catat pemetaan akhir dalam lembaran kerja, termasuk domain laluan lalai setiap partition dan sebarang hubungan domain induk yang anda dayakan. Perubahan seterusnya pada persekitaran ini akan dilakukan oleh seseorang yang membaca jadual itu, bukan oleh seseorang yang membaca artikel ini.