NX-OS EVPN null-rute: hold forkastelsen inne i én tenant

Forespørselen kommer som en endring på én linje: blackhole én adresse. Du legger til en vertsrute til Null0 inne i tenant-konteksten, prefikset forsvinner fra den lokale tabellen som forventet, og så begynner spørsmålene. Forlot ruten boksen? Forkastet de fjerne VTEP-ene, eller mistet de bare nåbarheten? Er en annen tenant nå påvirket?

En korrekt lokal statisk rute svarer bare på det første av disse spørsmålene, og derfor er en blackhole-endring egentlig tre gjennomgåtte utfall og ikke én kommando.

Hva endringen faktisk må produsere

Begynn med å skrive ned de tre utfallene. Den tiltenkte tenanten må forkaste destinasjonen lokalt. Bare den autoriserte ruten kan eksporteres, uten at noe annet blir med. Hver mottakende VTEP må velge den tiltenkte forkastelseshandlingen og ikke en annen vei.

Hvert utfall har sine egne bevis, og ingen av dem forutsetter de andre. En lokal Null0-rute gir lokal forkastelse og eksporterer uten redistribusjon ingenting i det hele tatt. En redistribuert rute uten den avtalte communityen kommer inn som et vanlig prefiks og blir videresendt. En community uten mottakspolicyen kan bli fullstendig ignorert.

Å skrive utfallene først beskytter deg også mot en vanlig feil: en endring som ser ut til å virke fordi destinasjonen allerede var unåbar av en urelatert grunn. Hvis du ikke kan beskrive hvordan du ville skille dem, er akseptansetesten ennå ikke designet.

Den lokale setningen gjør bare den første delen

For NX-OS i 10.4(x)-serien ligger null-ruten inne i tenantens VRF-kontekst og ikke i én kommando som navngir VRF-en. Fragmentet er kort, og det er bestemt ikke en fullstendig EVPN-konfigurasjon.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adressen er et dokumentasjonsprefiks, ikke et mål. Legg merke til syntaksforskjellen fra IOS, der VRF-navnet vises inne i selve rute-kommandoen, og bekreft den støttede formen for versjonen du faktisk kjører før du limer inn noe.

Alene forkaster denne linjen trafikk for den verten inne i TENANT_A og gjør ingenting annet. Den tagger ikke ruten, velger den ikke for BGP og setter ikke en community. Det er separate konfigurasjonsbeslutninger, og hver av dem er et sted der endringen kan være enten for smal til å virke eller for bred til å være trygg.

Den lokale forkastelsen påvirker også legitim trafikk til samme destinasjon. Hvis hensikten er å stoppe én misbrukende kilde mens ekte brukere fortsatt trenger adressen, er en null-rute feil verktøy, og det lærer du ved den første supporthenvendelsen.

Eksport og import er separate avtaler

Redistribusjon er der omfanget bestemmes. Begrens de kvalifiserte prefiksene til den godkjente avbøtningen, hold den inne i tenanten, og begrens de opprinnelige peerne til dem i designet. Å redistribuere hver statisk rute fordi én tagget vertsrute må reise, er hvordan en vedlikeholdsendring blir en rutingshendelse.

BLACKHOLE-communityen er en avtale om en velkjent verdi, ikke en autorisasjon for enhver nabo til å forkaste enhver adresse. RFC 7999 beskriver den i de termene, og tillitsgrensen rundt hvem som kan annonsere den er en del av designet og ikke en implementasjonsdetalj.

Den mottakende siden trenger sin egen konfigurasjon. På NX-OS krever Type 5 null-ruter route-map-behandling på VTEP-en for å velge forkastelsesatferden, noe som er dokumentert sammen med eksporttrinnene. En sendende enhet som tagger riktig, og en mottaker som ignorerer taggen, gir en endring som ser ut som den er anvendt og likevel videresender trafikk.

Gå gjennom route-mapen for bivirkninger mens du er der. En ny restriktiv policy kan undertrykke legitim nåbarhet for urelaterte prefikser, og den skaden viser seg senere enn blackholen og er vanskeligere å tilskrive den.

Skriv tilbaketrekkingen før innsettingen

Registrer destinasjonens eier, årsaken, godkjenneren og en utløpsdato før noe konfigureres. En forkastelse uten utløp blir en permanent oppføring som ingen husker opphavet til, og den neste som feilsøker adressen vil behandle den som en normal del av nettverket.

Hold en uavhengig administrasjonsvei som ikke avhenger av ruten du endrer. Hvis avbøtningen dekker en adresse du bruker for å nå enheten, har du skapt en utelåsing med ekstra trinn.

Navngi den nøyaktige kontrollen som fjerner avbøtningen, og test den fjerningen i et laboratorium eller i et vindu du har råd til. En tilbaketrekking ingen har øvd på, er en plan og ikke en prosedyre.

Godta med bevis, ikke med kommandoens utdata

Kontroller den valgte rutingtilstanden og videresendingstilstanden på de tiltenkte VTEP-ene, og kontroller en nabodestinasjon som må forbli upåvirket. Bekreft at ingen annen tenant har importert prefikset, fordi lekkasje mellom tenants er feilmodusen som gjør en vedlikeholdshandling til en hendelse.

Trekk deretter tilbake, og verifiser at den normale ruten og tjenesten kommer tilbake. NX-OS EVPN-veiledningen for null-ruter for 10.4(x)-versjonen dokumenterer tagningen, redistribusjonen og mottakspolicyen som er beskrevet her, og den er referansen å holde opp mot din egen versjon.