F5 रुट डोमेन र MPLS VRF: टेनेन्ट ह्यान्डअफ म्याप गर्नुहोस्
दुई टेनेन्ट, एउटा ठेगाना, दुई रुट डोमेन। प्रत्येक वस्तुलाई %ID ले पिन गर्नुहोस्, प्रदायकको VRF र रुट टार्गेट प्रयोग गर्नुहोस् र प्रत्येक टेनेन्ट अलग जाँच गर्नुहोस्।
दुवै टेनेन्टले 10.50.0.10 मा एउटै अनुप्रयोग चलाउँछन्। प्रदायकले तिनीहरूलाई छुट्टाछुट्टै MPLS VPN मा अलग राख्छ, र BIG-IP ले तिनीहरूको स्थानीय ट्राफिक छुट्टाछुट्टै रुट डोमेनमा राख्छ। यो व्यवस्था ह्यान्डअफसम्म काम गर्छ, जहाँ हराएको सफिक्स वा प्रतिलिपि गरिएको रुट-टार्गेटले एउटा टेनेन्टको प्याकेट चुपचाप अर्को टेनेन्टको सन्दर्भमा राखिदिन्छ। यो पुस्तिकाले दुईवटा मोडेल सँगै म्याप गर्छ र प्रत्येक टेनेन्टको परीक्षणमा टुंगिन्छ।
कार्यपत्र: प्रत्येक टेनेन्टको लागि एक पङ्क्ति
केही परिवर्तन गर्नु अघि यो भर्नुहोस्। प्रत्येक पछिल्लो चरणले यसमा भएको एउटा कक्षलाई सन्दर्भ गर्छ, र खाली कक्ष भनेको अझै कसैले नगरेको निर्णय हो।
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
चरण 1: प्रत्येक वस्तुलाई यसको रुट डोमेनमा पिन गर्नुहोस्
F5 को रुट-डोमेन कागजात ले अलग गरिएका ट्राफिक सन्दर्भ, दोहोरिएका ठेगाना र कन्फिगरेसन वस्तुहरूका लागि address%ID सङ्केतनको वर्णन गर्छ। 10.50.0.10%2 का रूपमा लेखिएको ठेगानाले स्थानीय रुट-डोमेन सन्दर्भको नाम राख्छ, र त्यो सफिक्स ग्राहकको IP प्याकेटमा बोकिने MPLS लेबल होइन।
कागजात गरिएको मोडेलमा VLAN वा समर्थित टनेल एउटै रुट डोमेनमा पर्छ, त्यसैले इन्टरफेस र ठेगाना मिल्नुपर्छ। प्रशासनिक विभाजनको पूर्वनिर्धारित रुट डोमेन पनि जाँच्नुहोस्, किनकि छोडिएको सफिक्सको अर्थ सन्दर्भ छैन भन्ने होइन; यसको अर्थ विभाजनले पूर्वनिर्धारित रूपमा प्रयोग गर्ने सन्दर्भ हो। त्यही एउटा पूर्वनिर्धारितले नयाँ वस्तुले चुपचाप गलत टेनेन्टमा जवाफ दिएका अधिकांश घटना व्याख्या गर्छ। आफ्नै ठेगाना थप्नु अघि यो जाँच्नुहोस्।
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsचरण 2: प्रदायकको VRF र रुट टार्गेट प्रयोग गर्नुहोस्
MPLS किनारामा टेनेन्ट पहिचान प्रदायकको VRF र सहमत ग्राहक रुटिङ सेवाद्वारा हुन्छ। रुट टार्गेटले प्रदायकले VRF बीच कुन रुट आयात र निर्यात गर्छ भन्ने नियन्त्रण गर्छ, र मिल्दो-जुल्दो BIG-IP रुट-डोमेन नम्बर छान्दा त्यो सम्बन्धबाट केही पनि बन्दैन।
दुवै पहिचानकर्ता फरक प्रणालीमा बस्छन् र फरक अर्थ राख्छन्। रुट-डोमेन ID उपकरणमा स्थानीय सन्दर्भ हो। रुट टार्गेट रुट वितरण निर्धारण गर्ने प्रदायक-पक्षको नीति विशेषता हो, र रुट डिस्टिङ्ग्विशर अझै तेस्रो कुरा हो, जुन अन्यथा समान प्रिफिक्सहरू अलग राख्न प्रयोग गरिन्छ।
चरण 3: सन्दर्भहरूले पहुँच साझा गर्न सक्छन् कि भन्ने निर्णय गर्नुहोस्
अभिभावक-डोमेन खोज र कडा अलगावका सेटिङहरू जानाजानी समीक्षा गर्नुहोस्, किनकि तिनले सन्दर्भले कहाँसम्म पुग्न सक्छ भन्ने परिवर्तन गर्छन्। F5 मार्गदर्शिकाले ती सम्बन्धहरूमार्फत नियन्त्रित फर्वार्डिङलाई अनुमति दिन्छ, र त्यसैकारण रुट डोमेनलाई एक्लै पूर्ण टेनेन्ट-सुरक्षा नीति मान्नु हुँदैन।
यदि दुवै टेनेन्टलाई साझा सेवा चाहिन्छ भने, एउटा टेनेन्टलाई लापरवाहीपूर्वक अर्कोको रुटिङ सन्दर्भतर्फ देखाउनुको सट्टा स्वीकृत मार्ग र अनुमतिहरू निर्दिष्ट गर्नुहोस्। अनुप्रयोग पहिचान र कुनै पनि जानाजानी स्रोत अनुवादलाई सञ्जाल गन्तव्यसँगै सुरक्षित राख्नुहोस्, नत्र साझा सेवाले एउटा टेनेन्टलाई अर्को देख्नेछ।
सामान्य रुटेड ह्यान्डअफले BIG-IP लाई MPLS PE नबनाई प्रदायकको किनारा राउटरसँग जोड्छ। यदि सिधा MPLS वा VPN रुट-परिवार एकीकरण साँच्चै आवश्यक छ भने, सही प्लेटफर्म र रिलिजका लागि स्पष्ट समर्थन लिनुहोस्, किनकि स्थानीय रुट-डोमेन अलगावले त्यो क्षमता स्थापित गर्दैन।
चरण 4: एक पटकमा एक टेनेन्ट जाँच्नुहोस्
A टेनेन्टलाई A को सन्दर्भमा रहेको एन्डपोइन्टबाट A को अनुप्रयोग ठेगानासम्म परीक्षण गर्नुहोस्, त्यसपछि B का लागि दोहोर्याउनुहोस्। कुन सन्दर्भले जवाफ दियो भनी प्रमाणित गर्न डायग्नोस्टिक्समा %ID ढाँचा प्रयोग गर्नुहोस्, र गलत सन्दर्भबाट आएको अनुरोध कुनै विश्वसनीय ठाउँमा अवतरण हुनुको सट्टा असफल हुन्छ भनी पुष्टि गर्नुहोस्।
त्यही चरणमा प्रदायक पक्ष पनि जाँच्नुहोस्: प्रिफिक्स सही VRF मा छ, रुट टार्गेट कार्यपत्रसँग मिल्छ, र फिर्ता मार्गले इच्छित जडान प्रयोग गर्छ। उपकरणबाटै चल्ने ping ले उपकरणको सन्दर्भ प्रमाणित गर्छ, टेनेन्टको होइन।
अन्तिम म्यापिङ कार्यपत्रमा लेख्नुहोस्, प्रत्येक विभाजनको पूर्वनिर्धारित रुट डोमेन र तपाईंले सक्षम गर्नुभएको कुनै पनि अभिभावक-डोमेन सम्बन्ध सहित। यो वातावरणमा अर्को परिवर्तन त्यो तालिका पढ्ने व्यक्तिले गर्नेछ, यो लेख पढ्ने व्यक्तिले होइन।