F5-routedomeinen en MPLS-VRF's: de tenantoverdracht in kaart brengen
Twee tenants, één adres, twee routedomeinen. Zet elk object vast met %ID, gebruik de VRF en route-targets van de provider en verifieer elke tenant afzonderlijk.
Twee tenants draaien dezelfde applicatie op 10.50.0.10. De provider houdt ze gescheiden in aparte MPLS-VPN's, en de BIG-IP houdt hun lokale verkeer in aparte routedomeinen. Die opzet werkt tot aan de overdracht, waar een ontbrekende suffix of een gekopieerde route-target stilletjes het pakket van de ene tenant in de context van de andere plaatst. Deze runbook verbindt de twee modellen en eindigt met een test per tenant.
Werkblad: één rij per tenant
Vul dit in voordat u iets wijzigt. Elke latere stap verwijst naar een cel erin, en een lege cel is een beslissing die nog niemand heeft genomen.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Stap 1: zet elk object vast aan zijn routedomein
De documentatie over routedomeinen van F5 beschrijft geïsoleerde verkeerscontexten, dubbele adressen en de address%ID-notatie voor configuratieobjecten. Een adres geschreven als 10.50.0.10%2 benoemt de lokale routedomeincontext, en die suffix is geen MPLS-label dat in het IP-pakket van de klant wordt meegedragen.
Een VLAN of een ondersteunde tunnel hoort in het gedocumenteerde model bij één routedomein, dus de interface en het adres moeten overeenkomen. Controleer ook het standaard-routedomein van de administratieve partitie, want een weggelaten suffix betekent niet geen context; het betekent de context die de partitie standaard gebruikt. Die ene standaard verklaart de meeste incidenten waarbij een nieuw object stilletjes in de verkeerde tenant antwoordde. Controleer het voordat u een eigen adres toevoegt.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsStap 2: gebruik de VRF en route-targets van de provider
Aan de MPLS-rand wordt de tenant geïdentificeerd door de VRF van de provider en de overeengekomen klantrouteringsdienst. Route-targets bepalen welke routes de provider tussen VRF's importeert en exporteert, en het kiezen van een vergelijkbaar ogend BIG-IP-routedomeinnummer creëert niets van die relatie.
De twee identificaties leven in verschillende systemen en betekenen verschillende dingen. Een routedomein-ID is een lokale context op het apparaat. Een route-target is een beleidsattribuut aan de providerzijde dat de routedistributie bepaalt, en een route distinguisher is nog een derde ding, gebruikt om verder identieke prefixen gescheiden te houden.
Stap 3: beslis of contexten bereikbaarheid mogen delen
Neem de instellingen voor opzoeken in het bovenliggende domein en strikte isolatie bewust door, omdat ze veranderen wat een context kan bereiken. De F5-gids staat gecontroleerde doorsturing via die relaties toe, en juist daarom moet een routedomein niet op zichzelf als een volledig tenant-beveiligingsbeleid worden behandeld.
Als beide tenants een gedeelde dienst nodig hebben, specificeer dan het goedgekeurde pad en de machtigingen in plaats van achteloos de ene tenant naar de routeringscontext van de andere te wijzen. Behoud de applicatie-identiteit en elke bewuste bronvertaling samen met de netwerkbestemming, anders ziet de gedeelde dienst de ene tenant als de andere.
Een gewone gerouteerde overdracht verbindt de BIG-IP met een edge-router van de provider zonder de BIG-IP tot een MPLS PE te maken. Als directe MPLS- of VPN-routefamilie-integratie echt nodig is, vraag dan expliciete ondersteuning voor het exacte platform en de release, want lokale routedomein-isolatie vestigt die mogelijkheid niet.
Stap 4: verifieer één tenant tegelijk
Test tenant A vanaf een eindpunt in de context van A naar het applicatieadres van A, en herhaal daarna voor B. Gebruik de vorm %ID in de diagnostiek zodat u kunt bewijzen welke context antwoordde, en bevestig dat een verzoek uit de verkeerde context mislukt in plaats van ergens plausibel te landen.
Controleer de providerzijde in dezelfde ronde: het prefix staat in de juiste VRF, de route-targets komen overeen met het werkblad, en het retourpad gebruikt de bedoelde aansluiting. Een ping die vanaf het apparaat zelf werkt, bewijst de context van het apparaat, niet die van de tenant.
Leg de definitieve mapping vast in het werkblad, inclusief het standaard-routedomein van elke partitie en elke bovenliggende-domeinrelatie die u hebt ingeschakeld. De volgende wijziging in deze omgeving wordt gedaan door iemand die die tabel leest, niet door iemand die dit artikel leest.