NX-OS EVPN null-rute: hald forkastinga inne i ein tenant

Førespurnaden kjem som ei endring på éi linje: blackhole éi adresse. Du legg til ei vertsrute til Null0 inne i tenant-konteksten, prefikset forsvinn frå den lokale tabellen som venta, og så byrjar spørsmåla. Forlét ruta boksen? Forkasta dei fjerne VTEP-ane, eller mista dei berre nåbarheita? Er ein annan tenant no påverka?

Ei korrekt lokal statisk rute svarar berre på det første av desse spørsmåla, og difor er ei blackhole-endring eigentleg tre gjennomgåtte utfall og ikkje éin kommando.

Kva endringa faktisk må produsere

Byrj med å skrive ned dei tre utfalla. Den tiltenkte tenanten må forkaste destinasjonen lokalt. Berre den autoriserte ruta kan eksporterast, utan at noko anna blir med. Kvar mottakande VTEP må velje den tiltenkte forkastingshandlinga og ikkje ein annan veg.

Kvart utfall har sine eigne prov, og ingen av dei føreset dei andre. Ei lokal Null0-rute gir lokal forkasting og eksporterer utan redistribusjon ingenting i det heile. Ei redistribuert rute utan den avtalte communityen kjem inn som eit vanleg prefiks og blir vidaresend. Ein community utan mottakspolitikken kan bli fullstendig ignorert.

Å skrive utfalla først verner deg òg mot ein vanleg feil: ei endring som ser ut til å verke fordi destinasjonen alt var unåbar av ein urelatert grunn. Viss du ikkje kan skildre korleis du ville skilje dei, er akseptansetesten enno ikkje utforma.

Den lokale setninga gjer berre den første delen

For NX-OS i 10.4(x)-serien ligg null-ruta inne i VRF-konteksten til tenanten og ikkje i éin kommando som namngir VRF-en. Fragmentet er kort, og det er bestemt ikkje ein fullstendig EVPN-konfigurasjon.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adressa er eit dokumentasjonsprefiks, ikkje eit mål. Legg merke til syntaksforskjellen frå IOS, der VRF-namnet viser seg inne i sjølve rute-kommandoen, og stadfest den støtta forma for versjonen du faktisk køyrer før du limer inn noko.

Åleine forkastar denne linja trafikk for den verten inne i TENANT_A og gjer ingenting anna. Ho taggar ikkje ruta, vel ho ikkje for BGP og set ikkje ein community. Det er separate konfigurasjonsavgjerder, og kvar av dei er ein stad der endringa kan vere anten for smal til å verke eller for brei til å vere trygg.

Den lokale forkastinga påverkar òg legitim trafikk til same destinasjon. Viss føremålet er å stoppe éi misbrukande kjelde medan ekte brukarar framleis treng adressa, er ei null-rute feil verktøy, og det lærer du ved den første støttehenvendinga.

Eksport og import er separate avtalar

Redistribusjon er der omfanget blir bestemt. Avgrens dei kvalifiserte prefiksa til den godkjende avbøtinga, hald henne inne i tenanten, og avgrens dei opphavlege peerane til dei i designet. Å redistribuere kvar statisk rute fordi éi tagga vertsrute må reise, er korleis ei vedlikehaldsendring blir ei rutingshending.

BLACKHOLE-communityen er ein avtale om ein velkjend verdi, ikkje ein autorisasjon for kvar nabo til å forkaste kvar adresse. RFC 7999 skildrar han i dei termane, og tillitsgrensa rundt kven som kan annonsere han er ein del av designet og ikkje ein implementasjonsdetalj.

Den mottakande sida treng sin eigen konfigurasjon. På NX-OS krev Type 5 null-ruter route-map-handsaming på VTEP-en for å velje forkastingsåtferda, noko som er dokumentert saman med eksporttrinna. Ein sendande eining som taggar rett, og ein mottakar som ignorerer taggen, gir ei endring som ser ut som ho er brukt og likevel vidaresend trafikk.

Gå gjennom route-mapen for biverknader medan du er der. Ein ny restriktiv politikk kan undertrykkje legitim nåbarheit for urelaterte prefiks, og den skaden viser seg seinare enn blackholen og er vanskelegare å tilskrive han.

Skriv tilbaketrekkinga før innsetjinga

Registrer eigaren av destinasjonen, årsaka, godkjennaren og ein utløpsdato før noko blir konfigurert. Ei forkasting utan utløp blir ein permanent oppføring som ingen hugsar opphavet til, og den neste som feilsøkjer adressa vil handsame henne som ein normal del av nettverket.

Hald ein uavhengig administrasjonsveg som ikkje er avhengig av ruta du endrar. Viss avbøtinga dekkjer ei adresse du brukar for å nå eininga, har du skapt ei utelåsing med ekstra trinn.

Namngi den nøyaktige kontrollen som fjernar avbøtinga, og test den fjerninga i eit laboratorium eller i eit vindauge du har råd til. Ei tilbaketrekking ingen har øvd på, er ein plan og ikkje ein prosedyre.

Godta med prov, ikkje med utdata frå kommandoen

Kontroller den valde rutetilstanden og vidaresendingstilstanden på dei tiltenkte VTEP-ane, og kontroller ein nabodestinasjon som må halde fram med å vere upåverka. Stadfest at ingen annan tenant har importert prefikset, fordi lekkasje mellom tenantar er feilmodusen som gjer ei vedlikehaldshandling til ei hending.

Trekk deretter tilbake, og verifiser at den normale ruta og tenesta kjem tilbake. NX-OS EVPN-vegvisaren for null-ruter for 10.4(x)-versjonen dokumenterer tagginga, redistribusjonen og mottakspolitikken som er skildra her, og han er referansen å halde opp mot din eigen versjon.