F5-rutedomen og MPLS-VRF-ar: kartlegg overleveringa av leigetakaren
To leigetakarar, éi adresse, to rutedomen. Fest kvart objekt med %ID, bruk VRF-en og rutemåla til leverandøren, og stadfest kvar leigetakar kvar for seg.
To leigetakarar køyrer den same applikasjonen på 10.50.0.10. Leverandøren held dei fråskilde i eigne MPLS-VPN-ar, og BIG-IP held den lokale trafikken deira i eigne rutedomen. Denne ordninga verkar heilt fram til overleveringa, der eit manglande suffix eller eit kopiert rutemål stille legg pakka frå den eine leigetakaren inn i samanhengen til den andre. Denne runboka knyter dei to modellane saman og sluttar med ein test per leigetakar.
Rekneskjema: éi rad per leigetakar
Fyll dette ut før du endrar noko. Kvart seinare steg viser til ei celle i skjemaet, og ei tom celle er eit vedtak som ingen har gjort enno.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Steg 1: fest kvart objekt til sitt rutedomen
F5s dokumentasjon om rutedomen skildrar isolerte trafikksamanhengar, dupliserte adresser og address%ID-notasjonen for konfigurasjonsobjekt. Ei adresse skriven som 10.50.0.10%2 namngjev den lokale rutedomensamanhengen, og det suffikset er ikkje ei MPLS-etikett som vert boren i IP-pakka til kunden.
Ein VLAN eller ein støtta tunnel høyrer i den dokumenterte modellen til eitt rutedomen, så grensesnittet og adressa må stemme. Undersøk òg standardrutedomenet til den administrative partisjonen, fordi eit utelate suffix ikkje tyder ingen samanheng; det tyder den samanhengen partisjonen nyttar som standard. Den eine standardverdien forklarer dei fleste hendingane der eit nytt objekt stille svara i feil leigetakar. Kontroller det før du legg til ei eiga adresse.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsSteg 2: bruk VRF-en og rutemåla til leverandøren
Ved MPLS-kanten vert leigetakaren identifisert av VRF-en til leverandøren og den avtalte kundarutingstenesta. Rutemåla styrer kva ruter leverandøren importerer og eksporterer mellom VRF-ar, og å velje eit liknande BIG-IP-rutedomennummer skapar ingenting av den relasjonen.
Dei to identifikatorane lever i ulike system og tyder ulike ting. Ein rutedomen-ID er ein lokal samanheng på apparatet. Eit rutemål er eit policy-attributt på leverandørsida som avgjer rutefordelinga, og ein routedistinguisher er endå ein tredje ting, brukt for å halde elles identiske prefiks fråskilde.
Steg 3: avgjer om samanhengar kan dele rekkjevidd
Gå medvite gjennom innstillingane for oppslag i overordna domene og streng isolasjon, fordi dei endrar kva ein samanheng kan nå. F5-rettleiinga tillèt kontrollert videresending gjennom desse relasjonane, og nettopp difor bør eit rutedomen ikkje handsamast åleine som ein fullstendig tryggingspolicy for leigetakaren.
Viss begge leigetakarane treng ei delt teneste, oppgje den godkjende vegen og løyva i staden for å peike den eine leigetakaren tilfeldig mot rutingkonteksten til den andre. Ta vare på applikasjonsidentiteten og kvar medviten kjeldeomsetjing saman med nettverksdestinasjonen, elles vil den delte tenesta sjå den eine leigetakaren som den andre.
Ei vanleg ruta overlevering koplar BIG-IP til ein leverandørkantruter utan å gjere BIG-IP til eit MPLS PE. Viss direkte MPLS- eller VPN-rutefamilieintegrasjon verkeleg er naudsynt, skaff eksplisitt støtte for den nøyaktige plattforma og versjonen, fordi lokal rutedomenisolering ikkje etablerer den eigenskapen.
Steg 4: stadfest éin leigetakar om gongen
Test leigetakar A frå eit endepunkt i samanhengen til A til applikasjonsadressa til A, og gjer det same for B. Bruk forma %ID i diagnostikken slik at du kan prove kva samanheng som svara, og stadfest at ein førespurnad frå feil samanheng feilar i staden for å lande ein stad som verkar truleg.
Kontroller leverandørsida i same gjennomgangen: prefikset finst i rett VRF, rutemåla stemmer med rekneskjemaet, og returvegen nyttar den tiltenkte tilkoplinga. Ein ping som verkar frå sjølve apparatet provar samanhengen til apparatet, ikkje den til leigetakaren.
Noter den endelege kartlegginga i rekneskjemaet, inkludert standardrutedomenet for kvar partisjon og kvar overordna-domenesamanheng du slo på. Den neste endringa i dette miljøet vil bli gjord av nokon som les den tabellen, ikkje av nokon som les denne artikkelen.