Domeny routingu F5 i VRF MPLS: zmapuj przekazanie dzierżawcy

Dwaj dzierżawcy uruchamiają tę samą aplikację pod adresem 10.50.0.10. Dostawca trzyma ich osobno w oddzielnych MPLS VPN, a BIG-IP utrzymuje ich lokalny ruch w oddzielnych domenach routingu. Ten układ działa aż do przekazania, gdzie brakujący sufiks lub skopiowany cel trasy po cichu umieszcza pakiet jednego dzierżawcy w kontekście drugiego. Ten podręcznik łączy oba modele i kończy się testem dla każdego dzierżawcy.

Arkusz: jeden wiersz na dzierżawcę

Wypełnij go, zanim cokolwiek zmienisz. Każdy kolejny krok odwołuje się do komórki w arkuszu, a pusta komórka to decyzja, której jeszcze nikt nie podjął.

Krok 1: przypnij każdy obiekt do jego domeny routingu

Dokumentacja domen routingu F5 opisuje izolowane konteksty ruchu, zduplikowane adresy i notację address%ID dla obiektów konfiguracji. Adres zapisany jako 10.50.0.10%2 nazywa lokalny kontekst domeny routingu, a ten sufiks nie jest etykietą MPLS przenoszoną w pakiecie IP klienta.

VLAN lub obsługiwany tunel należy w udokumentowanym modelu do jednej domeny routingu, więc interfejs i adres muszą się zgadzać. Sprawdź też domyślną domenę routingu partycji administracyjnej, ponieważ pominięty sufiks nie oznacza braku kontekstu; oznacza kontekst, którego partycja używa domyślnie. Ta jedna wartość domyślna wyjaśnia większość incydentów, w których nowy obiekt po cichu odpowiadał w niewłaściwym dzierżawcy. Sprawdź ją, zanim dodasz własny adres.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Krok 2: użyj VRF i celów tras dostawcy

Na krawędzi MPLS dzierżawca jest identyfikowany przez VRF dostawcy i uzgodnioną usługę routingu klienta. Cele tras kontrolują, które trasy dostawca importuje i eksportuje między VRF, a wybór podobnie wyglądającego numeru domeny routingu BIG-IP nie tworzy niczego z tej relacji.

Oba identyfikatory żyją w różnych systemach i znaczą różne rzeczy. ID domeny routingu to lokalny kontekst na urządzeniu. Cel trasy to atrybut polityki po stronie dostawcy, który decyduje o dystrybucji tras, a dystynktor trasy to jeszcze trzecia rzecz, używana do utrzymywania w separacji skądinąd identycznych prefiksów.

Krok 3: zdecyduj, czy konteksty mogą współdzielić osiągalność

Przejrzyj świadomie ustawienia wyszukiwania w domenie nadrzędnej i ścisłej izolacji, ponieważ zmieniają one to, do czego kontekst może dotrzeć. Przewodnik F5 pozwala na kontrolowane przekazywanie przez te relacje i właśnie dlatego nie należy traktować domeny routingu samodzielnie jako pełnej polityki bezpieczeństwa dzierżawcy.

Jeśli obaj dzierżawcy potrzebują wspólnej usługi, wskaż zatwierdzoną ścieżkę i uprawnienia, zamiast od niechcenia kierować jednego dzierżawcę do kontekstu routingu drugiego. Zachowaj tożsamość aplikacji i wszelkie zamierzone tłumaczenie źródła wraz z celem sieciowym, inaczej wspólna usługa zobaczy jednego dzierżawcę jako drugiego.

Zwykłe przekazanie routowane łączy BIG-IP z routerem brzegowym dostawcy bez czynienia z BIG-IP punktu MPLS PE. Jeśli bezpośrednia integracja MPLS lub rodziny tras VPN jest naprawdę potrzebna, uzyskaj wyraźne wsparcie dla dokładnej platformy i wersji, ponieważ lokalna izolacja domeny routingu nie tworzy tej możliwości.

Krok 4: weryfikuj jednego dzierżawcę naraz

Przetestuj dzierżawcę A z punktu końcowego w kontekście A pod adres aplikacji A, a następnie powtórz dla B. Używaj w diagnostyce formy %ID, aby udowodnić, który kontekst odpowiedział, i potwierdź, że żądanie z niewłaściwego kontekstu kończy się niepowodzeniem, zamiast trafiać w wiarygodne miejsce.

Sprawdź stronę dostawcy w tym samym przebiegu: prefiks jest w prawidłowym VRF, cele tras zgadzają się z arkuszem, a ścieżka powrotna używa zamierzonego przyłączenia. Ping działający z samego urządzenia dowodzi kontekstu urządzenia, nie dzierżawcy.

Zapisz końcowe mapowanie w arkuszu, w tym domyślną domenę routingu każdej partycji i każdą włączoną relację domeny nadrzędnej. Następnej zmiany w tym środowisku dokona ktoś, kto czyta tę tabelę, a nie ktoś, kto czyta ten artykuł.