Domínios de rota F5 e VRF MPLS: mapear a entrega do inquilino
Dois inquilinos, um endereço, dois domínios de rota. Fixe cada objeto com %ID, use o VRF e os alvos de rota do provedor e verifique cada inquilino separadamente.
Dois inquilinos executam a mesma aplicação em 10.50.0.10. O provedor mantém-nos separados em VPN MPLS distintas, e o BIG-IP mantém o tráfego local de cada um em domínios de rota distintos. Esse arranjo funciona até à entrega, onde um sufixo em falta ou um alvo de rota copiado coloca silenciosamente o pacote de um inquilino no contexto do outro. Este guia liga os dois modelos e termina com um teste por inquilino.
Folha de trabalho: uma linha por inquilino
Preencha-a antes de alterar o que quer que seja. Cada passo posterior refere uma célula da folha, e uma célula vazia é uma decisão que ninguém tomou ainda.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Passo 1: fixar cada objeto ao seu domínio de rota
A documentação dos domínios de rota da F5 descreve contextos de tráfego isolados, endereços duplicados e a notação address%ID para objetos de configuração. Um endereço escrito como 10.50.0.10%2 nomeia o contexto local do domínio de rota, e esse sufixo não é uma etiqueta MPLS transportada no pacote IP do cliente.
Uma VLAN ou um túnel suportado pertence a um único domínio de rota no modelo documentado, pelo que a interface e o endereço têm de coincidir. Inspecione também o domínio de rota predefinido da partição administrativa, porque um sufixo omitido não significa ausência de contexto; significa o contexto que a partição usa por predefinição. Esse único valor predefinido explica a maioria dos incidentes em que um novo objeto respondia silenciosamente no inquilino errado. Verifique-o antes de adicionar um endereço próprio.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsPasso 2: usar o VRF e os alvos de rota do provedor
Na borda MPLS, o inquilino é identificado pelo VRF do provedor e pelo serviço de encaminhamento acordado para o cliente. Os alvos de rota controlam que rotas o provedor importa e exporta entre VRF, e escolher um número de domínio de rota BIG-IP parecido não cria nada dessa relação.
Os dois identificadores vivem em sistemas diferentes e significam coisas diferentes. Um ID de domínio de rota é um contexto local no equipamento. Um alvo de rota é um atributo de política do lado do provedor que decide a distribuição de rotas, e um distinguidor de rota é ainda uma terceira coisa, usada para manter separados prefixos que de outra forma seriam idênticos.
Passo 3: decidir se os contextos podem partilhar alcance
Reveja deliberadamente as definições de pesquisa no domínio pai e de isolamento estrito, porque alteram aquilo a que um contexto pode chegar. O guia da F5 permite o encaminhamento controlado através dessas relações, e é exatamente por isso que um domínio de rota não deve ser tratado sozinho como uma política de segurança completa do inquilino.
Se ambos os inquilinos precisarem de um serviço partilhado, especifique o caminho e as permissões aprovados em vez de apontar casualmente um inquilino para o contexto de encaminhamento do outro. Preserve a identidade da aplicação e qualquer tradução de origem intencional juntamente com o destino de rede, ou o serviço partilhado verá um inquilino como o outro.
Uma entrega encaminhada comum liga o BIG-IP a um router de borda do provedor sem tornar o BIG-IP um PE MPLS. Se a integração direta de MPLS ou da família de rotas VPN for realmente necessária, obtenha suporte explícito para a plataforma e a versão exatas, porque o isolamento local do domínio de rota não estabelece essa capacidade.
Passo 4: verificar um inquilino de cada vez
Teste o inquilino A a partir de um ponto final no contexto de A para o endereço de aplicação de A, e depois repita para B. Use a forma %ID nos diagnósticos para poder provar qual contexto respondeu, e confirme que um pedido do contexto errado falha em vez de aterrar num local plausível.
Verifique o lado do provedor no mesmo passo: o prefixo está no VRF correto, os alvos de rota correspondem à folha de trabalho e o caminho de retorno usa a ligação prevista. Um ping que funciona a partir do próprio equipamento prova o contexto do equipamento, não o do inquilino.
Registe o mapeamento final na folha de trabalho, incluindo o domínio de rota predefinido de cada partição e qualquer relação de domínio pai que tenha ativado. A próxima alteração neste ambiente será feita por alguém que leia essa tabela, não por alguém que leia este artigo.