Rută nulă în NX-OS EVPN: păstrează eliminarea într-un singur chiriaș

Cererea vine ca o modificare de o singură linie: blochează o adresă. Adaugi o rută de gazdă către Null0 în contextul chiriașului, prefixul dispare din tabela locală așa cum era de așteptat, iar apoi încep întrebările. A plecat ruta din echipament? VTEP-urile îndepărtate au eliminat, sau au pierdut pur și simplu accesibilitatea? Este acum afectat un al doilea chiriaș?

O rută statică locală corectă răspunde doar la prima dintre aceste întrebări, motiv pentru care o modificare de tip blackhole este de fapt trei rezultate revizuite și nu o singură comandă.

Ce trebuie să producă de fapt modificarea

Începe prin a scrie cele trei rezultate. Chiriașul vizat trebuie să elimine destinația local. Doar ruta autorizată poate fi exportată, fără ca altceva să călătorească împreună cu ea. Fiecare VTEP care primește trebuie să selecteze acțiunea de eliminare dorită, nu o altă cale.

Fiecare rezultat are propriile dovezi și niciunul nu le implică pe celelalte. O rută Null0 locală produce eliminare locală și, fără redistribuire, nu exportă absolut nimic. O rută redistribuită fără community-ul convenit ajunge ca un prefix obișnuit și este forwardată. Un community fără politica de recepție poate fi ignorat complet.

Scrierea rezultatelor mai întâi te protejează și de o eroare frecventă: o modificare care pare să funcționeze pentru că destinația era deja inaccesibilă dintr-un motiv nelegat. Dacă nu poți descrie cum ai distinge cele două, testul de acceptare nu este încă proiectat.

Instrucțiunea locală face doar prima parte

Pentru NX-OS din seria 10.4(x), ruta nulă se află în contextul VRF al chiriașului și nu într-o singură comandă care numește VRF-ul. Fragmentul este scurt și nu este deloc o configurație EVPN completă.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresa este un prefix de documentație, nu o țintă. Observă diferența de sintaxă față de IOS, unde numele VRF-ului apare în interiorul comenzii de rută, și confirmă forma acceptată pentru versiunea pe care o rulezi efectiv înainte de a lipi ceva.

Singură, această linie elimină traficul către acea gazdă în TENANT_A și nu face nimic altceva. Nu marchează ruta, nu o selectează pentru BGP și nu setează un community. Sunt decizii de configurare separate, iar fiecare este un loc unde modificarea poate fi fie prea îngustă ca să funcționeze, fie prea largă ca să fie sigură.

Eliminarea locală afectează și traficul legitim către aceeași destinație. Dacă intenția este să oprești o singură sursă abuzivă în timp ce utilizatorii reali au încă nevoie de adresă, o rută nulă este instrumentul greșit și vei afla asta la primul apel de suport.

Exportul și importul sunt acorduri separate

Redistribuirea este locul unde se decide amploarea. Restrânge prefixele eligibile la măsura aprobată, păstreaz-o în interiorul chiriașului și limitează peerii de origine la cei din proiect. Redistribuirea fiecărei rute statice pentru că o rută de gazdă marcată trebuie să călătorească este modul în care o modificare de mentenanță devine un incident de rutare.

Community-ul BLACKHOLE este un acord despre o valoare bine cunoscută, nu o autorizare pentru orice vecin să elimine orice adresă. RFC 7999 îl descrie în acești termeni, iar granița de încredere privind cine îl poate anunța face parte din proiect și nu este un detaliu de implementare.

Partea care primește are nevoie de propria configurație. În NX-OS, rutele nule de tip 5 necesită tratare cu route-map pe VTEP pentru a selecta comportamentul de eliminare, ceea ce este documentat împreună cu pașii de export. Un echipament care trimite și marchează corect și un receptor care ignoră marcajul produc o modificare care pare aplicată și care totuși forwardează traficul.

Revizuiește route-map-ul pentru efecte secundare cât timp ești acolo. O politică nou restrictivă poate suprima accesibilitatea legitimă pentru prefixe nelegate, iar acea daună apare mai târziu decât blackhole-ul și este mai greu de atribuit acestuia.

Scrie retragerea înainte de inserare

Înregistrează proprietarul destinației, motivul, aprobatorul și o dată de expirare înainte de a configura ceva. O eliminare fără expirare devine o intrare permanentă a cărei origine nimeni nu și-o amintește, iar următoarea persoană care va depana adresa o va trata ca pe o parte normală a rețelei.

Păstrează o cale de administrare independentă care nu depinde de ruta pe care o modifici. Dacă măsura acoperă o adresă pe care o folosești pentru a ajunge la echipament, ai creat o blocare cu pași în plus.

Numește controlul exact care elimină măsura și testează acea eliminare într-un laborator sau într-o fereastră pe care ți-o poți permite. O retragere pe care nimeni nu a exersat-o este un plan, nu o procedură.

Acceptă cu dovezi, nu cu ieșirea comenzii

Verifică starea de rutare selectată și starea de forwardare pe VTEP-urile vizate, și verifică o destinație vecină care trebuie să rămână neatinsă. Confirmă că niciun alt chiriaș nu a importat prefixul, pentru că scurgerea între chiriași este modul de eșec care transformă o acțiune de mentenanță într-un incident.

Apoi retrage și verifică faptul că ruta normală și serviciul revin. Ghidul NX-OS EVPN pentru rute nule pentru versiunea 10.4(x) documentează marcarea, redistribuirea și politica de recepție descrise aici, și este referința cu care trebuie comparată versiunea ta.