NX-OS EVPN null ruta: zadržite odbacivanje unutar jednog tenanta

Zahtjev dolazi kao promjena u jednom retku: blackhole jednu adresu. Dodajete host rutu na Null0 unutar konteksta tenanta, prefiks nestaje iz lokalne tablice kako se očekuje, a onda počinju pitanja. Je li ruta napustila uređaj? Jesu li udaljeni VTEP-ovi odbacili ili su jednostavno izgubili dostupnost? Je li drugi tenant sada pogođen?

Ispravna lokalna statička ruta odgovara samo na prvo od tih pitanja, zato je blackhole promjena zapravo tri pregledana ishoda, a ne jedna naredba.

Što promjena zapravo mora proizvesti

Počnite tako da zapišete tri ishoda. Predviđeni tenant mora lokalno odbaciti odredište. Samo se ovlaštena ruta smije izvesti, i ništa drugo ne smije ići s njom. Svaki VTEP koji prima mora odabrati predviđenu radnju odbacivanja, a ne drugu putanju.

Svaki ishod ima svoj dokaz i nijedan ne podrazumijeva ostale. Lokalna Null0 ruta proizvodi lokalno odbacivanje i, bez redistribucije, ne izvozi baš ništa. Redistribuirana ruta bez dogovorene community stiže kao običan prefiks i biva proslijeđena. Community bez politike primanja može biti potpuno ignorirana.

Zapisivanje ishoda prvo vas štiti i od čestog kvara: promjena koja izgleda da radi jer je odredište već bilo nedostupno iz nepovezanog razloga. Ako ne možete opisati kako biste razlikovali to dvoje, test prihvaćanja još nije dizajniran.

Lokalna izjava radi samo prvi dio

Za NX-OS u liniji 10.4(x) null ruta stoji unutar VRF konteksta tenanta, a ne u jednoj naredbi koja imenuje VRF. Fragment je kratak i izričito nije potpuna EVPN konfiguracija.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresa je dokumentacijski prefiks, a ne meta. Obratite pozornost na razliku u sintaksi prema IOS-u, gdje se naziv VRF-a pojavljuje unutar same naredbe rute, i potvrdite podržani oblik za izdanje koje stvarno koristite prije nego što bilo što zalijepite.

Sama po sebi ova linija odbacuje promet za taj host unutar TENANT_A i ne čini ništa drugo. Ne označava rutu, ne bira je za BGP i ne postavlja community. To su odvojene konfiguracijske odluke, a svaka je mjesto gdje promjena može biti preuska da radi ili preširoka da bi bila sigurna.

Lokalno odbacivanje pogađa i legitimni promet prema istom odredištu. Ako je namjera zaustaviti jedan izvor zlouporabe dok stvarnim korisnicima adresa još treba, null ruta je pogrešan alat i to ćete naučiti iz prvog poziva podršci.

Izvoz i uvoz su odvojeni sporazumi

Redistribucija je mjesto gdje se odlučuje opseg. Ograničite prihvatljive prefikse na odobreno ublažavanje, zadržite ih unutar tenanta i ograničite izvorne peere na one iz dizajna. Redistribucija svake statičke rute zato što jedna označena host ruta treba putovati jest način na koji promjena održavanja postaje incident u rutiranju.

Community BLACKHOLE je sporazum o poznatoj vrijednosti, a ne ovlaštenje za bilo kojeg susjeda da odbaci bilo koju adresu. RFC 7999 ga opisuje tim riječima, a granica povjerenja oko toga tko ga smije oglašavati dio je dizajna, a ne detalj implementacije.

Strana koja prima treba vlastitu konfiguraciju. Na NX-OS-u null rute tipa 5 zahtijevaju obradu route-map na VTEP-u da bi se odabralo ponašanje odbacivanja, što je dokumentirano uz korake izvoza. Uređaj pošiljatelj koji ispravno označava i primatelj koji zanemaruje oznaku daju promjenu koja izgleda primijenjeno i ipak prosljeđuje promet.

Pregledajte route-map zbog nuspojava dok ste tamo. Nova restriktivna politika može potisnuti legitimnu dostupnost za nepovezane prefikse, a ta šteta se pojavljuje kasnije od blackhole-a i teže joj je pripisati ga.

Napišite povlačenje prije umetanja

Zabilježite vlasnika odredišta, razlog, odobravaoca i rok prije nego što se bilo što konfigurira. Odbacivanje bez roka postaje trajni unos čije podrijetlo nitko ne pamti, a sljedeća osoba koja bude otklanjala problem s adresom tretirat će ga kao normalan dio mreže.

Održavajte neovisnu putanju upravljanja koja ne ovisi o ruti koju mijenjate. Ako ublažavanje pokriva adresu koju koristite za pristup uređaju, stvorili ste zaključavanje s dodatnim koracima.

Imenujte točnu kontrolu koja uklanja ublažavanje i testirajte to uklanjanje u laboratoriju ili u prozoru koji možete priuštiti. Povlačenje koje nitko nije uvježbao je plan, a ne procedura.

Prihvatite s dokazima, ne s izlazom naredbe

Provjerite odabrano stanje rutiranja i stanje prosljeđivanja na predviđenim VTEP-ovima, i provjerite susjedno odredište koje mora ostati nepogođeno. Potvrdite da nijedan drugi tenant nije uvezao prefiks, jer curenje između tenanata je način kvara koji radnju održavanja pretvara u incident.

Zatim povucite i provjerite da se normalna ruta i usluga vraćaju. NX-OS EVPN vodič za null rute za izdanje 10.4(x) dokumentira označavanje, redistribuciju i politiku primanja opisanu ovdje i referenca je s kojom treba usporediti vlastito izdanje.