F5 domene rutiranja i MPLS VRF-ovi: mapirajte primopredaju zakupca

Dva zakupca pokreću istu aplikaciju na 10.50.0.10. Provajder ih drži odvojeno u zasebnim MPLS VPN-ovima, a BIG-IP čuva njihov lokalni saobraćaj u zasebnim domenama rutiranja. Taj raspored radi sve do primopredaje, gde nedostajući sufiks ili kopirani cilj rute tiho stavlja paket jednog zakupca u kontekst drugog. Ovaj priručnik spaja dva modela i završava testom po zakupcu.

Radni list: jedan red po zakupcu

Popunite ovo pre nego što bilo šta promenite. Svaki kasniji korak upućuje na ćeliju u njemu, a prazna ćelija je odluka koju još niko nije doneo.

Korak 1: prikvačite svaki objekat za njegovu domenu rutiranja

F5 dokumentacija o domenama rutiranja opisuje izolovane kontekste saobraćaja, duplirane adrese i address%ID notaciju za konfiguracione objekte. Adresa zapisana kao 10.50.0.10%2 imenuje lokalni kontekst domene rutiranja, a taj sufiks nije MPLS oznaka koja se nosi u IP paketu korisnika.

VLAN ili podržani tunel u dokumentovanom modelu pripada jednoj domeni rutiranja, pa se interfejs i adresa moraju slagati. Proverite i podrazumevanu domenu rutiranja administrativne particije, jer izostavljeni sufiks ne znači da konteksta nema; znači onaj kontekst koji particija koristi kao podrazumevani. Ta jedna podrazumevana vrednost objašnjava većinu incidenata u kojima je novi objekat tiho odgovarao pogrešnom zakupcu. Proverite je pre nego što dodate sopstvenu adresu.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Korak 2: koristite provajderov VRF i ciljeve ruta

Na MPLS ivici zakupac se identifikuje provajderovim VRF-om i dogovorenom uslugom rutiranja za korisnika. Ciljevi ruta kontrolišu koje rute provajder uvozi i izvozi između VRF-ova, a izbor slično izgledajućeg broja domene rutiranja na BIG-IP-u ne stvara ništa od tog odnosa.

Dva identifikatora žive u različitim sistemima i znače različite stvari. ID domene rutiranja je lokalni kontekst na uređaju. Cilj rute je atribut politike na strani provajdera koji odlučuje o distribuciji ruta, a razlikovnik rute je opet treća stvar koja služi da identični prefiksi ostanu razdvojeni.

Korak 3: odlučite mogu li konteksti da dele dostupnost

Namerno pregledajte postavke pretrage roditeljske domene i stroge izolacije, jer menjaju do čega kontekst može da dođe. F5 vodič dopušta kontrolisano prosleđivanje kroz te odnose i upravo zato domenu rutiranja ne treba samu po sebi smatrati potpunom bezbednosnom politikom zakupca.

Ako oba zakupca trebaju zajedničku uslugu, odredite odobreni put i dozvole umesto da jedan zakupac jednostavno usmerite na kontekst rutiranja drugog. Sačuvajte identitet aplikacije i svako namerno prevođenje izvora zajedno sa mrežnim odredištem, inače će zajednička usluga videti jednog zakupca kao drugog.

Obična rutirana primopredaja povezuje BIG-IP sa rubnim ruterom provajdera, a da BIG-IP ne postane MPLS PE. Ako je direktna integracija MPLS-a ili VPN familije ruta zaista potrebna, pribavite izričitu podršku za tačnu platformu i izdanje, jer lokalna izolacija domene rutiranja ne uspostavlja tu mogućnost.

Korak 4: proverite jedan po jedan zakupac

Testirajte zakupca A sa krajnje tačke u A-ovom kontekstu do A-ove adrese aplikacije, pa ponovite za B. Koristite oblik %ID u dijagnostici da dokažete koji je kontekst odgovorio i potvrdite da zahtev iz pogrešnog konteksta ne uspeva umesto da sleti negde uverljivo.

Proverite i stranu provajdera u istom prolazu: prefiks je prisutan u ispravnom VRF-u, ciljevi ruta se slažu sa radnim listom, a povratna putanja koristi predviđeni priključak. Ping koji radi sa samog uređaja dokazuje kontekst uređaja, ne zakupca.

Zabeležite konačno mapiranje u radni list, uključujući podrazumevanu domenu rutiranja svake particije i svaki odnos roditeljske domene koji ste omogućili. Sledeću promenu u ovom okruženju napraviće neko ko čita tu tabelu, a ne neko ko čita ovaj članak.