Nulová trasa v NX-OS EVPN: udržte zahadzovanie v jednom nájomcovi

Požiadavka prichádza ako zmena na jeden riadok: blackhole jednu adresu. Pridáte hostiteľskú trasu do Null0 v kontexte nájomcu, prefix podľa očakávania zmizne z lokálnej tabuľky a potom začnú otázky. Opustila trasa zariadenie? Zahodili vzdialené VTEP, alebo jednoducho stratili dostupnosť? Je teraz ovplyvnený druhý nájomca?

Správna lokálna statická trasa odpovedá len na prvú z týchto otázok, a preto je blackhole zmena v skutočnosti tri revidované výsledky, nie jeden príkaz.

Čo má zmena skutočne priniesť

Začnite tým, že zapíšete tri výsledky. Zamýšľaný nájomca musí cieľ zahodiť lokálne. Exportovať sa smie len povolená trasa a nič iné s ňou nesmie ísť. Každý prijímajúci VTEP musí zvoliť zamýšľanú akciu zahadzovania, nie inú cestu.

Každý výsledok má vlastné dôkazy a žiadny neimplikuje ostatné. Lokálna trasa Null0 vytvára lokálne zahadzovanie a bez redistribúcie neexportuje vôbec nič. Redistribuovaná trasa bez dohodnutej community prichádza ako bežný prefix a je preposielaná. Community bez prijímacej politiky môže byť úplne ignorovaná.

Zapísanie výsledkov najprv vás chráni aj pred častou chybou: zmena vyzerá, že funguje, pretože cieľ bol už nedostupný z nesúvisiaceho dôvodu. Ak neviete opísať, ako by ste ich rozlíšili, akceptačný test ešte nie je navrhnutý.

Lokálny príkaz robí len prvú časť

Pre NX-OS vo vetve 10.4(x) leží nulová trasa v kontexte VRF nájomcu a nie v jedinom príkaze, ktorý VRF pomenúva. Fragment je krátky a rozhodne to nie je úplná konfigurácia EVPN.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adresa je dokumentačný prefix, nie cieľ. Všimnite si rozdiel v syntaxi oproti IOS, kde sa názov VRF objavuje vo vnútri samotného príkazu trasy, a pred vložením čohokoľvek si potvrďte podporovanú formu pre verziu, ktorú skutočne prevádzkujete.

Sama o sebe táto riadka zahadzuje prevádzku pre daného hostiteľa v TENANT_A a nič iné nerobí. Neznačkuje trasu, nevyberá ju pre BGP a nenastavuje community. To sú samostatné konfiguračné rozhodnutia a každé z nich je miestom, kde zmena môže byť buď príliš úzka, aby fungovala, alebo príliš široká, aby bola bezpečná.

Lokálne zahadzovanie ovplyvňuje aj legitímnu prevádzku na ten istý cieľ. Ak je zámerom zastaviť jeden zneužívajúci zdroj, kým skutoční používatelia adresu stále potrebujú, nulová trasa je nesprávny nástroj a naučíte sa to pri prvom volaní na podporu.

Export a import sú samostatné dohody

Redistribúcia je miesto, kde sa rozhoduje rozsah. Obmedzte spôsobilé prefixy na schválené zmiernenie, udržte ho v nájomcovi a obmedzte zdrojové peery na tie z návrhu. Redistribuovať každú statickú trasu preto, že jedna označená hostiteľská trasa musí cestovať, je spôsob, akým sa údržbová zmena stane incidentom v smerovaní.

Community BLACKHOLE je dohoda o známej hodnote, nie oprávnenie pre ktoréhokoľvek suseda zahodiť akúkoľvek adresu. RFC 7999 ju takto opisuje a hranica dôvery v to, kto ju smie oznamovať, je súčasťou návrhu, nie implementačným detailom.

Prijímajúca strana potrebuje vlastnú konfiguráciu. V NX-OS vyžadujú nulové trasy typu 5 spracovanie route-map na VTEP, aby sa zvolilo správanie zahadzovania, čo je zdokumentované spolu s exportnými krokmi. Zariadenie, ktoré správne značkuje, a príjemca, ktorý značku ignoruje, vytvoria zmenu, ktorá vyzerá aplikovane a napriek tomu prevádzku preposiela.

Prejdite route-map kvôli vedľajším efektom, kým ste tam. Nová reštriktívna politika môže potlačiť legitímnu dostupnosť nesúvisiacich prefixov a tá škoda sa objaví neskôr ako blackhole a ťažšie sa mu pripisuje.

Napíšte stiahnutie pred vložením

Zaznamenajte vlastníka cieľa, dôvod, schvaľovateľa a expiráciu, než sa čokoľvek nakonfiguruje. Zahadzovanie bez expirácie sa stane trvalým záznamom, ktorého pôvod si nikto nepamätá, a ďalší človek, ktorý bude adresu ladiť, ho bude považovať za bežnú súčasť siete.

Udržujte nezávislú cestu správy, ktorá nezávisí od trasy, ktorú meníte. Ak zmiernenie pokrýva adresu, ktorú používate na prístup k zariadeniu, vytvorili ste uzamknutie s krokmi navyše.

Pomenujte presný prvok riadenia, ktorý zmiernenie odstraňuje, a toto odstránenie otestujte v laboratóriu alebo v okne, ktoré si môžete dovoliť. Stiahnutie, ktoré si nikto nenacvičil, je plán, nie postup.

Prijmite s dôkazmi, nie s výstupom príkazu

Skontrolujte zvolený stav smerovania a stav preposielania na zamýšľaných VTEP, a skontrolujte susedný cieľ, ktorý musí zostať nedotknutý. Potvrďte, že žiadny iný nájomca prefix neimportoval, pretože únik medzi nájomcami je režim zlyhania, ktorý z údržbovej akcie robí incident.

Potom stiahnite a overte, že sa normálna trasa a služba vrátia. Sprievodca nulovými trasami NX-OS EVPN pre verziu 10.4(x) dokumentuje značkovanie, redistribúciu a prijímaciu politiku opísané tu a je referenciou, s ktorou máte porovnať vlastnú verziu.