Domény smerovania F5 a MPLS VRF: zmapujte odovzdanie nájomcu
Dvaja nájomcovia, jedna adresa, dve domény smerovania. Pripnite každý objekt cez %ID, použite VRF a ciele trás poskytovateľa a overte každého nájomcu zvlášť.
Dvaja nájomcovia prevádzkujú rovnakú aplikáciu na 10.50.0.10. Poskytovateľ ich drží oddelene v samostatných MPLS VPN a BIG-IP uchováva ich lokálnu prevádzku v samostatných doménach smerovania. Toto usporiadanie funguje až do odovzdania, kde chýbajúci sufix alebo skopírovaný cieľ trasy potichu umiestni paket jedného nájomcu do kontextu druhého. Táto príručka spája oba modely a končí testom pre každého nájomcu.
Pracovný list: jeden riadok na nájomcu
Vyplňte ho, skôr než čokoľvek zmeníte. Každý ďalší krok odkazuje na bunku v ňom a prázdna bunka je rozhodnutie, ktoré ešte nikto neurobil.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Krok 1: pripnite každý objekt k jeho doméne smerovania
Dokumentácia F5 k doménam smerovania opisuje izolované kontexty prevádzky, duplicitné adresy a notáciu address%ID pre konfiguračné objekty. Adresa zapísaná ako 10.50.0.10%2 pomenúva lokálny kontext domény smerovania a tento sufix nie je MPLS značka prenášaná v IP pakete zákazníka.
VLAN alebo podporovaný tunel patrí v dokumentovanom modeli k jednej doméne smerovania, takže rozhranie a adresa musia súhlasiť. Skontrolujte aj predvolenú doménu smerovania administratívnej partície, pretože vynechaný sufix neznamená žiadny kontext; znamená ten kontext, ktorý partícia používa ako predvolený. Táto jediná predvolená hodnota vysvetľuje väčšinu incidentov, keď nový objekt potichu odpovedal nesprávnemu nájomcovi. Overte ju, skôr než pridáte vlastnú adresu.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsKrok 2: použite VRF a ciele trás poskytovateľa
Na okraji MPLS je nájomca identifikovaný VRF poskytovateľa a dohodnutou zákazníckou službou smerovania. Ciele trás riadia, ktoré trasy poskytovateľ importuje a exportuje medzi VRF, a výber podobne vyzerajúceho čísla domény smerovania na BIG-IP z tohto vzťahu nič nevytvorí.
Oba identifikátory žijú v rôznych systémoch a znamenajú rôzne veci. ID domény smerovania je lokálny kontext na zariadení. Cieľ trasy je atribút politiky na strane poskytovateľa, ktorý rozhoduje o distribúcii trás, a rozlišovač trasy je zas tretia vec, ktorá slúži na udržanie inak zhodných prefixov oddelene.
Krok 3: rozhodnite, či kontexty môžu zdieľať dosiahnuteľnosť
Zámerne prejdite nastavenia vyhľadávania v nadradenej doméne a striktnej izolácie, pretože menia, kam sa kontext môže dostať. Príručka F5 povoľuje riadené preposielanie cez tieto vzťahy, a práve preto by sa doména smerovania nemala sama o sebe považovať za úplnú bezpečnostnú politiku nájomcu.
Ak obaja nájomcovia potrebujú zdieľanú službu, určite schválenú cestu a oprávnenia namiesto toho, aby ste jedného nájomcu bezstarostne nasmerovali do kontextu smerovania druhého. Zachovajte identitu aplikácie a akýkoľvek zámerný preklad zdroja spolu so sieťovým cieľom, inak zdieľaná služba uvidí jedného nájomcu ako druhého.
Bežné smerované odovzdanie spája BIG-IP s hraničným routerom poskytovateľa bez toho, aby sa z BIG-IP stalo MPLS PE. Ak je priama integrácia MPLS alebo rodiny trás VPN skutočne potrebná, získajte výslovnú podporu pre presnú platformu a verziu, pretože lokálna izolácia domény smerovania túto schopnosť nezakladá.
Krok 4: overujte po jednom nájomcovi
Otestujte nájomcu A z koncového bodu v kontexte A na adresu aplikácie A a potom to zopakujte pre B. V diagnostike používajte tvar %ID, aby ste preukázali, ktorý kontext odpovedal, a potvrďte, že požiadavka z nesprávneho kontextu zlyhá, namiesto toho, aby pristála na nejakom uveriteľnom mieste.
V tom istom prechode skontrolujte aj stranu poskytovateľa: prefix je v správnom VRF, ciele trás zodpovedajú pracovnému listu a návratová cesta používa zamýšľané pripojenie. Ping, ktorý funguje zo samotného zariadenia, dokazuje kontext zariadenia, nie nájomcu.
Zapíšte konečné mapovanie do pracovného listu vrátane predvolenej domény smerovania každej partície a každého povoleného vzťahu nadradenej domény. Nasledujúcu zmenu v tomto prostredí urobí niekto, kto číta túto tabuľku, nie niekto, kto číta tento článok.