Ničelna pot v NX-OS EVPN: zavrženje obdržite znotraj enega najemnika

Zahteva pride kot sprememba ene vrstice: blokiraj en naslov. Dodaš pot gostitelja v Null0 v kontekstu najemnika, predpona izgine iz lokalne tabele, kot je bilo pričakovano, in nato se začnejo vprašanja. Je pot zapustila napravo? So oddaljeni VTEP zavrgli ali so preprosto izgubili dosegljivost? Je zdaj prizadet drugi najemnik?

Pravilna lokalna statična pot odgovori le na prvo od teh vprašanj, zato je sprememba blackhole v resnici tri pregledani izidi in ne en ukaz.

Kaj mora sprememba dejansko ustvariti

Začni s tem, da zapišeš tri izide. Predvideni najemnik mora cilj zavreči lokalno. Izvoziti je mogoče le pooblaščeno pot in nič drugega ne sme potovati z njo. Vsak prejemni VTEP mora izbrati predvideno dejanje zavrženja in ne druge poti.

Vsak izid ima svoje dokaze in noben ne implicira drugih. Lokalna pot Null0 ustvari lokalno zavrženje in brez prerazporeditve ne izvozi prav ničesar. Prerazporejena pot brez dogovorjene community prispe kot običajna predpona in se posreduje naprej. Community brez politike sprejema je lahko popolnoma prezrt.

Zapis izidov najprej te ščiti tudi pred pogosto napako: spremembo, ki se zdi delujoča, ker je bil cilj že nedosegljiv iz nepovezanega razloga. Če ne moreš opisati, kako bi ju razlikoval, sprejemni test še ni zasnovan.

Lokalna izjava opravi le prvi del

Pri NX-OS v liniji 10.4(x) ničelna pot leži v kontekstu VRF najemnika in ne v enem ukazu, ki poimenuje VRF. Odlomek je kratek in nikakor ni popolna konfiguracija EVPN.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Naslov je dokumentacijska predpona, ne cilj. Opazi razliko v sintaksi glede na IOS, kjer se ime VRF pojavi znotraj samega ukaza poti, in pred lepljenjem česar koli potrdi podprto obliko za izdajo, ki jo dejansko poganjaš.

Sama po sebi ta vrstica zavrže promet za tega gostitelja v TENANT_A in ne naredi ničesar drugega. Ne označi poti, je ne izbere za BGP in ne nastavi community. To so ločene konfiguracijske odločitve in vsaka je mesto, kjer je sprememba lahko bodisi preozka, da bi delovala, bodisi preširoka, da bi bila varna.

Lokalno zavrženje prizadene tudi zakonit promet do istega cilja. Če je namen ustaviti en vir zlorabe, medtem ko pravi uporabniki naslov še potrebujejo, je ničelna pot napačno orodje in to boš izvedel ob prvem klicu v podporo.

Izvoz in uvoz sta ločena dogovora

Prerazporeditev je mesto, kjer se odloči obseg. Omeji upravičene predpone na odobreno ublažitev, obdrži jo znotraj najemnika in omeji izvorne peerje na tiste iz zasnove. Prerazporejanje vsake statične poti zato, ker mora ena označena pot gostitelja potovati, je način, kako sprememba vzdrževanja postane incident usmerjanja.

Community BLACKHOLE je dogovor o znani vrednosti, ne pooblastilo za vsakega soseda, da zavrže vsak naslov. RFC 7999 jo opisuje s temi izrazi, meja zaupanja glede tega, kdo jo sme oglaševati, pa je del zasnove in ne podrobnost izvedbe.

Prejemna stran potrebuje svojo konfiguracijo. V NX-OS ničelne poti tipa 5 zahtevajo obdelavo route-map na VTEP, da se izbere vedenje zavrženja, kar je dokumentirano skupaj z izvoznimi koraki. Naprava, ki pravilno označuje, in prejemnik, ki oznako ignorira, ustvarita spremembo, ki je videti uporabljena in promet vseeno posreduje naprej.

Preglej route-map glede stranskih učinkov, medtem ko si tam. Nova restriktivna politika lahko zatira zakonito dosegljivost nepovezanih predpon in ta škoda se pojavi pozneje kot blackhole in jo je težje pripisati njemu.

Napiši umik pred vstavitvijo

Zabeleži lastnika cilja, razlog, odobritelja in rok veljavnosti, preden se karkoli konfigurira. Zavrženje brez roka postane trajen vnos, katerega izvora se nihče ne spomni, in naslednja oseba, ki bo razhroščevala naslov, ga bo obravnavala kot običajen del omrežja.

Vzdržuj neodvisno pot upravljanja, ki ni odvisna od poti, ki jo spreminjaš. Če ublažitev pokriva naslov, ki ga uporabljaš za dostop do naprave, si ustvaril zaklep z dodatnimi koraki.

Poimenuj natančen nadzor, ki odpravi ublažitev, in ta umik preizkusi v laboratoriju ali v oknu, ki si ga lahko privoščiš. Umik, ki ga nihče ni vadil, je načrt in ne postopek.

Sprejmi z dokazi, ne z izpisom ukaza

Preveri izbrano stanje usmerjanja in stanje posredovanja na predvidenih VTEP, in preveri sosednji cilj, ki mora ostati nedotaknjen. Potrdi, da noben drug najemnik ni uvozil predpone, ker je uhajanje med najemniki način odpovedi, ki vzdrževalno dejanje spremeni v incident.

Nato umakni in preveri, da se običajna pot in storitev vrneta. Vodnik po ničelnih poteh NX-OS EVPN za izdajo 10.4(x) dokumentira označevanje, prerazporeditev in politiko sprejema, opisane tukaj, in je referenca, s katero je treba primerjati lastno izdajo.