Domene usmerjanja F5 in MPLS VRF: preslikajte predajo najemnika

Dva najemnika izvajata isto aplikacijo na 10.50.0.10. Ponudnik ju drži ločeno v ločenih MPLS VPN, BIG-IP pa njuno lokalno komunikacijo hrani v ločenih domenah usmerjanja. Ta ureditev deluje vse do predaje, kjer manjkajoča pripona ali kopiran cilj poti tiho postavi paket enega najemnika v kontekst drugega. Ta priročnik poveže oba modela in se konča s preskusom za vsakega najemnika.

Delovni list: ena vrstica na najemnika

Izpolnite ga, preden kar koli spremenite. Vsak nadaljnji korak se sklicuje na celico v njem, prazna celica pa je odločitev, ki se je še nihče ni lotil.

Korak 1: pripnite vsak objekt k njegovi domeni usmerjanja

Dokumentacija F5 o domenah usmerjanja opisuje izolirane kontekste prometa, podvojene naslove in zapis address%ID za konfiguracijske objekte. Naslov, zapisan kot 10.50.0.10%2, poimenuje lokalni kontekst domene usmerjanja, in ta pripona ni oznaka MPLS, ki bi se prenašala v IP-paketu stranke.

VLAN ali podprt tunel v dokumentiranem modelu pripada eni domeni usmerjanja, zato se morata vmesnik in naslov ujemati. Preverite tudi privzeto domeno usmerjanja upravne particije, ker izpuščena pripona ne pomeni brez konteksta; pomeni kontekst, ki ga particija uporablja privzeto. Ta ena privzeta vrednost pojasni večino incidentov, ko je nov objekt tiho odgovarjal napačnemu najemniku. Preverite jo, preden dodate svoj naslov.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Korak 2: uporabite VRF in cilje poti ponudnika

Na robu MPLS najemnika prepozna VRF ponudnika in dogovorjena storitev usmerjanja za stranko. Cilji poti nadzorujejo, katere poti ponudnik uvaža in izvaža med VRF, izbira podobno videti številke domene usmerjanja BIG-IP pa ne ustvari ničesar od tega razmerja.

Oba identifikatorja živita v različnih sistemih in pomenita različne stvari. ID domene usmerjanja je lokalni kontekst na napravi. Cilj poti je atribut politike na strani ponudnika, ki odloča o porazdelitvi poti, razlikovalnik poti pa je še tretja stvar, ki služi za ločevanje sicer enakih predpon.

Korak 3: odločite, ali si lahko konteksti delijo dosegljivost

Namenoma preglejte nastavitve iskanja v nadrejeni domeni in stroge izolacije, ker spreminjajo, do česa lahko kontekst doseže. Vodnik F5 dovoljuje nadzorovano posredovanje prek teh razmerij, in prav zato domene usmerjanja ne smemo obravnavati same po sebi kot popolne varnostne politike najemnika.

Če oba najemnika potrebujeta skupno storitev, določite odobreno pot in dovoljenja, namesto da enega najemnika malomarno usmerite v kontekst usmerjanja drugega. Ohranite identiteto aplikacije in morebitni namerni prevod vira skupaj z omrežnim ciljem, sicer bo skupna storitev videla enega najemnika kot drugega.

Običajna usmerjena predaja poveže BIG-IP z robnim usmerjevalnikom ponudnika, ne da bi BIG-IP postal MPLS PE. Če je neposredna integracija MPLS ali družine poti VPN resnično potrebna, pridobite izrecno podporo za natančno platformo in izdajo, ker lokalna izolacija domene usmerjanja te zmožnosti ne vzpostavi.

Korak 4: preverjajte enega najemnika naenkrat

Preizkusite najemnika A s končne točke v kontekstu A na naslov aplikacije A, nato ponovite za B. V diagnostiki uporabite obliko %ID, da dokažete, kateri kontekst je odgovoril, in potrdite, da zahteva iz napačnega konteksta ne uspe, namesto da bi pristala na nekem verjetnem mestu.

V istem prehodu preverite tudi stran ponudnika: predpona je v pravilnem VRF, cilji poti se ujemajo z delovnim listom, povratna pot pa uporablja predvideno povezavo. Ping, ki deluje z naprave same, dokazuje kontekst naprave, ne najemnika.

Zapišite končno preslikavo v delovni list, vključno s privzeto domeno usmerjanja vsake particije in vsakim omogočenim razmerjem nadrejene domene. Naslednjo spremembo v tem okolju bo naredil nekdo, ki bere to tabelo, ne nekdo, ki bere ta članek.