NX-OS EVPN null рута: задржите одбацивање унутар једног закупца

Захтев долази као промена у једном реду: блокирај једну адресу. Додате руту до домаћина ка Null0 унутар контекста закупца, префикс нестаје из локалне табеле као што се очекивало, и тада почињу питања. Да ли је рута напустила уређај? Да ли су удаљени VTEP-ови одбацили, или су једноставно изгубили достижност? Да ли је сада погођен други закупац?

Исправна локална статичка рута одговара само на прво од тих питања, зато је промена blackhole заправо три прегледана исхода, а не једна команда.

Шта промена заправо мора да произведе

Почните тако што ћете записати три исхода. Предвиђени закупац мора локално да одбаци одредиште. Само се овлашћена рута сме извести, и ништа друго не сме да путује са њом. Сваки VTEP који прима мора да одабере предвиђену радњу одбацивања, а не други пут.

Сваки исход има свој доказ и ниједан не подразумева остале. Локална Null0 рута производи локално одбацивање и без прерасподеле не извози баш ништа. Прерасподељена рута без договорене community стиже као обичан префикс и бива прослеђена. Community без политике пријема може бити потпуно игнорисан.

Записивање исхода прво вас штити и од честог квара: промене која изгледа да ради јер је одредиште већ било недоступно из неповезаног разлога. Ако не можете да опишете како бисте разликовали то двоје, тест прихватања још није дизајниран.

Локална изјава ради само први део

За NX-OS у линији 10.4(x) null рута стоји унутар VRF контекста закупца, а не у једној команди која именује VRF. Фрагмент је кратак и изричито није потпуна EVPN конфигурација.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Адреса је документациони префикс, а не мета. Обратите пажњу на разлику у синтакси према IOS-у, где се назив VRF-а појављује унутар саме команде руте, и потврдите подржани облик за издање које стварно користите пре него што било шта залепите.

Сама по себи ова линија одбацује саобраћај за тај домаћин унутар TENANT_A и не чини ништа друго. Не означава руту, не бира је за BGP и не поставља community. То су одвојене конфигурацијске одлуке, а свака је место где промена може бити преуска да ради или преширока да би била безбедна.

Локално одбацивање погађа и легитиман саобраћај према истом одредишту. Ако је намера да се заустави један извор злоупотребе док стварним корисницима адреса још треба, null рута је погрешан алат и то ћете научити из првог позива подршци.

Извоз и увоз су одвојени споразуми

Прерасподела је место где се одлучује обим. Ограничите прихватљиве префиксе на одобрено ублажавање, задржите их унутар закупца и ограничите изворне peer-е на оне из дизајна. Прерасподела сваке статичке руте зато што једна означена рута до домаћина треба да путује јесте начин на који промена одржавања постаје инцидент у рутирању.

Community BLACKHOLE је споразум о познатој вредности, а не овлашћење за било ког суседа да одбаци било коју адресу. RFC 7999 га описује тим речима, а граница поверења око тога ко га сме оглашавати део је дизајна, а не детаљ имплементације.

Страна која прима треба сопствену конфигурацију. На NX-OS-у null руте типа 5 захтевају обраду route-map на VTEP-у да би се одабрало понашање одбацивања, што је документовано уз кораке извоза. Уређај пошиљалац који исправно означава и прималац који занемарује ознаку дају промену која изгледа примењено и ипак прослеђује саобраћај.

Прегледајте route-map због нежељених ефеката док сте тамо. Нова рестриктивна политика може потиснути легитимну достижност за неповезане префиксе, а та штета се појављује касније од blackhole-а и теже јој је приписати га.

Напишите повлачење пре уметања

Забележите власника одредишта, разлог, одобраваоца и рок пре него што се било шта конфигурише. Одбацивање без рока постаје трајан запис чије порекло нико не памти, а следећа особа која буде отклањала проблем са адресом третираће га као нормалан део мреже.

Одржавајте независну путању управљања која не зависи од руте коју мењате. Ако ублажавање покрива адресу коју користите за приступ уређају, створили сте закључавање са додатним корацима.

Именујте тачну контролу која уклања ублажавање и тестирајте то уклањање у лабораторији или у прозору који можете да приуштите. Повлачење које нико није увежбао је план, а не процедура.

Прихватите са доказима, не са излазом команде

Проверите изабрано стање рутирања и стање прослеђивања на предвиђеним VTEP-овима, и проверите суседно одредиште које мора остати непогођено. Потврдите да ниједан други закупац није увезао префикс, јер цурење између закупаца је начин квара који радњу одржавања претвара у инцидент.

Затим повуците и проверите да се нормална рута и услуга враћају. NX-OS EVPN водич за null руте за издање 10.4(x) документује означавање, прерасподелу и политику пријема описане овде, и то је референца са којом треба упоредити своје издање.