F5 домени рутирања и MPLS VRF: мапирајте примопредају закупца
Два закупца, једна адреса, две домене рутирања. Причврстите сваки објекат помоћу %ID, користите провајдеров VRF и циљеве рута и проверите сваког закупца засебно.
Два закупца покрећу исту апликацију на 10.50.0.10. Провајдер их држи одвојено у засебним MPLS VPN-овима, а BIG-IP чува њихов локални саобраћај у засебним доменима рутирања. Тај распоред ради све до примопредаје, где недостајући суфикс или копирани циљ руте тихо ставља пакет једног закупца у контекст другог. Овај приручник спаја два модела и завршава тестом по закупцу.
Радни лист: један ред по закупцу
Попуните ово пре него што било шта промените. Сваки каснији корак упућује на ћелију у њему, а празна ћелија је одлука коју још нико није донео.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Корак 1: причврстите сваки објекат за његову домену рутирања
F5 документација о доменама рутирања описује изоловане контексте саобраћаја, дуплиране адресе и address%ID нотацију за конфигурационе објекте. Адреса записана као 10.50.0.10%2 именује локални контекст домене рутирања, а тај суфикс није MPLS ознака која се носи у IP пакету корисника.
VLAN или подржани тунел у документованом моделу припада једној домени рутирања, па се интерфејс и адреса морају слагати. Проверите и подразумевану домену рутирања административне партиције, јер изостављени суфикс не значи да контекста нема; значи онај контекст који партиција користи као подразумевани. Та једна подразумевана вредност објашњава већину инцидената у којима је нови објекат тихо одговарао погрешном закупцу. Проверите је пре него што додате сопствену адресу.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsКорак 2: користите провајдеров VRF и циљеве рута
На MPLS ивици закупац се идентификује провајдеровим VRF-ом и договореном услугом рутирања за корисника. Циљеви рута контролишу које руте провајдер увози и извози између VRF-ова, а избор сличног броја домене рутирања на BIG-IP-у не ствара ништа од тог односа.
Два идентификатора живе у различитим системима и значе различите ствари. ID домене рутирања је локални контекст на уређају. Циљ руте је атрибут политике на страни провајдера који одлучује о дистрибуцији рута, а разликовник руте је опет трећа ствар која служи да идентични префикси остану раздвојени.
Корак 3: одлучите могу ли контексти да деле доступност
Намерно прегледајте поставке претраге родитељске домене и строге изолације, јер мењају до чега контекст може да дође. F5 водич допушта контролисано прослеђивање кроз те односе и управо зато домену рутирања не треба саму по себи сматрати потпуном безбедносном политиком закупца.
Ако оба закупца требају заједничку услугу, одредите одобрени пут и дозволе уместо да један закупац једноставно усмерите на контекст рутирања другог. Сачувајте идентитет апликације и свако намерно превођење извора заједно са мрежним одредиштем, иначе ће заједничка услуга видети једног закупца као другог.
Обична рутирана примопредаја повезује BIG-IP са рубним рутером провајдера, а да BIG-IP не постане MPLS PE. Ако је директна интеграција MPLS-а или VPN фамилије рута заиста потребна, прибавите изричиту подршку за тачну платформу и издање, јер локална изолација домене рутирања не успоставља ту могућност.
Корак 4: проверите један по један закупац
Тестирајте закупца A са крајње тачке у A-овом контексту до A-ове адресе апликације, па поновите за B. Користите облик %ID у дијагностици да докажете који је контекст одговорио и потврдите да захтев из погрешног контекста не успева уместо да слети негде уверљиво.
Проверите и страну провајдера у истом пролазу: префикс је присутан у исправном VRF-у, циљеви рута се слажу са радним листом, а повратна путања користи предвиђени прикључак. Ping који ради са самог уређаја доказује контекст уређаја, не закупца.
Забележите коначно мапирање у радни лист, укључујући подразумевану домену рутирања сваке партиције и сваки однос родитељске домене који сте омогућили. Следећу промену у овом окружењу направиће неко ко чита ту табелу, а не неко ко чита овај чланак.