F5-routningsdomäner och MPLS-VRF:er: kartlägg hyresgästens överlämning
Två hyresgäster, en adress, två routningsdomäner. Fäst varje objekt med %ID, använd leverantörens VRF och routemål och verifiera varje hyresgäst separat.
Två hyresgäster kör samma applikation på 10.50.0.10. Leverantören håller dem åtskilda i separata MPLS-VPN:er, och BIG-IP håller deras lokala trafik i separata routningsdomäner. Den här ordningen fungerar ända fram till överlämningen, där ett saknat suffix eller ett kopierat routemål tyst placerar den ena hyresgästens paket i den andras kontext. Den här runbooken knyter samman de två modellerna och avslutas med ett test per hyresgäst.
Arbetsblad: en rad per hyresgäst
Fyll i det här innan du ändrar något. Varje senare steg hänvisar till en cell i det, och en tom cell är ett beslut som ingen har fattat än.
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
Steg 1: fäst varje objekt vid sin routningsdomän
F5:s dokumentation om routningsdomäner beskriver isolerade trafikkontexter, dubblerade adresser och address%ID-notationen för konfigurationsobjekt. En adress skriven som 10.50.0.10%2 namnger den lokala routningsdomänkontexten, och det suffixet är inte en MPLS-etikett som bärs i kundens IP-paket.
Ett VLAN eller en stödd tunnel tillhör en enda routningsdomän i den dokumenterade modellen, så gränssnittet och adressen måste stämma överens. Undersök också den administrativa partitionens standardroutningsdomän, eftersom ett utelämnat suffix inte betyder ingen kontext; det betyder den kontext som partitionen använder som standard. Det enda standardvärdet förklarar de flesta incidenter där ett nytt objekt tyst svarade i fel hyresgäst. Kontrollera det innan du lägger till en egen adress.
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsSteg 2: använd leverantörens VRF och routemål
Vid MPLS-kanten identifieras hyresgästen av leverantörens VRF och den avtalade kundroutningstjänsten. Routemål styr vilka rutter leverantören importerar och exporterar mellan VRF:er, och att välja ett liknande BIG-IP-routningsdomännummer skapar inget av den relationen.
De två identifierarna lever i olika system och betyder olika saker. Ett routningsdomän-ID är en lokal kontext på enheten. Ett routemål är ett policyattribut på leverantörssidan som avgör ruttdistributionen, och en routedistinguisher är ännu en tredje sak, som används för att hålla annars identiska prefix åtskilda.
Steg 3: avgör om kontexter får dela nåbarhet
Granska inställningarna för uppslagning i överordnad domän och strikt isolering medvetet, eftersom de ändrar vad en kontext kan nå. F5-guiden tillåter kontrollerad vidarebefordran genom dessa relationer, och just därför bör en routningsdomän inte behandlas ensam som en fullständig säkerhetspolicy för hyresgästen.
Om båda hyresgästerna behöver en delad tjänst, ange den godkända vägen och behörigheterna i stället för att tanklöst peka en hyresgäst mot den andras routningskontext. Bevara applikationsidentiteten och eventuell avsiktlig källöversättning tillsammans med nätverksdestinationen, annars kommer den delade tjänsten att se den ena hyresgästen som den andra.
En vanlig routad överlämning kopplar BIG-IP till en leverantörskantsrouter utan att göra BIG-IP till en MPLS PE. Om direkt MPLS- eller VPN-ruttfamiljsintegration verkligen krävs, skaffa uttryckligt stöd för den exakta plattformen och versionen, eftersom lokal routningsdomänisolering inte etablerar den förmågan.
Steg 4: verifiera en hyresgäst i taget
Testa hyresgäst A från en ändpunkt i A:s kontext till A:s applikationsadress och upprepa sedan för B. Använd %ID-formen i diagnostiken så att du kan bevisa vilken kontext som svarade, och bekräfta att en begäran från fel kontext misslyckas i stället för att landa någonstans trovärdigt.
Kontrollera leverantörssidan i samma genomgång: prefixet finns i rätt VRF, routemålen stämmer med arbetsbladet och returvägen använder den avsedda anslutningen. En ping som fungerar från själva enheten bevisar enhetens kontext, inte hyresgästens.
Anteckna den slutliga mappningen i arbetsbladet, inklusive standardroutningsdomänen för varje partition och varje överordnad domänrelation du aktiverade. Nästa ändring i den här miljön kommer att göras av någon som läser den tabellen, inte av någon som läser den här artikeln.