F5 โดเมนเส้นทางและ MPLS VRF: จัดทำแผนผังการส่งมอบผู้เช่า
ผู้เช่าสองราย ที่อยู่เดียว สองโดเมนเส้นทาง ปักหมุดทุกออบเจกต์ด้วย %ID ใช้ VRF และเป้าหมายเส้นทางของผู้ให้บริการ และตรวจสอบผู้เช่าแต่ละรายแยกกัน
ผู้เช่าสองรายรันแอปพลิเคชันเดียวกันที่ 10.50.0.10 ผู้ให้บริการแยกทั้งสองไว้ใน MPLS VPN คนละชุด และ BIG-IP เก็บทราฟฟิกภายในของแต่ละรายไว้ในโดเมนเส้นทางคนละชุด การจัดวางนี้ทำงานได้จนถึงการส่งมอบ ซึ่งคำต่อท้ายที่หายไปหรือเป้าหมายเส้นทางที่ถูกคัดลอกจะวางแพ็กเก็ตของผู้เช่ารายหนึ่งไว้ในบริบทของอีกรายอย่างเงียบ ๆ คู่มือนี้เชื่อมสองโมเดลเข้าด้วยกันและจบด้วยการทดสอบแยกรายผู้เช่า
เวิร์กชีต: หนึ่งแถวต่อผู้เช่าหนึ่งราย
กรอกสิ่งนี้ก่อนที่คุณจะเปลี่ยนอะไร ทุกขั้นตอนถัดไปอ้างถึงเซลล์ในชีต และเซลล์ว่างคือการตัดสินใจที่ยังไม่มีใครทำ
| Tenant | BIG-IP side | Provider side |
|---|---|---|
| A | VLAN or tunnel, route domain, self address, virtual server | VRF, attachment, route targets for import and export |
| B | Separate VLAN or tunnel, separate route domain, separate self address | Separate VRF, separate route targets |
ขั้นตอนที่ 1: ปักหมุดทุกออบเจกต์กับโดเมนเส้นทางของมัน
เอกสารโดเมนเส้นทางของ F5 อธิบายบริบททราฟฟิกที่แยกออกจากกัน ที่อยู่ซ้ำ และสัญกรณ์ address%ID สำหรับออบเจกต์การกำหนดค่า ที่อยู่ที่เขียนเป็น 10.50.0.10%2 จะระบุบริบทของโดเมนเส้นทางภายใน และคำต่อท้ายนั้นไม่ใช่ป้ายกำกับ MPLS ที่บรรทุกอยู่ในแพ็กเก็ต IP ของลูกค้า
VLAN หรืออุโมงค์ที่รองรับเป็นของโดเมนเส้นทางเดียวในโมเดลที่เอกสารกำหนด ดังนั้นอินเทอร์เฟซและที่อยู่ต้องตรงกัน ตรวจสอบโดเมนเส้นทางเริ่มต้นของพาร์ทิชันผู้ดูแลระบบด้วย เพราะคำต่อท้ายที่ละไว้ไม่ได้หมายความว่าไม่มีบริบท แต่หมายถึงบริบทที่พาร์ทิชันใช้เป็นค่าเริ่มต้น ค่าเริ่มต้นเดียวนี้ อธิบายเหตุการณ์ส่วนใหญ่ที่ออบเจกต์ใหม่ตอบกลับผู้เช่าผิดอย่างเงียบ ๆ ตรวจสอบก่อนที่คุณจะเพิ่มที่อยู่ของคุณเอง
tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vsขั้นตอนที่ 2: ใช้ VRF และเป้าหมายเส้นทางของผู้ให้บริการ
ที่ขอบ MPLS ผู้เช่าถูกระบุด้วย VRF ของผู้ให้บริการและบริการกำหนดเส้นทางลูกค้าที่ตกลงกัน เป้าหมายเส้นทางควบคุมว่าเส้นทางใดที่ผู้ให้บริการนำเข้าและส่งออกระหว่าง VRF และการเลือกหมายเลขโดเมนเส้นทางของ BIG-IP ที่ดูคล้ายกันไม่ได้สร้างความสัมพันธ์นั้นเลย
ตัวระบุทั้งสองอาศัยอยู่ในระบบที่ต่างกันและมีความหมายต่างกัน ID โดเมนเส้นทางเป็นบริบทภายในบนอุปกรณ์ เป้าหมายเส้นทางเป็นแอตทริบิวต์นโยบายฝั่งผู้ให้บริการที่กำหนดการกระจายเส้นทาง และตัวแยกความแตกต่างเส้นทางก็เป็นสิ่งที่สามอีกอย่างหนึ่ง ใช้เพื่อแยกคำนำหน้าที่เหมือนกันออกจากกัน
ขั้นตอนที่ 3: ตัดสินใจว่าบริบทสามารถใช้การเข้าถึงร่วมกันได้หรือไม่
ทบทวนการตั้งค่าการค้นหาโดเมนแม่และการแยกอย่างเข้มงวดอย่างตั้งใจ เพราะการตั้งค่าเหล่านี้เปลี่ยนสิ่งที่บริบทเข้าถึงได้ คู่มือ F5 อนุญาตให้ส่งต่อแบบควบคุมผ่านความสัมพันธ์เหล่านั้น และนั่นคือเหตุผลที่โดเมนเส้นทางไม่ควรถูกมองว่าเป็นนโยบายความปลอดภัยของผู้เช่าที่สมบูรณ์โดยลำพัง
หากผู้เช่าทั้งสองต้องการบริการร่วมกัน ให้ระบุเส้นทางและสิทธิ์ที่ได้รับอนุมัติ แทนที่จะชี้ผู้เช่ารายหนึ่งไปยังบริบทกำหนดเส้นทางของอีกรายอย่างไม่ใส่ใจ รักษาตัวตนของแอปพลิเคชันและการแปลต้นทางที่ตั้งใจไว้พร้อมกับปลายทางเครือข่าย มิฉะนั้นบริการร่วมจะมองผู้เช่ารายหนึ่งเป็นอีกราย
การส่งมอบแบบกำหนดเส้นทางทั่วไปเชื่อม BIG-IP กับเราเตอร์ขอบของผู้ให้บริการโดยไม่ทำให้ BIG-IP เป็น MPLS PE หากจำเป็นต้องรวม MPLS หรือตระกูลเส้นทาง VPN โดยตรงจริง ๆ ให้ขอการสนับสนุนที่ชัดเจนสำหรับแพลตฟอร์มและรุ่นที่แน่นอน เพราะการแยกโดเมนเส้นทางภายในไม่ได้สร้างความสามารถนั้น
ขั้นตอนที่ 4: ตรวจสอบผู้เช่าทีละราย
ทดสอบผู้เช่า A จากปลายทางในบริบทของ A ไปยังที่อยู่แอปพลิเคชันของ A แล้วทำซ้ำสำหรับ B ใช้รูปแบบ %ID ในการวินิจฉัยเพื่อพิสูจน์ว่าบริบทใดตอบกลับ และยืนยันว่าคำขอจากบริบทที่ไม่ถูกต้องล้มเหลวแทนที่จะไปลงเอยในที่ที่ดูน่าเชื่อถือ
ตรวจสอบฝั่งผู้ให้บริการในการผ่านเดียวกัน: คำนำหน้ามีอยู่ใน VRF ที่ถูกต้อง เป้าหมายเส้นทางตรงกับเวิร์กชีต และเส้นทางขากลับใช้การเชื่อมต่อที่ตั้งใจไว้ ping ที่ทำงานจากอุปกรณ์เองพิสูจน์บริบทของอุปกรณ์ ไม่ใช่ของผู้เช่า
บันทึกการแมปสุดท้ายในเวิร์กชีต รวมถึงโดเมนเส้นทางเริ่มต้นของแต่ละพาร์ทิชันและความสัมพันธ์โดเมนแม่ที่คุณเปิดใช้งาน การเปลี่ยนแปลงครั้งถัดไปในสภาพแวดล้อมนี้จะทำโดยคนที่อ่านตารางนั้น ไม่ใช่คนที่อ่านบทความนี้