Mga domain ng ruta ng F5 at MPLS VRF: imapa ang paghahatid ng nangungupahan

Dalawang nangungupahan ang nagpapatakbo ng parehong application sa 10.50.0.10. Pinaghihiwalay sila ng provider sa magkaibang MPLS VPN, at inilalagay ng BIG-IP ang kanilang lokal na trapiko sa magkaibang domain ng ruta. Gumagana ang kaayusang ito hanggang sa paghahatid, kung saan ang nawawalang suffix o nakopyang target ng ruta ay tahimik na naglalagay ng packet ng isang nangungupahan sa konteksto ng isa pa. Pinag-uugnay ng runbook na ito ang dalawang modelo at nagtatapos sa pagsusuri para sa bawat nangungupahan.

Worksheet: isang hilera bawat nangungupahan

Punan ito bago ka magbago ng anuman. Ang bawat susunod na hakbang ay tumutukoy sa isang cell dito, at ang blangkong cell ay desisyong wala pang nagagawa.

Hakbang 1: i-pin ang bawat object sa domain ng ruta nito

Inilalarawan ng dokumentasyon ng domain ng ruta ng F5 ang mga nakahiwalay na konteksto ng trapiko, doble na address at ang address%ID na notasyon para sa mga object ng configuration. Ang address na nakasulat bilang 10.50.0.10%2 ay tumutukoy sa lokal na konteksto ng domain ng ruta, at ang suffix na iyon ay hindi MPLS label na dinadala sa IP packet ng customer.

Ang VLAN o sinusuportahang tunnel ay kabilang sa isang domain ng ruta sa dokumentadong modelo, kaya dapat magtugma ang interface at address. Suriin din ang default na domain ng ruta ng administratibong partisyon, dahil ang tinanggal na suffix ay hindi nangangahulugang walang konteksto; nangangahulugan ito ng kontekstong ginagamit ng partisyon bilang default. Ang nag-iisang default na iyon ang nagpapaliwanag sa karamihan ng insidente kung saan tahimik na sumagot ang bagong object sa maling nangungupahan. Suriin ito bago ka magdagdag ng sarili mong address.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Hakbang 2: gamitin ang VRF at mga target ng ruta ng provider

Sa gilid ng MPLS, nakikilala ang nangungupahan sa pamamagitan ng VRF ng provider at ng napagkasunduang serbisyo ng routing ng customer. Kinokontrol ng mga target ng ruta kung aling ruta ang ini-import at inie-export ng provider sa pagitan ng mga VRF, at ang pagpili ng mukhang katulad na numero ng domain ng ruta ng BIG-IP ay walang nililikhang anuman sa relasyong iyon.

Ang dalawang identifier ay naninirahan sa magkaibang sistema at may magkaibang kahulugan. Ang ID ng domain ng ruta ay lokal na konteksto sa appliance. Ang target ng ruta ay attribute ng patakaran sa panig ng provider na nagpapasya sa distribusyon ng ruta, at ang distinguisher ng ruta ay isa pang ikatlong bagay, na ginagamit upang panatilihing hiwalay ang mga prefix na kung hindi ay magkapareho.

Hakbang 3: magpasya kung maaaring magbahagi ng maabot ang mga konteksto

Sinadya mong repasuhin ang mga setting ng paghahanap sa parent domain at mahigpit na paghihiwalay, dahil binabago nito kung ano ang maaabot ng isang konteksto. Pinapayagan ng gabay ng F5 ang kontroladong pagpapasa sa mga relasyong iyon, at iyon mismo ang dahilan kung bakit hindi dapat ituring ang domain ng ruta nang nag-iisa bilang kumpletong patakaran sa seguridad ng nangungupahan.

Kung kailangan ng parehong nangungupahan ang isang shared na serbisyo, tukuyin ang aprubadong landas at mga pahintulot sa halip na basta ituro ang isang nangungupahan sa konteksto ng routing ng isa pa. Panatilihin ang pagkakakilanlan ng application at anumang sinadyang pagsasalin ng source kasama ang destinasyon ng network, kung hindi ay makikita ng shared na serbisyo ang isang nangungupahan bilang ang isa pa.

Ang karaniwang routed na paghahatid ay nag-uugnay sa BIG-IP sa edge router ng provider nang hindi ginagawang MPLS PE ang BIG-IP. Kung talagang kailangan ang direktang integrasyon ng MPLS o ng pamilya ng ruta ng VPN, kumuha ng malinaw na suporta para sa eksaktong platform at release, dahil ang lokal na paghihiwalay ng domain ng ruta ay hindi nagtatatag ng kakayahang iyon.

Hakbang 4: i-verify ang isang nangungupahan sa isang pagkakataon

Subukan ang nangungupahan A mula sa endpoint sa konteksto ng A patungo sa address ng application ng A, pagkatapos ay ulitin para sa B. Gamitin ang anyong %ID sa diagnostics upang mapatunayan kung aling konteksto ang sumagot, at kumpirmahin na ang kahilingan mula sa maling konteksto ay nabigo sa halip na mapunta sa isang lugar na makatwiran.

Suriin din ang panig ng provider sa parehong pagdaan: naroroon ang prefix sa tamang VRF, tumutugma ang mga target ng ruta sa worksheet, at ginagamit ng return path ang nilalayong attachment. Ang ping na gumagana mula sa appliance mismo ay nagpapatunay ng konteksto ng appliance, hindi ng nangungupahan.

Itala ang huling mapping sa worksheet, kasama ang default na domain ng ruta ng bawat partisyon at anumang relasyon ng parent domain na pinagana mo. Ang susunod na pagbabago sa environment na ito ay gagawin ng taong nagbabasa ng table na iyon, hindi ng taong nagbabasa ng artikulong ito.