NX-OS EVPN null rotası: atmayı tek bir kiracı içinde tutun

İstek tek satırlık bir değişiklik olarak gelir: bir adresi kara deliğe at. Kiracı bağlamı içinde Null0’a bir ana bilgisayar rotası eklersiniz, önek beklendiği gibi yerel tablodan kaybolur ve sonra sorular başlar. Rota cihazdan çıktı mı? Uzak VTEP’ler attı mı, yoksa yalnızca erişilebilirliği mi kaybetti? Artık ikinci bir kiracı etkileniyor mu?

Doğru bir yerel statik rota bu sorulardan yalnızca ilkine yanıt verir, bu yüzden bir blackhole değişikliği aslında tek bir komut değil, incelenmiş üç sonuçtur.

Değişikliğin gerçekte ne üretmesi gerekiyor

Üç sonucu yazarak başlayın. Amaçlanan kiracı hedefi yerel olarak atmalıdır. Yalnızca yetkili rota dışa aktarılabilir ve başka hiçbir şey onunla birlikte gitmemelidir. Her alan VTEP, başka bir yol yerine amaçlanan atma eylemini seçmelidir.

Her sonucun kendi kanıtı vardır ve hiçbiri diğerlerini gerektirmez. Yerel bir Null0 rotası yerel atma üretir ve yeniden dağıtım olmadan hiçbir şey dışa aktarmaz. Kararlaştırılan community olmadan yeniden dağıtılan bir rota sıradan bir önek olarak gelir ve iletilir. Alma ilkesi olmayan bir community tamamen yok sayılabilir.

Sonuçları önce yazmak, sizi sık görülen bir hatadan da korur: hedef zaten ilgisiz bir nedenle erişilemez olduğu için çalışıyor gibi görünen bir değişiklik. İkisini nasıl ayırt edeceğinizi tanımlayamıyorsanız, kabul testi henüz tasarlanmamıştır.

Yerel ifade yalnızca ilk kısmı yapar

10.4(x) dizisindeki NX-OS için null rota, VRF’yi adlandıran tek bir komutta değil, kiracının VRF bağlamı içinde yer alır. Parça kısadır ve kesinlikle tam bir EVPN yapılandırması değildir.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Adres bir belge önekidir, hedef değil. VRF adının rota komutunun kendi içinde göründüğü IOS ile sözdizimi farkına dikkat edin ve herhangi bir şey yapıştırmadan önce gerçekten çalıştırdığınız sürüm için desteklenen biçimi doğrulayın.

Tek başına bu satır, TENANT_A içindeki o ana bilgisayar için trafiği atar ve başka bir şey yapmaz. Rotayı etiketlemez, BGP için seçmez ve community ayarlamaz. Bunlar ayrı yapılandırma kararlarıdır ve her biri, değişikliğin ya çalışamayacak kadar dar ya da güvenli olamayacak kadar geniş olabileceği bir noktadır.

Yerel atma aynı hedefe giden meşru trafiği de etkiler. Amaç, gerçek kullanıcılar hâlâ adrese ihtiyaç duyarken kötüye kullanan tek bir kaynağı durdurmaksa, null rota yanlış araçtır ve bunu ilk destek çağrısından öğrenirsiniz.

Dışa aktarma ve içe aktarma ayrı anlaşmalardır

Kapsam yeniden dağıtımda belirlenir. Uygun önekleri onaylanmış hafifletmeyle sınırlayın, kiracının içinde tutun ve kaynak eşleri tasarımdakilerle sınırlayın. Etiketlenmiş tek bir ana bilgisayar rotası gidecek diye her statik rotayı yeniden dağıtmak, bir bakım değişikliğinin yönlendirme olayına dönüşme yoludur.

BLACKHOLE community bilinen bir değer üzerine bir anlaşmadır, herhangi bir komşuya herhangi bir adresi atma yetkisi değildir. RFC 7999 bunu bu terimlerle açıklar ve kimin duyurabileceğine dair güven sınırı uygulama ayrıntısı değil, tasarımın parçasıdır.

Alan taraf kendi yapılandırmasına ihtiyaç duyar. NX-OS’ta tip 5 null rotalar, atma davranışını seçmek için VTEP’te route-map işlemesi gerektirir ve bu, dışa aktarma adımlarıyla birlikte belgelenmiştir. Doğru etiketleyen bir gönderen cihaz ile etiketi yok sayan bir alıcı, uygulanmış gibi görünen ve yine de trafiği ileten bir değişiklik üretir.

Oradayken route-map’i yan etkiler açısından gözden geçirin. Yeni kısıtlayıcı bir ilke, ilgisiz önekler için meşru erişilebilirliği bastırabilir ve bu hasar blackhole’dan daha geç ortaya çıkar ve ona atfedilmesi daha zordur.

Geri çekmeyi eklemeden önce yazın

Herhangi bir şey yapılandırılmadan önce hedefin sahibini, nedeni, onaylayanı ve bir son kullanma tarihini kaydedin. Son kullanma tarihi olmayan bir atma, kökenini kimsenin hatırlamadığı kalıcı bir girdi hâline gelir ve adresi ayıklayacak bir sonraki kişi onu ağın normal bir parçası sayar.

Değiştirdiğiniz rotaya bağlı olmayan bağımsız bir yönetim yolu tutun. Hafifletme, cihaza ulaşmak için kullandığınız bir adresi kapsıyorsa, ekstra adımlarla bir kilitleme oluşturdunuz.

Hafifletmeyi kaldıran kesin denetimi adlandırın ve o kaldırmayı laboratuvarda ya da karşılayabileceğiniz bir pencerede test edin. Kimsenin prova etmediği bir geri çekme prosedür değil, plandır.

Komutun çıktısıyla değil, kanıtla kabul edin

Amaçlanan VTEP’lerde seçilen yönlendirme durumunu ve iletme durumunu denetleyin, ve etkilenmemesi gereken komşu bir hedefi denetleyin. Başka hiçbir kiracının öneki içe aktarmadığını doğrulayın, çünkü kiracılar arası sızıntı bir bakım eylemini olaya dönüştüren arıza modudur.

Sonra geri çekin ve normal rotanın ve hizmetin döndüğünü doğrulayın. NX-OS EVPN null rota kılavuzu 10.4(x) sürümü için burada açıklanan etiketlemeyi, yeniden dağıtımı ve alma ilkesini belgeler ve kendi sürümünüzle karşılaştırmanız gereken referanstır.