F5 rota alanları ve MPLS VRF'leri: kiracı devrini haritalayın

İki kiracı 10.50.0.10 adresinde aynı uygulamayı çalıştırıyor. Sağlayıcı onları ayrı MPLS VPN'lerde ayrı tutuyor ve BIG-IP yerel trafiklerini ayrı rota alanlarında tutuyor. Bu düzen, devir noktasına kadar çalışır; burada eksik bir sonek veya kopyalanmış bir rota hedefi, bir kiracının paketini sessizce diğer kiracının bağlamına koyar. Bu kılavuz iki modeli birleştirir ve kiracı başına bir testle biter.

Çalışma sayfası: kiracı başına bir satır

Herhangi bir şeyi değiştirmeden önce bunu doldurun. Sonraki her adım içindeki bir hücreye başvurur ve boş bir hücre henüz kimsenin vermediği bir karardır.

Adım 1: her nesneyi kendi rota alanına sabitleyin

F5'in rota alanı belgeleri, yalıtılmış trafik bağlamlarını, yinelenen adresleri ve yapılandırma nesneleri için address%ID gösterimini açıklar. 10.50.0.10%2 olarak yazılan bir adres yerel rota alanı bağlamını adlandırır ve bu sonek müşterinin IP paketinde taşınan bir MPLS etiketi değildir.

Belgelenen modelde bir VLAN veya desteklenen tünel tek bir rota alanına aittir, bu yüzden arayüz ile adres uyuşmalıdır. Yönetim bölümünün varsayılan rota alanını da inceleyin, çünkü atlanan sonek bağlam yok anlamına gelmez; bölümün varsayılan olarak kullandığı bağlamı ifade eder. Bu tek varsayılan, yeni bir nesnenin sessizce yanlış kiracıda yanıt verdiği olayların çoğunu açıklar. Kendi adresinizi eklemeden önce bunu kontrol edin.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Adım 2: sağlayıcının VRF'ini ve rota hedeflerini kullanın

MPLS kenarında kiracı, sağlayıcının VRF'i ve kararlaştırılan müşteri yönlendirme hizmetiyle tanımlanır. Rota hedefleri, sağlayıcının VRF'ler arasında hangi rotaları içe ve dışa aktardığını kontrol eder ve benzer görünen bir BIG-IP rota alanı numarası seçmek o ilişkiden hiçbir şey oluşturmaz.

İki tanımlayıcı farklı sistemlerde yaşar ve farklı şeyler ifade eder. Rota alanı ID'si cihazdaki yerel bağlamdır. Rota hedefi, rota dağıtımına karar veren sağlayıcı tarafındaki bir ilke özniteliğidir ve bir rota ayırt edici yine üçüncü bir şeydir; aksi halde aynı olan önekleri ayrı tutmak için kullanılır.

Adım 3: bağlamların erişilebilirliği paylaşıp paylaşamayacağına karar verin

Üst alan araması ve katı yalıtım ayarlarını bilinçli olarak gözden geçirin, çünkü bunlar bir bağlamın neye ulaşabileceğini değiştirir. F5 kılavuzu bu ilişkiler üzerinden denetimli yönlendirmeye izin verir ve tam da bu nedenle bir rota alanı tek başına eksiksiz bir kiracı güvenlik ilkesi olarak görülmemelidir.

Her iki kiracı da paylaşılan bir hizmete ihtiyaç duyuyorsa, bir kiracıyı gelişigüzel diğerinin yönlendirme bağlamına yönlendirmek yerine onaylanmış yolu ve izinleri belirtin. Uygulama kimliğini ve varsa kasıtlı kaynak çevirisini ağ hedefiyle birlikte koruyun, yoksa paylaşılan hizmet bir kiracıyı diğeri olarak görür.

Sıradan yönlendirilmiş bir devir, BIG-IP'yi MPLS PE yapmadan BIG-IP'yi sağlayıcı kenar yönlendiricisine bağlar. Doğrudan MPLS veya VPN rota ailesi entegrasyonu gerçekten gerekliyse, tam platform ve sürüm için açık destek alın, çünkü yerel rota alanı yalıtımı bu yeteneği kurmaz.

Adım 4: her seferinde bir kiracıyı doğrulayın

Kiracı A'yı A'nın bağlamındaki bir uç noktadan A'nın uygulama adresine test edin, ardından B için tekrarlayın. Hangi bağlamın yanıt verdiğini kanıtlamak için tanılamada %ID biçimini kullanın ve yanlış bağlamdan gelen isteğin makul bir yere inmek yerine başarısız olduğunu doğrulayın.

Aynı geçişte sağlayıcı tarafını da kontrol edin: önek doğru VRF'de bulunuyor, rota hedefleri çalışma sayfasıyla eşleşiyor ve dönüş yolu amaçlanan bağlantıyı kullanıyor. Cihazın kendisinden çalışan bir ping cihazın bağlamını kanıtlar, kiracınınkini değil.

Son eşlemeyi çalışma sayfasına kaydedin; her bölümün varsayılan rota alanı ve etkinleştirdiğiniz her üst alan ilişkisi dahil. Bu ortamdaki bir sonraki değişikliği bu makaleyi okuyan değil, o tabloyu okuyan biri yapacak.