Домени маршрутизації F5 і MPLS VRF: зіставте передачу орендаря

Два орендарі запускають той самий застосунок за адресою 10.50.0.10. Провайдер тримає їх окремо в різних MPLS VPN, а BIG-IP зберігає їхній локальний трафік у різних доменах маршрутизації. Ця схема працює аж до передачі, де відсутній суфікс або скопійована ціль маршруту тихо поміщає пакет одного орендаря в контекст іншого. Цей посібник поєднує дві моделі й завершується тестом для кожного орендаря.

Робочий аркуш: один рядок на орендаря

Заповніть його, перш ніж щось змінювати. Кожен наступний крок посилається на клітинку в ньому, а порожня клітинка — це рішення, яке ще ніхто не ухвалив.

Крок 1: закріпіть кожен об'єкт за його доменом маршрутизації

Документація F5 про домени маршрутизації описує ізольовані контексти трафіку, дубльовані адреси та нотацію address%ID для об'єктів конфігурації. Адреса, записана як 10.50.0.10%2, називає локальний контекст домену маршрутизації, і цей суфікс не є міткою MPLS, що переноситься в IP-пакеті клієнта.

VLAN або підтримуваний тунель у документованій моделі належить одному домену маршрутизації, тому інтерфейс і адреса мають збігатися. Перевірте також домен маршрутизації за замовчуванням адміністративного розділу, бо пропущений суфікс означає не відсутність контексту, а той контекст, який розділ використовує за замовчуванням. Саме це єдине значення за замовчуванням пояснює більшість інцидентів, коли новий об'єкт тихо відповідав не тому орендарю. Перевірте його, перш ніж додавати власну адресу.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Крок 2: використовуйте VRF і цілі маршрутів провайдера

На межі MPLS орендаря визначають VRF провайдера та узгоджена служба маршрутизації клієнта. Цілі маршрутів керують тим, які маршрути провайдер імпортує та експортує між VRF, а вибір схожого номера домену маршрутизації BIG-IP не створює нічого з цих відносин.

Два ідентифікатори живуть у різних системах і означають різні речі. ID домену маршрутизації — це локальний контекст на пристрої. Ціль маршруту — атрибут політики на боці провайдера, що визначає розподіл маршрутів, а розрізнювач маршруту — це ще третя річ, яка слугує для розділення інакше ідентичних префіксів.

Крок 3: вирішіть, чи можуть контексти спільно використовувати доступність

Навмисно перегляньте налаштування пошуку в батьківському домені та суворої ізоляції, бо вони змінюють те, чого може досягти контекст. Посібник F5 дозволяє контрольоване пересилання через ці відносини, і саме тому домен маршрутизації не слід сам по собі вважати повною політикою безпеки орендаря.

Якщо обом орендарям потрібен спільний сервіс, укажіть схвалений шлях і дозволи замість того, щоб недбало спрямовувати одного орендаря в контекст маршрутизації іншого. Зберігайте ідентичність застосунку та будь-яке навмисне перетворення джерела разом із мережевим призначенням, інакше спільний сервіс бачитиме одного орендаря як іншого.

Звичайна маршрутизована передача з'єднує BIG-IP із граничним маршрутизатором провайдера, не роблячи BIG-IP точкою MPLS PE. Якщо справді потрібна пряма інтеграція MPLS або родини маршрутів VPN, отримайте явну підтримку для точної платформи й версії, бо локальна ізоляція домену маршрутизації не створює такої можливості.

Крок 4: перевіряйте по одному орендарю за раз

Перевірте орендаря A з кінцевої точки в контексті A до адреси застосунку A, потім повторіть для B. Використовуйте форму %ID у діагностиці, щоб довести, який контекст відповів, і підтвердьте, що запит із неправильного контексту зазнає невдачі, а не потрапляє в якесь правдоподібне місце.

Перевірте бік провайдера в тому самому проході: префікс присутній у правильному VRF, цілі маршрутів збігаються з робочим аркушем, а зворотний шлях використовує передбачене підключення. Ping, що працює з самого пристрою, доводить контекст пристрою, а не орендаря.

Запишіть остаточне зіставлення в робочий аркуш, включно з доменом маршрутизації за замовчуванням кожного розділу та будь-яким увімкненим вами відношенням батьківського домену. Наступну зміну в цьому середовищі зробить той, хто читає цю таблицю, а не той, хто читає цю статтю.