Tuyến null trên NX-OS EVPN: giữ việc loại bỏ trong một tenant

Yêu cầu đến dưới dạng một thay đổi một dòng: chặn một địa chỉ. Bạn thêm một tuyến host tới Null0 trong ngữ cảnh tenant, tiền tố biến mất khỏi bảng cục bộ như mong đợi, và rồi các câu hỏi bắt đầu. Tuyến đã rời khỏi thiết bị chưa? Các VTEP ở xa đã loại bỏ, hay chỉ đơn giản là mất khả năng tiếp cận? Liệu một tenant thứ hai có bị ảnh hưởng không?

Một tuyến tĩnh cục bộ đúng chỉ trả lời câu hỏi đầu tiên trong số đó, đó là lý do một thay đổi blackhole thực ra là ba kết quả đã được xem xét chứ không phải một lệnh.

Thay đổi thực sự phải tạo ra gì

Hãy bắt đầu bằng việc viết ra ba kết quả. Tenant dự định phải loại bỏ đích cục bộ. Chỉ tuyến được ủy quyền mới được xuất, và không có gì khác đi kèm. Mỗi VTEP nhận phải chọn hành động loại bỏ dự định chứ không phải một đường khác.

Mỗi kết quả có bằng chứng riêng, và không kết quả nào hàm ý các kết quả khác. Một tuyến Null0 cục bộ tạo ra loại bỏ cục bộ và, nếu không phân phối lại, không xuất gì cả. Một tuyến được phân phối lại mà không có community đã thỏa thuận sẽ đến như một tiền tố thông thường và được chuyển tiếp. Một community không có chính sách nhận có thể bị bỏ qua hoàn toàn.

Viết các kết quả trước cũng bảo vệ bạn khỏi một thất bại phổ biến: một thay đổi trông như hoạt động vì đích vốn đã không thể tiếp cận vì một lý do không liên quan. Nếu bạn không thể mô tả cách phân biệt hai trường hợp, bài kiểm tra chấp nhận vẫn chưa được thiết kế.

Câu lệnh cục bộ chỉ làm phần đầu

Với NX-OS trong dòng 10.4(x), tuyến null nằm trong ngữ cảnh VRF của tenant chứ không phải trong một lệnh duy nhất nêu tên VRF. Đoạn này ngắn, và nó hoàn toàn không phải là một cấu hình EVPN đầy đủ.

vrf context TENANT_A
  ip route 192.0.2.10/32 Null0

Địa chỉ là một tiền tố tài liệu, không phải mục tiêu. Hãy chú ý sự khác biệt cú pháp so với IOS, nơi tên VRF xuất hiện bên trong chính lệnh tuyến, và xác nhận dạng được hỗ trợ cho phiên bản bạn thực sự chạy trước khi dán bất cứ thứ gì.

Tự nó, dòng này loại bỏ lưu lượng cho host đó trong TENANT_A và không làm gì khác. Nó không gắn thẻ tuyến, không chọn tuyến cho BGP và không đặt community. Đó là những quyết định cấu hình riêng biệt, và mỗi cái là nơi thay đổi có thể quá hẹp để hoạt động hoặc quá rộng để an toàn.

Việc loại bỏ cục bộ cũng ảnh hưởng đến lưu lượng hợp pháp tới cùng đích. Nếu ý định là dừng một nguồn lạm dụng trong khi người dùng thật vẫn cần địa chỉ, thì tuyến null là công cụ sai và bạn sẽ học được điều đó từ cuộc gọi hỗ trợ đầu tiên.

Xuất và nhập là hai thỏa thuận riêng

Phân phối lại là nơi phạm vi được quyết định. Giới hạn các tiền tố đủ điều kiện trong biện pháp đã được phê duyệt, giữ nó trong tenant, và giới hạn các peer nguồn ở những peer trong thiết kế. Phân phối lại mọi tuyến tĩnh vì một tuyến host được gắn thẻ cần đi là cách một thay đổi bảo trì trở thành sự cố định tuyến.

Community BLACKHOLE là một thỏa thuận về một giá trị đã biết, không phải sự cho phép để bất kỳ láng giềng nào loại bỏ bất kỳ địa chỉ nào. RFC 7999 mô tả nó theo những thuật ngữ đó, và ranh giới tin cậy về việc ai được phép quảng bá nó là một phần của thiết kế chứ không phải chi tiết triển khai.

Phía nhận cần cấu hình riêng. Trên NX-OS, các tuyến null loại 5 yêu cầu xử lý route-map tại VTEP để chọn hành vi loại bỏ, điều này được ghi lại cùng với các bước xuất. Một thiết bị gửi gắn thẻ đúng và một bên nhận bỏ qua thẻ sẽ tạo ra một thay đổi trông như đã áp dụng và vẫn chuyển tiếp lưu lượng.

Hãy xem lại route-map về các tác dụng phụ khi bạn ở đó. Một chính sách hạn chế mới có thể chặn khả năng tiếp cận hợp pháp của các tiền tố không liên quan, và tổn thất đó xuất hiện muộn hơn blackhole và khó quy cho nó hơn.

Viết việc rút lại trước khi chèn

Ghi lại chủ sở hữu đích, lý do, người phê duyệt và ngày hết hạn trước khi bất cứ điều gì được cấu hình. Một việc loại bỏ không có ngày hết hạn trở thành một mục vĩnh viễn mà không ai nhớ nguồn gốc, và người tiếp theo gỡ lỗi địa chỉ sẽ coi nó là một phần bình thường của mạng.

Duy trì một đường quản lý độc lập không phụ thuộc vào tuyến bạn đang thay đổi. Nếu biện pháp bao phủ một địa chỉ bạn dùng để đến thiết bị, bạn đã tạo ra một khóa ngoài với các bước thêm.

Nêu tên chính xác điều khiển loại bỏ biện pháp, và kiểm tra việc loại bỏ đó trong phòng thí nghiệm hoặc trong một cửa sổ bạn có thể chịu được. Một việc rút lại mà không ai luyện tập là kế hoạch chứ không phải quy trình.

Chấp nhận bằng bằng chứng, không bằng đầu ra của lệnh

Kiểm tra trạng thái định tuyến đã chọn và trạng thái chuyển tiếp tại các VTEP dự định, và kiểm tra một đích lân cận phải còn nguyên vẹn. Xác nhận rằng không tenant nào khác đã nhập tiền tố, vì rò rỉ giữa các tenant là chế độ hỏng biến một hành động bảo trì thành sự cố.

Sau đó rút lại và xác minh rằng tuyến bình thường và dịch vụ quay trở lại. Xem hướng dẫn tuyến null của NX-OS EVPN cho bản phát hành 10.4(x) ghi lại việc gắn thẻ, phân phối lại và chính sách nhận được mô tả ở đây, và đây là tài liệu tham chiếu để đối chiếu với bản phát hành của bạn.