Miền định tuyến F5 và MPLS VRF: lập bản đồ bàn giao người thuê

Hai người thuê chạy cùng một ứng dụng tại 10.50.0.10. Nhà cung cấp giữ họ tách biệt trong các MPLS VPN riêng, và BIG-IP giữ lưu lượng cục bộ của họ trong các miền định tuyến riêng. Cách sắp xếp đó hoạt động cho đến tận bước bàn giao, nơi một hậu tố thiếu hoặc một đích tuyến bị sao chép lặng lẽ đặt gói của người thuê này vào ngữ cảnh của người kia. Tài liệu này nối hai mô hình lại và kết thúc bằng một bài kiểm tra cho từng người thuê.

Bảng làm việc: một dòng cho mỗi người thuê

Hãy điền bảng này trước khi thay đổi bất cứ điều gì. Mỗi bước sau đều tham chiếu đến một ô trong đó, và ô trống là quyết định mà chưa ai đưa ra.

Bước 1: ghim từng đối tượng vào miền định tuyến của nó

Tài liệu về miền định tuyến của F5 mô tả các ngữ cảnh lưu lượng biệt lập, địa chỉ trùng lặp và ký hiệu address%ID cho các đối tượng cấu hình. Một địa chỉ viết là 10.50.0.10%2 đặt tên cho ngữ cảnh miền định tuyến cục bộ, và hậu tố đó không phải nhãn MPLS được mang trong gói IP của khách hàng.

Một VLAN hoặc đường hầm được hỗ trợ thuộc về một miền định tuyến duy nhất trong mô hình đã ghi, vì vậy giao diện và địa chỉ phải khớp nhau. Cũng hãy kiểm tra miền định tuyến mặc định của phân vùng quản trị, vì hậu tố bị bỏ qua không có nghĩa là không có ngữ cảnh; nó có nghĩa là ngữ cảnh mà phân vùng dùng mặc định. Chính giá trị mặc định duy nhất đó giải thích phần lớn sự cố khi một đối tượng mới lặng lẽ trả lời nhầm người thuê. Hãy kiểm tra nó trước khi thêm địa chỉ của riêng bạn.

tmsh list net route-domain
tmsh list net vlan | grep -i domain
tmsh list ltm virtual one_vs

Bước 2: dùng VRF và đích tuyến của nhà cung cấp

Ở rìa MPLS, người thuê được nhận diện bằng VRF của nhà cung cấp và dịch vụ định tuyến khách hàng đã thỏa thuận. Các đích tuyến kiểm soát tuyến nào nhà cung cấp nhập và xuất giữa các VRF, và việc chọn một số miền định tuyến BIG-IP trông tương tự không tạo ra gì từ mối quan hệ đó.

Hai định danh sống trong các hệ thống khác nhau và mang nghĩa khác nhau. ID miền định tuyến là một ngữ cảnh cục bộ trên thiết bị. Đích tuyến là một thuộc tính chính sách phía nhà cung cấp quyết định việc phân phối tuyến, còn bộ phân biệt tuyến lại là thứ thứ ba, được dùng để giữ tách biệt các tiền tố nếu không thì giống hệt nhau.

Bước 3: quyết định xem các ngữ cảnh có được chia sẻ khả năng tiếp cận không

Hãy chủ động xem lại các thiết lập tra cứu miền cha và cách ly nghiêm ngặt, vì chúng thay đổi thứ mà một ngữ cảnh có thể chạm tới. Hướng dẫn của F5 cho phép chuyển tiếp có kiểm soát qua các mối quan hệ đó, và chính vì vậy không nên coi một miền định tuyến là chính sách bảo mật đầy đủ cho người thuê khi đứng một mình.

Nếu cả hai người thuê cần một dịch vụ dùng chung, hãy chỉ rõ đường đi và quyền đã được phê duyệt thay vì bất cẩn trỏ một người thuê vào ngữ cảnh định tuyến của người kia. Giữ nguyên danh tính ứng dụng và mọi việc dịch nguồn có chủ đích cùng với đích mạng, nếu không dịch vụ dùng chung sẽ thấy người thuê này như người kia.

Một bàn giao định tuyến thông thường kết nối BIG-IP với bộ định tuyến biên của nhà cung cấp mà không biến BIG-IP thành một MPLS PE. Nếu thực sự cần tích hợp trực tiếp MPLS hoặc họ tuyến VPN, hãy lấy hỗ trợ rõ ràng cho đúng nền tảng và phiên bản, vì cách ly miền định tuyến cục bộ không thiết lập khả năng đó.

Bước 4: kiểm tra từng người thuê một

Kiểm tra người thuê A từ một điểm cuối trong ngữ cảnh của A đến địa chỉ ứng dụng của A, sau đó lặp lại cho B. Dùng dạng %ID trong chẩn đoán để chứng minh ngữ cảnh nào đã trả lời, và xác nhận rằng yêu cầu từ ngữ cảnh sai sẽ thất bại thay vì đáp xuống một nơi có vẻ hợp lý.

Kiểm tra cả phía nhà cung cấp trong cùng lượt: tiền tố có trong VRF đúng, các đích tuyến khớp với bảng làm việc, và đường quay về dùng kết nối dự kiến. Một lệnh ping chạy được từ chính thiết bị chứng minh ngữ cảnh của thiết bị, không phải của người thuê.

Ghi lại ánh xạ cuối cùng vào bảng làm việc, bao gồm miền định tuyến mặc định của từng phân vùng và mọi quan hệ miền cha mà bạn đã bật. Thay đổi tiếp theo trong môi trường này sẽ do người đọc bảng đó thực hiện, không phải người đọc bài viết này.