تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.
ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).
يصف هذا وثيقة كيف أن يشكل ودققت VRF تسرب على VXLAN بيئة.
في بيئة شبكة VXLAN (شبكة LAN الموسعة الظاهرية)، غالبا ما يتطلب توصيل مضيفي شبكة VXLAN بمضيفين خارجيين من البنية إستخدام تسرب التردد اللاسلكي (VRF) وأجهزة طرفية الحد.
يعد تسريب تردد الراديو (VRF) أمرا بالغ الأهمية لتمكين الاتصال بين مضيفي شبكات VXLAN والمضيفين الخارجيين مع الحفاظ على تجزئة الشبكة وأمانها في الوقت نفسه.
يعمل جهاز ورقة الحدود كبوابة بين بنية VXLAN والشبكات الخارجية، مما يلعب دورا محوريا في تسهيل هذا الاتصال.
يمكن تلخيص أهمية تسرب التردد اللاسلكي في هذا السيناريو بالجمل التالية:
اتصال بيني مع الشبكات الخارجية: يسمح تسريب VRF لمضيفي شبكات VXLAN داخل البنية بالاتصال بمضيفين خارجيين خارج البنية. ويتيح ذلك إمكانية الوصول إلى الموارد والخدمات والتطبيقات المستضافة على الشبكات الخارجية، مثل الإنترنت أو مراكز البيانات الأخرى.
تجزئة الشبكة وعزلها: يحافظ تسرب التردد اللاسلكي (VRF) على تجزئة الشبكة وعزلها داخل بنية VXLAN مع تمكين الاتصال الانتقائي بالشبكات الخارجية في الوقت نفسه. وهذا يضمن أن تظل مضيفات شبكات VXLAN معزولة عن بعضها البعض استنادا إلى تعيينات التردد اللاسلكي (VRF) الخاصة بهم مع الاستمرار في إمكانية الوصول إلى الموارد الخارجية حسب الحاجة.
تطبيق السياسة: يتيح تسريب عامل VRF للمسؤولين فرض سياسات الشبكة وعناصر التحكم في الوصول لحركة المرور المتدفقة بين مضيفي VXLAN والمضيفين الخارجيين. وهذا يضمن أن الاتصالات تستخدم سياسات أمان محددة مسبقا وتمنع الوصول غير المصرح به إلى الموارد الحساسة.
قابلية التطوير والمرونة: يعمل تسريب التردد اللاسلكي (VRF) على تحسين قابلية التطوير والمرونة لعمليات نشر شبكات VXLAN من خلال السماح لمضيفي شبكات VXLAN بالاتصال بسلاسة مع الأجهزة المضيفة الخارجية. وهو يتيح التخصيص الديناميكي وتقاسم الموارد بين شبكات VXLAN والشبكات الخارجية، مع التكيف مع متطلبات الشبكة المتغيرة دون مقاطعة التكوينات الموجودة.
يعد تسريب مسارات التصفية في (التوجيه وإعادة التوجيه الظاهري) VRF أمرا بالغ الأهمية للحفاظ على أمان الشبكة وتحسين كفاءة التوجيه ومنع تسرب البيانات غير المقصود. يتيح تسريب التردد اللاسلكي (VRF) إمكانية الاتصال بين الشبكات الافتراضية مع إبقائها منفصلة بشكل منطقي في نفس الوقت.
يمكن تلخيص أهمية تصفية المسارات في تسريب VRF بالعبارات التالية:
الأمان: تضمن تصفية المسارات أن يتم تسريب مسارات معينة فقط بين حالات التردد اللاسلكي (VRF)، مما يقلل من خطر الوصول غير المصرح به أو حالات أختراق البيانات. ومن خلال التحكم في المسارات التي يسمح لها بعبور حدود التردد اللاسلكي (VRF)، يمكن للمسؤولين فرض السياسات الأمنية ومنع تعرض المعلومات الحساسة إلى كيانات غير مصرح لها بذلك.
العزل: تم تصميم الشبكات الافتراضية الخاصة لتوفير تجزئة الشبكة وعزلها، مما يسمح لمختلف المستأجرين أو الإدارات بالعمل بشكل مستقل ضمن نفس البنية الأساسية المادية. تساعد مسارات التصفية في تسريب التردد اللاسلكي (VRF) على الحفاظ على هذه العزل من خلال تحديد نطاق نشر المسار بين مثيلات التردد اللاسلكي (VRF)، مما يمنع الاتصال غير المقصود ومكامن الضعف الأمنية المحتملة.
التوجيه المحسن: تتيح موجهات التصفية للمسؤولين إمكانية تسريب المسارات الضرورية فقط بين شبكات VRF بشكل انتقائي، مما يعمل على تحسين كفاءة التوجيه وتقليل حركة المرور غير الضرورية عبر الشبكة. من خلال تصفية المسارات غير ذات الصلة، يمكن للمسؤولين التأكد من أن حركة المرور تستخدم المسارات الأكثر فعالية مع تقليل الازدحام وزمن الوصول في نفس الوقت.
إستخدام الموارد: من خلال تصفية المسارات، يمكن للمسؤولين التحكم في تدفق حركة مرور البيانات بين مثيلات التردد اللاسلكي (VRF)، مما يعمل على تحسين إستخدام الموارد وتخصيص النطاق الترددي العريض. ويساعد هذا على منع إزدحام الشبكة ويضمن توفر الموارد الحيوية للتطبيقات أو الخدمات ذات الأولوية.
التوافق: تساعد تصفية المسارات في تسرب التردد اللاسلكي (VRF) المؤسسات على المحافظة على التوافق مع المتطلبات التنظيمية ومعايير الصناعة. ومن خلال تقييد تسرب المسارات إلى الكيانات المأذون لها فقط، يمكن للمنظمات أن تبرهن على امتثالها لأنظمة حماية البيانات وضمان سلامة المعلومات الحساسة.
التحكم متعدد المستويات: توفر مسارات التصفية للمسؤولين تحكم دقيق في الاتصال بين مثيلات التردد اللاسلكي (VRF)، مما يتيح لهم تحديد سياسات معينة استنادا إلى متطلباتهم الفريدة. وتتيح هذه المرونة للمؤسسات إمكانية تكييف عمليات تكوين الشبكات الخاصة بها لتلبية إحتياجات التطبيقات أو المستخدمين أو الأقسام المختلفة.
بيئة VXLAN الموجودة باستخدام موجه حدود
توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
الاسم | المنصة | الإصدار |
المضيف-2 | N9K-C92160YC-X | 9.3(6) |
ليف-VPC-1 | N9K-C93180YC-EX | 9.3(9) |
ليف-VPC-2 | N9K-C93108TC-EX | 9.3(9) |
ورقة | N9K-C9332D-GX2B | 10.2(6) |
BL | N9K-C9348D-GX2A | 10.2(5) |
EXT-R | N9K-C9348D-GX2A | 10.2(3) |
عمود فقري | N9K-C93108TC-FX3P | 10.1(1) |
"تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.
إعتبار BGP كتطبيق، BGP هو التطبيق الذي يتم إستخدامه لإجراء التسريب بين VRFs
على سبيل المثال، يتلقى VTEP للحدود (BL) 172.16.120.55 من جهاز خارجي عن طريق OSFP في الوضع الافتراضي VRF الذي سيتم تسريبه إلى VRF المستأجر.
BL# sh ip route 172.16.120.55
IP Route Table for VRF "default"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
172.16.120.55/32, ubest/mbest: 1/0
*via 10.105.100.2, Eth1/41.2, [110/2], 00:00:10, ospf-1, intra
في NXOS، يلزم وجود خريطة مسار كمعلمة لتصفية المسارات وإعادة توزيعها، على سبيل المثال، سيتم تصفية البادئة 172.16.120.55/32.
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
BL# تكوين الوحدة الطرفية دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
BL(config)# ip prefix-list vxlan-vrf-default-to-tenant يسمح 172.16.120.55/32 |
إنشاء مضيف مطابق لقائمة البادئات. |
الخطوة 3 |
BL(config)# route-map VXLAN-VRF-default-to-Tenant |
إنشاء خريطة مسار. |
الخطوة 4 |
BL(config-route-map)# تطابق بادئة عنوان IP-list VXLAN-VRF-default-to-Tenant |
مطابقة قائمة البادئات التي تم إنشاؤها في الخطوة 2. |
بمجرد التحقق من وجود المسار على VRF الافتراضي، يجب إستيراد المسار إلى عملية BGP.
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
BL# تكوين الوحدة الطرفية دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
BL(config)# موجه BGP 65000 |
يدخل تكوين BGP. |
الخطوة 3 |
BL(config-router)# address-family ipV4 unicast |
أدخل عنوان BGP-اسم IPv4. |
الخطوة 4 |
BL(config-router-af)# إعادة توزيع OSPF 1 route-map VXLAN-VRF-default-to-Tenant |
إعادة توزيع المسار من OSPF إلى BGP باستخدام خريطة المسار التي تم إنشاؤها في الخطوة 3. |
BL(config-router-af)# show ip bgp 172.16.120.55
BGP routing table information for VRF default, address family IPv4 Unicast
BGP routing table entry for 172.16.120.55/32, version 16
Paths: (1 available, best #1)
Flags: (0x000002) (high32 00000000) on xmit-list, is not in urib
Advertised path-id 1
Path type: redist, path is valid, is best path, no labeled nexthop
AS-Path: NONE, path locally originated
0.0.0.0 (metric 0) from 0.0.0.0 (172.16.0.5)
Origin incomplete, MED 2, localpref 100, weight 32768
Extcommunity: OSPF RT:0.0.0.0:0:0
وبمجرد إستيراد المسار إلى BGP، يمكن إستيراد المسار الآن لاستهداف VRF (المستأجر-A).
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
BL(config)# vrf سياق المستأجر-A |
يدخل VRF تشكيل. |
الخطوة 2 |
BL(config-vrf)# address-family ipV4 unicast |
يدخل مجموعة عناوين IPv4. |
الخطوة 3 |
BL(config-vrf-af-ipV4)# إستيراد vrf خريطة افتراضية VXLAN-VRF-default-to-Tenant advertising-vpn |
إستيراد المسار من VRF الافتراضي إلى VPN الخاص بإعلان VRF للمستأجر |
تحذير: بشكل افتراضي، يكون الحد الأقصى لعدد بادئات IP التي يمكن إستيرادها من ملف VRF الافتراضي إلى ملف VRF غير افتراضي هو 1000 موجه. يمكن تغيير هذه القيمة باستخدام الأمر تحت IPv4 لعائلة عنوان VRF: إستيراد <عدد البادئات> المخطط الافتراضي <route-map name> notify-vpn.
BL# sh bgp l2vpn evpn 172.16.120.55
BGP routing table information for VRF default, address family L2VPN EVPN
Route Distinguisher: 172.16.0.5:3 (L3VNI 303030)
BGP routing table entry for [5]:[0]:[0]:[32]:[172.16.120.55]/224, version 38
Paths: (1 available, best #1)
Flags: (0x000002) (high32 00000000) on xmit-list, is not in l2rib/evpn
Multipath: Mixed
Advertised path-id 1
Path type: local, path is valid, is best path, no labeled nexthop
Gateway IP: 0.0.0.0
AS-Path: NONE, path locally originated
172.16.0.5 (metric 0) from 0.0.0.0 (172.16.0.5)
Origin incomplete, MED 2, localpref 100, weight 32768
Received label 303030
Extcommunity: RT:65000:303030 ENCAP:8 Router MAC:20cf.ae54.fa3b
OSPF RT:0.0.0.0:0:0
Path-id 1 advertised to peers:
10.104.11.1
BL# sh ip route 172.16.120.55 vrf tenant-a
IP Route Table for VRF "tenant-a"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
172.16.120.55/32, ubest/mbest: 1/0
*via 172.16.0.5%default, [200/2], 00:02:47, bgp-65000, internal, tag 65000, segid: 303030 tunnelid: 0xac100005 encap: VXLAN
على سبيل المثال، يتلقى VTEP للحدود (BL) المسار 192.168.10.11 عبر VXLAN على المستأجر-a VRF الذي سيتم تسريبه إلى التقصير VRF.
BL# sh ip route 192.168.10.11 vrf tenant-a
IP Route Table for VRF "tenant-a"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
192.168.10.11/32, ubest/mbest: 1/0
*via 172.16.100.10%default, [200/0], 01:15:04, bgp-65000, internal, tag 65000, segid: 303030 tunnelid: 0xac10640a encap: VXLAN
في NXOS، يلزم وجود خريطة مسار كمعلمة لتصفية المسارات وإعادة توزيعها، على سبيل المثال، سيتم تصفية البادئة 172.16.120.55/32.
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
BL# تكوين الوحدة الطرفية دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
BL(config)# ip prefix-list VXLAN-VRF-Tenant-to-default يسمح 192.168.10.11/32 |
إنشاء مضيف مطابق لقائمة البادئات. |
الخطوة 3 |
BL(config)# route-map VXLAN-VRF-Tenant-to-default |
إنشاء خريطة مسار. |
الخطوة 4 |
BL(config-route-map)# تطابق بادئة عنوان IP-list VXLAN-VRF-Tenant-to-default |
مطابقة قائمة البادئات التي تم إنشاؤها في الخطوة 2. |
بما أن المسار موجود بالفعل على عملية BGP L2VPN، فإنه يحتاج فقط إلى التصدير إلى إعدادات VRF الافتراضية.
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
BL# تكوين الوحدة الطرفية دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
BL(config)# vrf سياق المستأجر-A |
يدخل VRF تشكيل. |
الخطوة 3 |
BL(config-vrf)# address-family ipV4 unicast |
أدخل IPv4 لعائلة عنوان VRF. |
الخطوة 4 |
BL(config-vrf-af-ipv4)# تصدير vrf خريطة افتراضية VXLAN-VRF-Tenant-to-default allow-vpn |
تصدير المسار من VRF المستأجر إلى الوضع الافتراضي VRF الذي يسمح ل VPN |
تحذير: بشكل افتراضي، يكون الحد الأقصى لعدد بادئات IP التي يمكن تصديرها من ملف VRF غير الافتراضي إلى ملف VRF افتراضي هو 1000 موجه. يمكن تغيير هذه القيمة باستخدام الأمر ضمن IPv4 لعائلة عنوان VRF: تصدير <عدد البادئات> خريطة <route-map name> allow-vpn.
BL(config-router-vrf-neighbor)# sh ip bgp 192.168.10.11
BGP routing table information for VRF default, address family IPv4 Unicast
BGP routing table entry for 192.168.10.11/32, version 55
Paths: (1 available, best #1)
Flags: (0x8000001a) (high32 00000000) on xmit-list, is in urib, is best urib route, is in HW
Advertised path-id 1
Path type: internal, path is valid, is best path, no labeled nexthop, in rib
Imported from 172.16.0.5:3:192.168.10.11/32 (VRF tenant-a)
Original source: 172.16.100.1:32777:[2]:[0]:[0]:[48]:[0027.e380.6059]:[32]:[192.168.10.11]/272
AS-Path: NONE, path sourced internal to AS
172.16.100.10 (metric 45) from 10.104.11.1 (192.168.0.11)
Origin IGP, MED not set, localpref 100, weight 0
Received label 101010 303030
Extcommunity: RT:65000:101010 RT:65000:303030 SOO:172.16.100.10:0 ENCAP:8
Router MAC:70db.9855.f52f
Originator: 172.16.100.1 Cluster list: 192.168.0.11
Path-id 1 not advertised to any peer
BL(config-router-vrf-neighbor)# show ip route 192.168.10.11
IP Route Table for VRF "default"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
192.168.10.11/32, ubest/mbest: 1/0
*via 172.16.100.10, [200/0], 00:03:51, bgp-65000, internal, tag 65000, segid: 303030 tunnelid: 0xac10640a encap: VXLAN
Tenant-VRF to Default VRF
على سبيل المثال، يتلقى Nexus LEAF المسار 172.16.120.55/32 المستأجر-A الذي سيتم تسريبه إلى VRF المستأجر-B
show ip route 172.16.120.55/32 vrf tenant-a
IP Route Table for VRF "tenant-a"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
172.16.120.55/32, ubest/mbest: 1/0
*via 172.16.0.5%default, [200/2], 4d02h, bgp-65000, internal, tag 65000, segid: 303030 tunnelid: 0xac100005 encap: VXLAN
من أجل تصفية المسارات يلزم وجود خطوتين، يتم إجراء التصفية بين شبكات VRF من خلال أهداف المسار (RT)، يتم تكوين RT بواسطة <معرف عملية BGP>:L3VNI ID> وتصفية شبكات فرعية معينة. إذا لم تستخدم الخطوة الثانية فإن كل المسارات من المصدر VRF سيتم تسريبها إلى الوجهة VRF.
LEAF# show nve vni
<Snipped>
Interface VNI Multicast-group State Mode Type [BD/VRF] Flags
--------- -------- ----------------- ----- ---- ------------------ -----
nve1 50500 n/a Up CP L3 [tenant-b]
nve1 101010 224.10.10.10 Up CP L2 [10]
nve1 202020 224.10.10.10 Up CP L2 [20]
nve1 303030 n/a Up CP L3 [tenant-a]
LEAF# show run bgp | include ignore-case router
router bgp 65000
router-id 172.16.0.2
على سبيل المثال، يساوي هدف المسار: 65000:303030 وسيتم تصفية المسار 172.16.120.55/32.
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
Leaf# configure terminal دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
يسمح page(config)# ip prefix-list filter-tenant-a-to-tenant-b ب 172.16.120.55/32 |
إنشاء مضيف مطابق لقائمة البادئات. |
الخطوة 3 |
LEAF(config)# route-map tenantA-to-tenantB |
إنشاء خريطة مسار. |
الخطوة 4 |
LEAF(config-route-map)# تطابق بادئة عنوان IP-listFilter-tenant-a-to-tenant-b |
مطابقة قائمة البادئات التي تم إنشاؤها في الخطوة 2. |
بمجرد تحديد RT وتكوين التصفية، يمكن إستيراد المسار إلى VRF الوجهة (المستأجر-b)
أمر أو إجراء |
الغرض |
|
الخطوة 1 |
Leaf# configure terminal دخلت تشكيل أمر، واحد لكل خط. إنهاء ب CNTL/Z. |
يدخل تشكيل أسلوب. |
الخطوة 2 |
LEAF(config)# vrf context tenant-b |
يدخل VRF تشكيل. |
الخطوة 3 |
LEAF(config-vrf)# address-family IPv4 unicast |
أدخل IPv4 لعائلة عنوان VRF. |
الخطوة 4 |
LEAF(config-vrf-af-ipv4)# إستيراد خريطة المستأجر من A إلى-المستأجر B |
إستيراد المسار الذي تمت تصفيته باستخدام خريطة المسار |
الخطوة 5 |
page(config-vrf-af-ipv4)# route-target import 65000:303030 |
إستيراد هدف المسار |
الخطوة 6 |
leaf(config-vrf-af-ipv4)# route-target import 65000:3030 evpn |
إستيراد ملف تعريف هدف المسار |
تحذير: يمكن أن يسمح عدم إستخدام خريطة إستيراد لكافة المسارات من الأصل التي تسربها VRF إلى VRF الهدف. يمكن أن يسمح إستخدام خريطة الاستيراد بالتحكم في المسارات التي سيتم تسريبها.
LEAF(config-vrf-af-ipv4)# show ip bgp 172.16.120.55/32 vrf tenant-b
BGP routing table information for VRF tenant-b, address family IPv4 Unicast
BGP routing table entry for 172.16.120.55/32, version 311
Paths: (1 available, best #1)
Flags: (0x8008021a) (high32 00000000) on xmit-list, is in urib, is best urib route, is in HW
vpn: version 456, (0x00000000100002) on xmit-list
Advertised path-id 1, VPN AF advertised path-id 1
Path type: internal, path is valid, is best path, no labeled nexthop, in rib
Imported from 172.16.0.5:3:[5]:[0]:[0]:[32]:[172.16.120.55]/224
AS-Path: NONE, path sourced internal to AS
172.16.0.5 (metric 45) from 10.101.11.1 (192.168.0.11)
Origin incomplete, MED 2, localpref 100, weight 0
Received label 303030
Extcommunity: RT:65000:303030 ENCAP:8 Router MAC:20cf.ae54.fa3b
OSPF RT:0.0.0.0:0:0
Originator: 172.16.0.5 Cluster list: 192.168.0.11
VRF advertise information:
Path-id 1 not advertised to any peer
VPN AF advertise information:
Path-id 1 not advertised to any peer
LEAF# show ip route 172.16.120.55/32 vrf tenant-b
IP Route Table for VRF "tenant-b"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
172.16.120.55/32, ubest/mbest: 1/0
*via 172.16.0.5%default, [200/2], 00:00:08, bgp-65000, internal, tag 65000, segid: 303030 (Asymmetric) tunnelid: 0xac100005 encap: VXLAN
المراجعة | تاريخ النشر | التعليقات |
---|---|---|
1.0 |
16-Feb-2024 |
الإصدار الأولي |