Partitions y Route Domains

Contenido complementario

No se vio en mis lecciones; es común en entornos grandes y multi-cliente.

Pendiente: validar en el lab

Este contenido no salió de mis clases. Probar estos comandos y pasos en BIG-IP VE antes de usarlos en un trabajo real, y corregir lo que difiera en mi versión.

Resumen

Las particiones separan los objetos del BIG-IP en contenedores (/Common, /EquipoA) para delegar la administración: un usuario puede ser Manager solo de su partición. Los route domains separan las tablas de enrutamiento dentro del mismo equipo —igual que las VRF en Cisco— y permiten IPs repetidas (por ejemplo, dos clientes con 10.0.0.0/8). Suelen usarse juntos: cada partición con su route domain por defecto.

Requisitos previos

• Qué equipos o clientes necesitan separación
• VLANs dedicadas para cada route domain
• Rol de Administrator para crearlos

Conceptos clave

Concepto	Qué es
Partition	Contenedor de objetos; /Common es compartida y visible para todas
Route domain	Tabla de rutas independiente con un ID; el 0 es el por defecto
Notación %ID	10.1.1.10%2 = IP en el route domain 2
Default route domain de una partición	Los objetos creados en esa partición usan ese route domain sin escribir %ID
Strict isolation	Impide que el tráfico cruce entre route domains (habilitado por defecto; para enrutar entre RDs hay que deshabilitarlo)

Configuración (Ejemplo)

1. Crear la partición

System > Users > Partition List > Create > Name: ClienteB > Finished.

tmsh create auth partition ClienteB

2. Crear el route domain con sus VLANs

Network > Route Domains > Create > Name: rd2, ID: 2, VLANs: vlan_cliente_b, Strict Isolation: Enabled (ya viene habilitado por defecto) > Finished.

tmsh create net route-domain rd2 id 2 vlans add { vlan_cliente_b }

3. Usar el route domain como default de la partición

System > Users > Partition List > ClienteB > Default Route Domain: rd2 > Update.

4. Self IP, ruta y virtual server en el route domain

tmsh create net self self_cliente_b address 10.1.1.1%2/24 vlan vlan_cliente_b
tmsh create net route default_rd2 network default%2 gw 10.1.1.254%2
tmsh create ltm pool /ClienteB/pool_web members add { 10.1.1.101%2:80 }
tmsh create ltm virtual /ClienteB/vs_web destination 10.1.1.20%2:80 pool /ClienteB/pool_web profiles add { tcp http }
tmsh save sys config

5. Usuario con acceso solo a su partición

System > Users > User List > Create > Role: Manager, Partition Access: ClienteB > Finished.

Verificación

Comando o lugar	Qué debes ver	Si no lo ves
tmsh list net route-domain	rd2 con ID 2 y su VLAN	Paso 2
tmsh list net self	IP con %2	Paso 4
tmsh show net route	Rutas por route domain	Paso 4
Selector Partition arriba a la derecha de la GUI	Solo los objetos de ClienteB	Paso 1 y 5
rdexec 2 ping -c 3 10.1.1.101 (bash)	Responde el servidor del cliente B	Revisa VLAN y self IP del RD

Errores comunes

”Address already exists” al crear una IP repetida

• Causa: la IP se está creando en el route domain 0.
• Solución: usa la notación %ID o crea el objeto dentro de la partición con su route domain por defecto.

No hay conectividad en el route domain

• Causa: falta self IP o ruta en ese RD, o la VLAN no está asociada al RD.
• Solución: revisa VLAN, self IP y ruta con %ID.

El usuario ve objetos de otros equipos

• Causa: tiene acceso a All o a /Common con rol amplio.
• Solución: asígnale solo su partición.