इंटरफ़ेस मॉडल और आउट-ऑफ़-बैंड प्रबंधन

Customer Edge (CE) के पास ऐसा कोई स्थानीय प्रबंधन प्लेन नहीं होता जिसे इस नाम से पुकारा जा सके। बूटस्ट्रैप कॉन्फ़िगरेशन और डायग्नोस्टिक्स को छोड़कर, CE को प्रबंधित करने वाली हर चीज़ F5 Distributed Cloud कंट्रोल प्लेन से संचालित होती है, और नोड एक विशिष्ट इंटरफ़ेस के माध्यम से उस कंट्रोल प्लेन तक पहुँचता है। यही अकेला तथ्य पूरे इंटरफ़ेस मॉडल को तय करता है, और इसे गलत समझना सबसे आम तरीका है जिससे एक CE तैनाती टूटने के बजाय वास्तुकला की दृष्टि से गलत हो जाती है।

यह पृष्ठ उन दो अवधारणाओं को अलग करता है जो “प्रबंधन” शब्द साझा करती हैं लेकिन एक ही संरचना नहीं हैं:

	यह क्या है
Site Local Outside (SLO)	वह इंटरफ़ेस जिसके माध्यम से एक CE रजिस्टर करता है और होम सर्वर से संपर्क (phone home) करता है। हर CE पर, हर मोड में मौजूद। पंजीकरण के बाद अपरिवर्तनीय। सामान्य स्थिति में, यही प्रबंधन पथ है।
Management network	एक अलग, नया, अधिक संकीर्ण Secure Mesh Site v2 (SMSv2) विकल्प जो अपने स्वयं के कर्नेल Virtual Routing and Forwarding (VRF) उदाहरण में एक वास्तविक आउट-ऑफ़-बैंड (OOB) इंटरफ़ेस जोड़ता है। केवल एकल-नोड साइटों के लिए।

Site Local Outside कोई डेटा इंटरफ़ेस नहीं है जो संयोग से पहला है

SLO, CE नोड को F5 Distributed Cloud Regional Edges (REs) से जोड़ता है, और यही वह स्थान है जहाँ पंजीकरण, अपग्रेड और कंट्रोल-प्लेन कनेक्टिविटी चलती है। यह डेटा-प्लेन बाहर निकलने के लिए डिफ़ॉल्ट मार्ग के रूप में भी कार्य करता है, और यहीं पर साइट-टू-साइट टनल समाप्त होती है। क्योंकि प्लेटफ़ॉर्म इसे F5 तक पहुँचने के लिए सुरक्षित रखता है, इसे विशेष मानें और इस पर एप्लिकेशन ट्रैफ़िक लादने के बजाय इसके इर्द-गिर्द डिज़ाइन करें।

इसके दो परिणाम होते हैं, और दोनों ही संविदात्मक हैं न कि केवल सलाहकारी:

• SLO को F5 तक पहुँचने में सक्षम होना चाहिए। इसकी पहुँच आवश्यकताओं को CE IP Address and Domain Reference में सूचीबद्ध किया गया है। एक CE जिसका SLO इंटरफ़ेस F5 तक नहीं पहुँच सकता, वह रजिस्टर नहीं होता है, और जो नोड पंजीकृत नहीं हुआ है उसका कंट्रोल प्लेन के माध्यम से डायग्नोस्टिक्स भी नहीं किया जा सकता — चार पहुँच पथ देखें।
• नोड पंजीकृत और तैनात होने के बाद SLO अपरिवर्तनीय है। F5 का कहना है कि CE Site तैनात होने के बाद SLO इंटरफ़ेस के लिए Internet Protocol (IP) पता नहीं बदला जा सकता है, और न ही Media Access Control (MAC) पता बदला जा सकता है। SLO मापदंडों को बदलने का अर्थ नोड को फिर से तैनात करना है।

डेटा प्लेन से प्रबंधन को अलग करना डेटा प्लेन को स्थानांतरित करके किया जाता है, प्रबंधन को स्थानांतरित करके नहीं

चूँकि SLO F5 तक पहुँचने के लिए आरक्षित है और डिफ़ॉल्ट मार्ग है, प्रबंधन ट्रैफ़िक को साझा इंटरफेस से दूर रखने का तरीका एप्लिकेशन ट्रैफ़िक को कहीं और रखना है: अतिरिक्त इंटरफेस या सेगमेंट पर वर्चुअल होस्ट, लोड बैलेंसर और ओरिजिन या सेवा खोज को कॉन्फ़िगर करें, और SLO को कंट्रोल प्लेन के लिए छोड़ दें।

फील्ड प्रैक्टिस SLO से परे कम से कम दो डेटा-प्लेन इंटरफेस जोड़ने की है — आमतौर पर Site Local Inside (SLI) के साथ एक और, या तो एक वर्चुअल लोकल एरिया नेटवर्क (VLAN) सब-इंटरफ़ेस के रूप में जहाँ प्लेटफ़ॉर्म एक का समर्थन करता है या एक अलग वर्चुअल नेटवर्क इंटरफ़ेस कार्ड (NIC) के रूप में — जो CE के बूटस्ट्रैपिंग समाप्त करने के बाद कॉन्फ़िगर किए जाते हैं, कुल मिलाकर तीन इंटरफ़ेस। वे अतिरिक्त इंटरफ़ेस SLI VRF साझा कर सकते हैं या अपने स्वयं के सेगमेंट में रह सकते हैं।

आंतरिक नेटवर्क के लिए सेगमेंट सामान्य उत्तर हैं

SLI वैकल्पिक है। F5 का अपना मार्गदर्शन इसके बजाय Network Segments पर विचार करने का है, जिन्हें Console में Multi-Cloud Network Connect > Networking > Segments के अंतर्गत पाया जा सकता है। एक सेगमेंट एक वैश्विक VRF है जिसे इंटरफेस से जोड़ा जा सकता है, इसलिए यह या तो एक नेटवर्क को एक CE Site के अंदर अलग रखता है या उस नेटवर्क को कई हाइब्रिड और मल्टी-क्लाउड CE Sites में बढ़ाता है। यह सेगमेंट को सही उपकरण बनाता है जब आवश्यकता को इस रूप में व्यक्त किया जाता है कि “इन सेवाओं को उनके अपने VRF तक सीमित होना चाहिए”।

Secure Mesh Site v2 प्रबंधन नेटवर्क

यह वह संरचना है जिसे SMSv2 साइट ऑब्जेक्ट पर Management Network मेनू सक्षम करता है, और यह एक पुनः लेबल किया गया SLO होने के बजाय एक वास्तविक OOB इंटरफ़ेस है। सक्षम होने पर, F5 एक अलग नेटवर्क इंटरफ़ेस बनाता है जो न तो SLO है और न ही SLI इंटरफ़ेस, जो डेटा-प्लेन ट्रैफ़िक से पूर्ण अलगाव के लिए अपने स्वयं के कर्नेल VRF में काम करता है। चूँकि यह आउट ऑफ़ बैंड है, यह CE नोड फ़ॉरवर्डिंग प्लेन में भाग नहीं लेता है। इसके अभिप्रेत उपयोग सेवाओं का OOB प्रबंधन (Secure Shell (SSH) और स्थानीय वेब उपयोगकर्ता इंटरफ़ेस) और समस्या निवारण (Site CLI कमांड चलाना और syslog फ़ाइलों को बाहर भेजना) हैं।

तीन बाधाएं यह तय करती हैं कि यह आपके लिए उपलब्ध है या नहीं:

बाधा	मूल्य
नोड संख्या	केवल एकल-नोड CE Sites। बहु-नोड CE Site (क्लस्टर) के लिए समर्थित नहीं है।
सॉफ़्टवेयर संस्करण	crt-20251001-0189 या बाद का। नोड सॉफ़्टवेयर रिलीज़ नोट्स देखें।
डिफ़ॉल्ट	सक्षम नहीं है।

इसे सक्षम करने से इंटरफ़ेस ऑर्डरिंग भी तय होती है, जो इसके बारे में एक गलत धारणा को नोड पर दिखाई देने योग्य बनाती है:

1. प्रबंधन नेटवर्क इंटरफ़ेस
2. Site Local Outside (SLO) इंटरफ़ेस
3. कोई भी अतिरिक्त इंटरफ़ेस, जो Site Local Inside (SLI) इंटरफ़ेस का हिस्सा बन जाता है

उच्च उपलब्धता नोड संख्या तय करती है, और इसे बाद में बदला नहीं जा सकता

High Availability अक्षम होने का अर्थ है कि CE Site ठीक एक नोड का समर्थन करता है; सक्षम होने का अर्थ है कि इसके लिए तीन नोड्स की आवश्यकता है। CE Site ऑब्जेक्ट बनने और तैनात होने के बाद विकल्प को बदला नहीं जा सकता है, और नोड्स केवल तभी जोड़े जा सकते हैं जब यह सक्षम हो।

इसलिए प्रबंधन नेटवर्क और तीन-नोड क्लस्टर निर्माण के अनुसार परस्पर अनन्य हैं, और उस जोड़ी का कोई भी आधा हिस्सा रनटाइम निर्णय नहीं है। उच्च उपलब्धता सक्षम के साथ बनाई गई साइट बाद में मेनू को टॉगल करके प्रबंधन नेटवर्क प्राप्त नहीं कर सकती है — इसके लिए एक नए साइट ऑब्जेक्ट और पुन: तैनाती की आवश्यकता होती है।

क्लस्टर में इंटरफ़ेस जोड़ना एक रखरखाव-विंडो ऑपरेशन है

नेटवर्क इंटरफ़ेस जोड़ने से डेटा-प्लेन सेवाएँ पुनः प्रारंभ होती हैं, इसलिए ट्रैफ़िक ड्रॉप होने और टनल के बंद होने की अपेक्षा करें। इंटरफ़ेस जोड़ने या बदलने से पहले प्रत्येक नोड वर्चुअल मशीन (VM) को बंद करें।

क्लस्टर में, प्रत्येक नोड में इंटरफ़ेस जोड़ें और प्रत्येक पर इसे एक ही VRF में रखें। एक CE Site के भीतर गैर-समरूप इंटरफेस वाले नोड समस्याएं पैदा करते हैं, इसलिए किसी दिए गए साइट के प्रत्येक नोड को एक ही VRFs में समान संख्या में इंटरफेस ले जाने चाहिए।

यह इस तैनाती पर कैसे मैप होता है

यहाँ प्रत्येक CE में तीन Azure NICs हैं, और पहले वाले का नाम terraform/modules/ce-node/main.tf में mgmt रखा गया है। वह नाम Azure सबनेट का वर्णन करता है जिसमें यह स्थित है। इसका अर्थ यह नहीं है कि एक XC प्रबंधन नेटवर्क कॉन्फ़िगर किया गया है, और यहाँ किसी भी पृष्ठ को ऐसा कहते हुए नहीं पढ़ा जाना चाहिए।

terraform/modules/xc-site/main.tf साइट ऑब्जेक्ट पर ठीक एक इंटरफ़ेस घोषित करता है:

interface_list {
  name = "eth0"

  ethernet_interface {
    device = "eth0"
    mac    = var.mgmt_nic_mac
  }

  # Site Local Outside (SLO) — required on every site; BGP peers from here.
  network_option {
    site_local_network {}
  }

  dhcp_client {}
}

site_local_network {} SLO है। तो:

इस तैनाती में	यह वास्तव में क्या है
mgmt NIC (eth0, VM का पहला NIC)	SLO इंटरफ़ेस। F5 को पंजीकरण और कंट्रोल-प्लेन ट्रैफ़िक ले जाता है, और Border Gateway Protocol (BGP) स्थानीय पता है जिसके साथ Azure Route Server सहकर्मी (peer) बनाता है।
external NIC	एक डेटा-प्लेन इंटरफ़ेस।
internal NIC	SLI इंटरफ़ेस।
प्रबंधन नेटवर्क	कॉन्फ़िगर नहीं किया गया। साइट ऑब्जेक्ट पर कोई enable_management_network मार्कर सेट नहीं है।

साइटें एकल-नोड हैं — disable_ha {}, प्रति उपलब्धता क्षेत्र में एक साइट — इसलिए प्रबंधन नेटवर्क को तीन-नोड क्लस्टर के विपरीत यहाँ अनुमति दी जाएगी। यह बस सक्षम नहीं है, और इसे सक्षम करने से उपरोक्त ऑर्डर के अनुसार इंटरफेस की पुनर्गणना होगी, जिस पर BGP पीयर बाइंडिंग निर्भर करती है।

गेस्ट इन तीन NICs को उस तरह से प्रस्तुत नहीं करता है जैसा कि ऑर्डरिंग का सुझाव है

eth0 का नाम बदलकर a-i-eth0 कर दिया गया है और यह कोई होस्ट पता नहीं रखता है; SLO पता vhost0 पर दिखाई देता है; और eth1 और eth2 में से कौन सा आंतरिक पता रखता है, यह नोड्स में सुसंगत नहीं है। लाइव नोड पर इंटरफ़ेस नामों से निष्कर्ष निकालने से पहले इंटरफ़ेस कमांड पृष्ठ पढ़ें।

अक्सर पूछे जाने वाले प्रश्न

मैं इसके अपने IP कॉन्फ़िगरेशन और VLAN असाइनमेंट के साथ एक अलग आउट-ऑफ़-बैंड प्रबंधन इंटरफ़ेस कैसे परिभाषित करूँ?

एक एकल-नोड CE Site पर, सॉफ़्टवेयर crt-20251001-0189 या बाद के संस्करण पर SMSv2 साइट ऑब्जेक्ट पर Management Network विकल्प सक्षम करें। F5 फिर फ़ॉरवर्डिंग प्लेन के बाहर, अपने कर्नेल VRF में एक अलग इंटरफ़ेस बनाता है।

एक बहु-नोड (तीन-नोड) CE Site पर ऐसा करने का कोई समर्थित तरीका नहीं है। प्रबंधन नेटवर्क क्लस्टर के लिए स्पष्ट रूप से समर्थित नहीं है। क्लस्टर के लिए, SLO को प्रबंधन पथ के रूप में मानें — यह वही है जो F5 Global Controller तक पहुँचता है और इसके लिए आरक्षित है — और बाकी सभी चीज़ों के लिए SLI VRF या उनके अपने सेगमेंट में अतिरिक्त डेटा-प्लेन इंटरफ़ेस जोड़ें।

इंटरफ़ेस परिभाषित होने पर साइट ऑब्जेक्ट पर प्रति-इंटरफ़ेस IP कॉन्फ़िगरेशन सेट किया जाता है। क्या एक VLAN सब-इंटरफ़ेस विशेष रूप से प्रबंधन नेटवर्क को सौंपा जा सकता है, यह लिखते समय F5 द्वारा किसी भी तरह से प्रलेखित नहीं है; क्षेत्र का अनुभव बताता है कि यह समर्थित नहीं है, और विश्वसनीय व्यवस्था प्रबंधन VLAN से संबंधित पोर्ट समूह में एक समर्पित इंटरफ़ेस है। इसके आधार पर डिज़ाइन करने से पहले F5 से पुष्टि करें।

मैंने अपनी तीन-नोड साइट पर Management Network सक्षम किया है और नोड्स केवल SLO के साथ आए हैं। क्यों?

क्योंकि यह विकल्प बहु-नोड CE Site पर समर्थित नहीं है। साइट ऑब्जेक्ट सेटिंग को स्वीकार करता है, लेकिन क्लस्टर को अतिरिक्त इंटरफ़ेस नहीं मिलता है, इसलिए जो बाहरी इंटरफ़ेस आप देखते हैं वह सामान्य रूप से व्यवहार करने वाला SLO इंटरफ़ेस है। यह एक समर्थित-कॉन्फ़िगरेशन सीमा है, कोई प्रोविज़निंग खराबी नहीं है, और यह उस साइट ऑब्जेक्ट पर ठीक करने योग्य नहीं है: High Availability बनने के बाद बदली नहीं जा सकती।

क्या मैं साइट तैनात होने के बाद प्रबंधन को SLO से बाहर ले जा सकता हूँ?

नहीं, SLO को पुनर्गठित करके नहीं। नोड पंजीकृत और तैनात होने के बाद SLO के IP और MAC पते को बदला नहीं जा सकता है। आप जो कर सकते हैं वह है अन्य इंटरफेस या सेगमेंट पर वर्चुअल होस्ट, लोड बैलेंसर और ओरिजिन खोज रखकर डेटा प्लेन को SLO से बाहर ले जाना।

मेरे इंटरफेस किस क्रम में असाइन किए जाएँगे?

प्रबंधन नेटवर्क सक्षम होने के साथ: पहले प्रबंधन, फिर SLO, फिर SLI के रूप में कोई भी अतिरिक्त इंटरफ़ेस। इसके बिना: पहले SLO, फिर SLI के रूप में अतिरिक्त इंटरफ़ेस। पहली बार पावर-ऑन करने से पहले इंटरफेस संलग्न करें ताकि गेस्ट गुण सेट हो जाएं, और बाद में इंटरफेस जोड़ने या बदलने से पहले नोड को बंद कर दें।

एक CE में कितने इंटरफेस होने चाहिए?

एक SLO इंटरफ़ेस प्लेटफ़ॉर्म के लिए आवश्यक न्यूनतम है। यदि प्रबंधन ट्रैफ़िक को एप्लिकेशन ट्रैफ़िक के साथ एक इंटरफ़ेस साझा नहीं करना चाहिए, तो तीन की योजना बनाएं: कंट्रोल प्लेन के लिए SLO, साथ ही कम से कम दो डेटा-प्लेन इंटरफ़ेस। यह तैनाती उस आकार का उपयोग करती है — SLO, external, internal।

उत्पत्ति (Provenance)

इस पृष्ठ पर हर प्लेटफ़ॉर्म व्यवहार वर्तमान F5 उत्पाद प्रलेखन से लिया गया है: Create Secure Mesh Site v2 (SLO और SLI के लिए चरण 4, प्रबंधन नेटवर्क के लिए चरण 8.4) और Secure Mesh Site v2 FAQs। एक अकेला दावा जिसकी पुष्टि किसी के खिलाफ नहीं की जा सकी — प्रबंधन नेटवर्क पर VLAN सब-इंटरफ़ेस समर्थन — उसे तथ्य के रूप में दोहराए जाने के बजाय जहाँ यह दिखाई देता है वहाँ असत्यापित के रूप में चिह्नित किया गया है।