BGP en MPLS in 'n VPN: watter deel dra die pakket

Om te vra of 'n VPN op BGP of MPLS loop, meng twee lae in een besluit. BGP versprei bereikbaarheid en beleid. MPLS stuur pakkette aan met behulp van geinstalleerde etiketstatus. In 'n BGP/MPLS-VPN werk die twee saam, en om enige van die twee te verwyder laat geen diens oor nie. Die kontroles hieronder lei dieselfde voorvoegsel deur beide lae, sodat jy presies kan sien waar joune gestop het.

Kontrole 1: is die voorvoegsel in die regte VRF

Begin by die inkomende verskaffersrand en vra aan watter VRF die klientvoorvoegsel behoort. Oorvleuelende klientadressering is normaal in hierdie ontwerp, so die VRF is die konteks wat twee klients wat albei 10.0.0.0/8 gebruik, apart hou.

As die voorvoegsel daar ontbreek, kan niks later korrek wees nie, en die oorblywende kontroles is vermorste moeite.

Kontrole 2: is die VPN-roete versprei en ingevoer

Die verskaffer versprei klientroetes met MP-BGP. Elke roete dra 'n roete-onderskeider, wat andersins identiese voorvoegsels uniek maak, en roete-teikens, wat besluit watter VRF's die roete invoer. 'n Roete wat aankom maar nie ingevoer word nie, laat die ontvangende VRF leeg vir daardie voorvoegsel. Kontroleer die invoerbeleid voordat jy die verre kant blameer.

Roeteseleksie maak ook saak: 'n voorkeurpad deur 'n ander verskaffersrand vervang die een wat jy verwag het om te sien.

Kontrole 3: wat die inkomende rand met die pakket doen

Wanneer 'n pakket aankom, doen die inkomende rand 'n IP-soektog in die VRF en heg dan etikette aan vir die gekose pad. Die stapel het twee logiese rolle, selfs wanneer 'n opname 'n ander aantal etikette wys.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Die BGP/MPLS-VPN-spesifikasie beskryf daardie reel. Penultimate-hop-popping kan die vervoeretiket verwyder voor die laaste hop, so 'n opname van twee etikette wat midde-in die netwerk geneem is, is nie bewys van 'n fout nie.

Kontrole 4: stuur die onderlaag daardie etikette aan

Deurvoerende routers skakel op hul geinstalleerde etiketinskrywings. Hulle lees nie BGP-opdaterings om te besluit wat met jou individuele pakket gebeur nie. Dit is waarom 'n klientroete teenwoordig kan wees terwyl aansturing steeds misluk: die opgeloste volgende hop of die vervoeretiket kan onafhanklik breek. Om 'n VPN-voorvoegsel te leer, herstel nie die onderlaag daaronder nie.

Kontroleer die etiketbinding na die uitgangsrand, nie net die teenwoordigheid van die roete nie.

Kontrole 5: die uitgangsaksie en die terugpad

By die uitgang identifiseer die diensetiket die aanstuuraksie, die pakket word gedekapsuleer, en dit beweeg na die klientbestemming. Van daar af moet die terugpad ook werk, insluitend die klientkant-toegangsbeleid op daardie koppelvlak.

'n Eenrigting-sukses is gewoonlik 'n terugroete of 'n filter, nie die etiketstapel nie.

Lees jou simptoom in een van daardie kontroles in

'n Roete wat in die ontvangende VRF ontbreek, beteken aankondiging, invoerbeleid of roeteseleksie. 'n Roete wat teenwoordig is met pakkette wat misluk, beteken die opgeloste volgende hop, die etiketaansturing of die klientkant-terugpad. Pakkette wat met die verkeerde bestemming aankom, beteken gewoonlik dat jy die verkeerde VRF ondersoek. Nie een hiervan is 'n rede om die roeteringsprotokol te verander nie.

Nog iets wat reguit gese moet word: hierdie ontwerp skei klients en stuur hul verkeer doeltreffend aan. Dit versleutel nie, en om dit as 'n vertroulikheidsdiens te behandel, is 'n aparte fout.