MPLS-takroetering: wat die CE leer, en by wie

'n Gasheer by een tak maak 'n verbinding oop na 'n bediener by 'n ander tak, en albei terreine sit agter dieselfde bestuurde MPLS VPN van Laag 3. Die gasheer ken net sy eie verstekgateway en niks anders nie, en dit is korrek. Wat saak maak, is dat die plaaslike kliëntrand die pakket na sy verskafferrand oorhandig, en dat die verskaffer se VPN-roeteringtoestand dit by die tak aflewer wat die bestemmingsvoorvoegsel besit.

Om een pakket deur die pad te volg is die vinnigste manier om te sien watter deel 'n kliënt se verantwoordelikheid is en watter deel by die diens hoort.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Waar elke hop se werk eindig

CE-A het 'n roete vir die afgeleë LAN nodig wat na sy plaaslike verskafferaansluiting wys, nie na die verre tak se WAN-adres nie. Die verskaffer dra dan die pakket oor sy eie kern met behulp van VPN-roeteringtoestand, en CE-B lewer dit op die bestemmings-LAN af. 'n Gasheer hoef op geen punt etikette, VRF's of die anderkant se internetkring te verstaan nie.

Die fout wat keer op keer in kaartjies opduik, is om tak B se WAN-adres as die volgende hop by tak A in te stel. Albei takke het dieselfde diens gekoop, so dit voel asof hulle bure behoort te wees. Hulle is nie: 'n volgende hop moet bereikbaar wees deur die roeteringontwerp wat jy werklik het, en die verre CE is gewoonlik baie hope weg agter toerusting wat jy nie administreer nie. 'n Statiese roete wat op daardie aanname gebou is, wys as aktief en los op na niks, wat erger is as 'n ontbrekende roete, want dit lyk korrek in die tabel.

RFC 4364 skei die uitruiling tussen kliënt- en verskafferrand van die verskaffer se verspreiding van VPN-roetes, en dit is presies die grens waaroor hierdie runbook handel. Die kliënt se taak is om sy rand te vertel wat hy kan lewer en om die bereikbaarheid te aanvaar wat die diens terug bied.

Waaroor die oorhandiging moet ooreenkom

Kies die meganisme saam met die verskaffer, nie om hulle heen nie. Statiese roetes, BGP of 'n roeteringprotokolreëling tussen CE en PE is almal regmatig, en OSPF het 'n gedefinieerde MPLS VPN-model vir daardie oorhandiging. Nie een daarvan is 'n rede om 'n OSPF-buurskap tussen twee verre kliëntrande oor 'n ongespesifiseerde verskafferkern te bou nie, want dit is 'n ontwerp waartoe die verskaffer nie ingestem het nie en wat hy nie kan ondersteun nie.

Voordat 'n nuwe LAN in gebruik geneem word, skryf vier dinge neer: die voorvoegsel, die plaaslike voortgaande roete by die CE, die aankondiging wat die verskaffer sal aanvaar, en die roetes wat die verskaffer sal terugstuur. Voeg enige filtrering, voorvoegselperke of beperkings tussen terreine by wat die kontrak oplê. 'n Gesonde buurskap is 'n kanaal vir die uitruil van inligting, en dit is nie 'n bewys dat 'n bepaalde voorvoegsel aanvaar is nie; die sessie kan op wees terwyl jou nuwe subnet in 'n filter sit.

Volg dan die antwoord. Tak B het 'n roete terug na die bron-LAN nodig, en die gasheer aan die ontvangkant het sy eie gateway en sy eie diensregte nodig. 'n Roete wat by CE-A verskyn, vestig die helfte van 'n rondte, en dit is hoekom een rigting van 'n ping-toets gesond lyk terwyl die toepassing steeds misluk.

Verifieer albei oorhandigings voor aftekening

Versamel die roeteringtoestand by albei kliëntrande, bevestig by die verskaffer dat die beoogde LAN-voorvoegsels in die VPN aanvaar is, en toets dan een toegelate toepassing in elke rigting. Roetetabelle alleen bewys nie dat die toepassing werk nie, en 'n toepassingstoets alleen sê nie watter beheervlak gefaal het wanneer dit nie werk nie.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Lees die drie uitsette saam. Die eerste sê wat die rand glo, die tweede sê wat hy geleer het en by watter eweknie, en die derde sê wat hy werklik sal aanstuur. Meningsverskil tussen hulle is gewoonlik 'n beleids- of rekursieprobleem eerder as 'n ontbrekende aankondiging, en dit is die moeite werd om dit op te los voordat die verskaffer gevra word om ondersoek in te stel. Bring daardie drie uitsette na die oproep met die vervoerder, want hulle beantwoord die meeste vrae wat 'n ondersteuningsingenieur andersins aan jou sou vra.

Weet wat die diens nie bied nie

Dit is geroteerde toegang van Laag 3. Dit is nie 'n kring van Laag 2 wat uitsendings tussen kantore verleng nie, so ontdekkingsprotokolle, uitsendingafhanklike toepassings en aannames oor gedeelde segmente reis nie daarmee saam nie. Drukwerk, naamblaaiery en enigiets wat van 'n plaaslike segment afhang, het hul eie ontwerp nodig.

VPN-skeiding is ook nie enkripsie nie. Etiketverskakeling hou kliënte in die verskaffer se netwerk apart, en dit maak die vrag nie vertroulik as die kontrak vertroulikheid vereis nie. Waar dit saak maak, moet die toepassing of 'n oorlaag dit verskaf.

Laastens, hou die diensmodel neergeskryf langs die terrein se roeteringkonfigurasie. Die volgende ingenieur wat 'n subnet byvoeg, moet kan lees watter voorvoegsels aangekondig word, wie hulle aanvaar, en wat die verwagte terugpad is: BGP/MPLS IP VPN-spesifikasie is die verwysing vir die model agter dit alles.