تسليم L3VPN: مسارات خاصة أم مسار افتراضي أم جدول كامل؟

دائرتك تعمل، وVRF مهيأة، والمزوّد يطرح سؤالاً قصيراً يحدد بقية التصميم: ما الذي ينبغي أن تستقبله حافة العميل؟ ثلاث إجابات شائعة، ولا واحدة منها تنبع من مجرد وجود مكدس تسميات. إنها قرارات خدمية تتعلق بالمكان الذي تخرج منه الحركة من الفرع.

السير في التسليم بالترتيب هو أرخص طريق لإنجازه صحيحاً. تبدأ بما يحدث للحركة التي لا تطابق شيئاً، ثم تكتب البادئات الخاصة وسلوك فشلها، وبعد ذلك فقط تتحدث عن حجم التغذية التي تقبل حملها.

ابدأ بالحركة التي لم يخطط لها أحد

اسأل سؤالاً واحداً قبل أن تظهر أي قائمة بادئات: حين لا تطابق الحزمة أي مسار خاص، إلى أين ينبغي أن تذهب؟ الفرع الذي يملك دائرة إنترنت خاصة به يحتفظ عادةً بمسار افتراضي محلي، لذا تخرج حركة الويب العادية عبر الجدار الناري المحلي ولا تلمس المزوّد أبداً. في ذلك التصميم يحمل VPN المواقع الخاصة البعيدة فقط، والبادئات الأكثر تحديداً هي التي تختار.

الفرع المخصص لاستخدام مخرج مركزي هو الحالة المعاكسة. هناك يشير المسار الافتراضي إلى الخدمة، ويملك المزوّد أو الموقع المركزي إعادة التوجيه والتوجيه العكسي وأي ترجمة. القول "المسار الافتراضي إلى VPN" دون وجود ذلك المالك ينتج فرعاً يحل الأسماء ولا يصل إلى شيء.

يختلف التصميمان في شكل فشل التوجيه، ولهذا يكون التخمين مكلفاً. مع مسار افتراضي محلي، يرسل المسار الخاص المفقود تلك الحركة إلى الإنترنت، حيث يُسقطها الجدار الناري أو، الأسوأ، يجيب عنها شيء لم تقصده. مع مسار افتراضي مركزي، يزيل الفقد نفسه الوصول إلى الإنترنت بالكامل ويصل التذكرة على شكل "الفرع كله معطّل". لا أحد الفشلين خاطئ بحد ذاته، لكن واحداً فقط يطابق الخدمة التي بعتها، وإعداد BGP وحده لن يخبرك أيهما بنيت.

اكتب البادئات الخاصة مع حالة فشلها

اسرد البادئات التي يجب أن يصلها الفرع ولاحظ أيها مجمَّع. التجميع الأوسع ببت واحد يجذب وجهات غير معروفة إلى VPN، وهذا مقبول فقط إذا كان الطرف البعيد يملكها ويعيد توجيهها فعلاً.

ثم صف السلوك المقصود عندما تفشل الخدمة الخاصة. مسار الإسقاط المحتفظ به يبقي الحركة بعيداً عن مسار غير مصرّح به وينتج انقطاعاً نظيفاً متوقعاً. المسار الافتراضي العائم يمكن أن يحفظ الإتاحة بالانتقال إلى مسار احتياطي، لكن فقط إذا كان المسار الاحتياطي مصرّحاً له بحمل تلك الحركة.

احتفظ بالإتاحة والتراجع المسموح كمتطلبين منفصلين في وثيقة التسليم. الفرق التي تدمجهما تنتهي إلى الجدال حول ما إذا كان الفرع يجب أن يفشل، بدلاً من التحقق من تنفيذ السياسة المتفق عليها.

تحقق مما ثبّته حافة العميل فعلاً

نيّة الإعداد وحالة إعادة التوجيه تتباعدان بما يكفي لأن يكون التحقق جزءاً من التسليم لا من مراجعة الحادث. على حافة عميل IOS-XE تجيب الأوامر الثلاثة أدناه عن ثلاثة أسئلة مختلفة: ما الذي عُرض، وما الذي قُبل، وما الذي يُستخدم فعلاً.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

شغّل الثلاثة في يوم التسليم لا بعد شهر، ما دام أحدهم يتذكر ما اتُّفق عليه. يعتمد الخرج الأول على soft-reconfiguration inbound أو على تحديث مسار مخزّن؛ وبدون أحدهما لا تستطيع حافة العميل أن تُريك ما رفضته. يُظهر الثاني المسارات المقبولة والأفضل بعد السياسة. يخبرك الثالث إلى أين يذهب المسار الافتراضي فعلاً، وهو السطر الأنفع في التسليم كله.

شغّل الفحوص نفسها على حافة عميل ثانية إذا كان الموقع موصولاً بخطين. القبول غير المتماثل بين حافتين سبب شائع لعبارة "يعمل من خادم ولا يعمل من الآخر"، وهو غير مرئي في فرق إعداد يبدو متماثلاً.

أهلّ تغذية أكبر بدلاً من افتراض واحدة

أحياناً يحتاج العميل فعلاً إلى معلومات مسار الإنترنت داخل VRF، لتوجيه السياسة أو لمخرج مركزي يوجّه حسب البادئة. هذا متطلب يجب ذكره وتحديد نطاقه وتسعيره، لا مسار افتراضي خفي. ويأتي معه ذاكرة لجدولي RIB وFIB، ومعالجة للتحديثات، وصيانة للفلاتر، ومالك للجدول الناتج.

حجج السعة تخطئ في الاتجاهين. الجدول الكامل ليس محرماً داخل VRF، وليس مجانياً أيضاً. وبالمثل، لا يمكنك استنتاج تكلفة اليوم من عدد مسارات قديم، وتخصيص تسميات أصغر لا يزيل تكلفة تخزين المسارات.

تناقش مواصفة BGP/MPLS IP VPN عدة ترتيبات للوصول إلى الإنترنت إلى جانب خدمة VPN نفسها، ولا تعلن أن الجدول الكامل أو المسار الافتراضي إلزامي لكل عميل، وهذا هو القسم الذي يستحق الإشارة إليه عندما يظهر ادعاء عن "الممارسة القياسية": RFC 4364.

أغلق التسليم بتسجيل المجموعة المعلنة والمجموعة المستقبَلة والمجموعة المختارة إلى جانب سياسة الخروج المتفق عليها، وباختبار وجهة خاصة واحدة ووجهة عامة مقصودة واحدة وحالة فقدان مسار واحدة. سجل موقّع لتلك الاختبارات الثلاثة يحسم جدالات أكثر من أي عبارة عن ما تفعله معظم الشبكات.