L3VPN təhvili: şəxsi marşrutlar, standart marşrut, yoxsa tam cədvəl?

Xəttiniz işləyir, VRF konfiqurasiya olunub və provayder dizaynın qalan hissəsini müəyyən edən qısa bir sual verir: müştəri kənarı nə almalıdır? Üç cavab geniş yayılıb və heç biri etiket yığınının mövcud olmasından doğmur. Bunlar trafikin filialdan harada çıxdığına dair xidmət qərarlarıdır.

Təhvili ardıcıllıqla keçmək bunu düzgün etməyin ən ucuz yoludur. Heç nəyə uyğun gəlməyən trafiklə nə baş verdiyindən başlayırsınız, sonra şəxsi prefiksləri və onların nasazlıq davranışını yazırsınız, yalnız bundan sonra nə qədər böyük axını daşımağa hazır olduğunuzdan danışırsınız.

Heç kimin planlaşdırmadığı trafiklə başlayın

Hər hansı prefiks siyahısı görünməzdən əvvəl bir sual verin: paket heç bir şəxsi marşruta uyğun gəlmirsə, hara getməlidir? Öz internet xətti olan filial adətən yerli standart marşrut saxlayır, buna görə adi veb-trafik yerli firewall-dan çıxır və provayderə heç toxunmur. Bu dizaynda VPN yalnız uzaq şəxsi saytları daşıyır və seçimi daha dəqiq prefikslər edir.

Mərkəzi çıxışdan istifadə etməsi nəzərdə tutulan filial bunun əksidir. Orada standart marşrut xidmətin içinə baxır, yönləndirmə, əks marşrutlaşdırma və hər hansı tərcümə provayderin və ya mərkəzi saytın mülkiyyətindədir. Həmin sahib olmadan "VPN-ə standart" demək adları həll edən, amma heç nəyə çatmayan filial yaradır.

İki dizayn marşrutlaşdırma nasazlığının necə görünməsi ilə fərqlənir və buna görə təxmin etmək bahadır. Yerli standart marşrutla itirilmiş şəxsi marşrut həmin trafiki internetə göndərir, orada firewall onu atır, ya da daha pisi, nəzərdə tutmadığınız bir şey cavab verir. Mərkəzi standart marşrutla eyni itki internet çıxışını tamamilə yox edir və bilet "bütün filial söndü" kimi gəlir. Heç bir nasazlıq özlüyündə səhv deyil, amma yalnız biri satdığınız xidmətə uyğun gəlir və tək BGP konfiqurasiyası hansını qurduğunuzu sizə deməyəcək.

Şəxsi prefiksləri nasazlıq halı ilə birlikdə yazın

Filialın çatmalı olduğu prefiksləri sadalayın və hansının cəmləndiyini qeyd edin. Bir bit həddindən artıq geniş olan aqreqat naməlum təyinatları VPN-ə çəkir, bu isə yalnız uzaq tərəf onlara həqiqətən sahib olub yönləndirirsə yaxşıdır.

Sonra şəxsi xidmət sıradan çıxanda nəzərdə tutulan davranışı təsvir edin. Saxlanılan rədd marşrutu trafiki icazəsiz yoldan kənarda saxlayır və təmiz, gözlənilən kəsinti yaradır. Üzən standart marşrut ehtiyat yola keçməklə mövcudluğu qoruya bilər, ancaq ehtiyat yolun həmin trafiki daşımağa icazəsi varsa.

Mövcudluğu və icazə verilən geri dönüşü təhvil sənədində iki ayrı tələb kimi saxlayın. Onları birləşdirən komandalar sonda razılaşdırılmış siyasətin tətbiq olunub-olunmadığını yoxlamaq əvəzinə filialın ümumiyyətlə sıradan çıxmalı olub-olmadığını mübahisə edirlər.

CE-nin həqiqətən nə quraşdırdığını yoxlayın

Konfiqurasiya niyyəti və yönləndirmə vəziyyəti kifayət qədər tez ayrılır ki, yoxlama insident icmalına deyil, təhvilə aid olsun. IOS-XE müştəri kənarında aşağıdakı üç əmr üç fərqli suala cavab verir: nə təklif olundu, nə qəbul edildi və həqiqətən nə istifadə olunur.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Üçünü də təhvil günü işə salın, bir ay sonra deyil, hələ kimsə razılaşdıqlarını xatırlayarkən. Birinci çıxış soft-reconfiguration inbound və ya saxlanılan marşrut yenilənməsindən asılıdır; ikisi olmadan CE sizə nəyi rədd etdiyini göstərə bilməz. İkincisi siyasətdən sonra qəbul edilmiş və ən yaxşı marşrutları göstərir. Üçüncüsü standart marşrutun həqiqətən hara getdiyini deyir və bu, bütün təhvildə ən faydalı sətirdir.

Sayt iki ev sahiblidirsə, eyni yoxlamaları ikinci CE-də də aparın. İki kənar arasında asimmetrik qəbul "bir serverdən işləyir, digərindən işləmir" vəziyyətinin geniş yayılmış səbəbidir və simmetrik görünən konfiqurasiya fərqində görünmür.

Daha böyük axını fərz etmək əvəzinə əsaslandırın

Bəzən müştəri VRF daxilində internet marşrutu məlumatına həqiqətən ehtiyac duyur, siyasət marşrutlaşdırması və ya prefiksə görə istiqamətləndirən mərkəzi çıxış üçün. Bu, gizli standart deyil, elan edilməli, əhatə dairəsi müəyyənləşdirilməli və qiymətləndirilməli tələbdir. Onunla birlikdə RIB və FIB üçün yaddaş, yeniləmələr üçün CPU, filtr baxımı və yaranan cədvəl üçün sahib gəlir.

Tutum arqumentləri hər iki istiqamətdə səhv olur. Tam cədvəl VRF daxilində qadağan deyil və o da pulsuz deyil. Eyni şəkildə, bugünkü xərci köhnə marşrut sayından çıxara bilməzsiniz və daha kiçik etiket ayrılması marşrutların saxlanması xərcini aradan qaldırmır.

BGP/MPLS IP VPN spesifikasiyası VPN xidmətinin yanında internet çıxışının bir neçə quruluşunu müzakirə edir və hər müştəri üçün tam cədvəli və ya standart marşrutu məcburi elan etmir; "standart təcrübə" iddiası ortaya çıxanda göstərməyə dəyər bölmə məhz budur: RFC 4364.

Təhvili razılaşdırılmış çıxış siyasətinin yanında elan olunmuş çoxluğu, alınmış çoxluğu və seçilmiş çoxluğu qeyd etməklə, həmçinin bir şəxsi təyinatı, bir nəzərdə tutulan ictimai təyinatı və bir marşrut itkisi halını sınaqdan keçirməklə bağlayın. O üç sınağın imzalanmış qeydi, əksər şəbəkələrin nə etdiyi barədə hər hansı ifadədən daha çox mübahisə həll edir.