MPLS filial marşrutlaşdırması: CE nə öyrənir və kimdən

Bir filialdakı host digər filialdakı serverə bağlantı açır və hər iki sayt eyni idarə olunan MPLS 3-cü qat VPN-in arxasında yerləşir. Host yalnız öz standart şlüzünü bilir və başqa heç nə bilmir, bu da doğrudur. Əhəmiyyətli olan odur ki, yerli müştəri kənarı paketi öz provayder kənarına ötürür və provayderin VPN marşrutlaşdırma vəziyyəti onu təyinat prefiksinə sahib filiala çatdırır.

Bir paketi yol boyunca izləmək hansı hissənin müştərinin məsuliyyəti, hansı hissənin isə xidmətə aid olduğunu görməyin ən sürətli yoludur.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Hər hopun işi harada bitir

CE-A uzaq LAN üçün marşruta ehtiyac duyur və bu marşrut uzaq filialın WAN ünvanına deyil, öz yerli provayder qoşulmasına yönəlməlidir. Sonra provayder paketi öz nüvəsi boyunca VPN marşrutlaşdırma vəziyyətindən istifadə edərək daşıyır və CE-B onu təyinat LAN-na çatdırır. Heç bir məqamda hostun etiketləri, VRF-ləri və ya qarşı tərəfin internet dövrəsini anlaması tələb olunmur.

Biletlərdə təkrar-təkrar görünən səhv A filialında B filialının WAN ünvanını növbəti hop kimi konfiqurasiya etməkdir. Hər iki filial eyni xidməti alıb, ona görə insana elə gəlir ki, onlar qonşu olmalıdır. Amma deyillər: növbəti hop sizin həqiqətən malik olduğunuz marşrutlaşdırma dizaynı ilə əlçatan olmalıdır və uzaq CE adətən sizin idarə etmədiyiniz avadanlığın arxasında çoxlu hop uzaqda olur. Bu fərziyyə üzərində qurulmuş statik marşrut aktiv görünür və heç nəyə çevrilmir; bu, itkin marşrutdan pisdir, çünki cədvəldə düzgün görünür.

RFC 4364 müştəri və provayder kənarı arasındakı mübadiləni provayderin VPN marşrutlarını yaymasından ayırır və bu, məhz bu runbook-un bəhs etdiyi sərhəddir. Müştərinin işi öz kənarına nəyi çatdıra biləcəyini demək və xidmətin geri təklif etdiyi əlçatanlığı qəbul etməkdir.

Ötürmənin razılaşmalı olduğu şeylər

Mexanizmi provayderlə birlikdə seçin, onların ətrafından yox. Statik marşrutlar, BGP və ya CE ilə PE arasında marşrutlaşdırma protokolu razılaşması hamısı qanunidir və OSPF-in bu ötürmə üçün müəyyən edilmiş MPLS VPN modeli var. Bunların heç biri iki uzaq müştəri kənarı arasında, göstərilməmiş provayder nüvəsi üzərindən OSPF qonşuluğu qurmaq üçün səbəb deyil; bu, provayderin razılaşmadığı və dəstəkləyə bilmədiyi bir dizayndır.

Yeni LAN işə düşməzdən əvvəl dörd şeyi yazın: prefiks, CE-də yerli irəli marşrut, provayderin qəbul edəcəyi elan və provayderin qaytaracağı marşrutlar. Müqavilənin tələb etdiyi hər hansı filtrləmə, prefiks limiti və ya saytlararası məhdudiyyəti əlavə edin. Sağlam qonşuluq məlumat mübadiləsi üçün kanaldır və müəyyən bir prefiksin qəbul edildiyinə dair sübut deyil; sessiya işlək ola bilər, halbuki yeni subşəbəkəniz filtrin içində qalır.

Sonra cavabı izləyin. B filialı mənbə LAN-na geri marşruta ehtiyac duyur, qəbul edən tərəfdəki host isə öz şlüzünə və öz xidmət icazələrinə ehtiyac duyur. CE-A-da görünən marşrut gediş-dönüşün yalnız yarısını yaradır və yarım gediş-dönüş ping testinin bir istiqamətinin sağlam görünməsinin, tətbiqin isə yenə də uğursuz olmasının səbəbidir.

Təhvildən əvvəl hər iki ötürməni yoxlayın

Hər iki müştəri kənarında marşrutlaşdırma vəziyyətini toplayın, provayderlə nəzərdə tutulan LAN prefikslərinin VPN-ə qəbul edildiyini təsdiqləyin və sonra hər istiqamətdə bir icazəli tətbiqi sınaqdan keçirin. Yalnız marşrut cədvəlləri tətbiqin işlədiyini sübut etmir, yalnız tətbiq testi isə işləmədikdə hansı idarəetmə müstəvisinin uğursuz olduğunu demir.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Üç çıxışı birlikdə oxuyun. Birincisi kənarın nəyə inandığını, ikincisi nəyi və hansı peer-dən öyrəndiyini, üçüncüsü isə həqiqətən nəyi yönləndirəcəyini deyir. Aralarındakı uyğunsuzluq adətən itkin elan deyil, siyasət və ya rekursiya problemidir və provayderdən araşdırma istəməzdən əvvəl həll etməyə dəyər. Bu üç çıxışı operator zənginə aparın, çünki onlar dəstək mühəndisinin sizə verəcəyi sualların çoxuna cavab verir.

Xidmətin nə vermədiyini bilin

Bu, marşrutlaşdırılmış 3-cü qat girişidir. Bu, ofislər arasında yayımı uzadan 2-ci qat dövrəsi deyil, ona görə kəşf protokolları, yayımdan asılı tətbiqlər və ortaq seqment fərziyyələri onunla birlikdə getmir. Çap, ad gəzdirilməsi və yerli seqmentdən asılı olan hər şey öz dizaynına ehtiyac duyur.

VPN ayrılması da şifrələmə deyil. Etiket kommutasiyası müştəriləri provayderin şəbəkəsi daxilində ayrı saxlayır və müqavilə məxfiliyi tələb edirsə, yükü məxfi etmir. Bunun vacib olduğu yerlərdə onu tətbiq və ya üst qat təmin etməlidir.

Nəhayət, xidmət modelini saytın marşrutlaşdırma konfiqurasiyasının yanında yazılı saxlayın. Subşəbəkə əlavə edən növbəti mühəndis hansı prefikslərin elan edildiyini, kimin onları qəbul etdiyini və gözlənilən geri yolun nə olduğunu oxuya bilməlidir: BGP/MPLS IP VPN spesifikasiyası bütün bunların arxasındakı model üçün istinaddır.