BGP і MPLS у VPN: якая частка нясе пакет

Пытанне, ці працуе VPN на BGP або MPLS, змешвае два ўзроўні ў адно рашэнне. BGP размяркоўвае дасяжнасць і палітыку. MPLS перасылае пакеты, выкарыстоўваючы ўсталяваны стан метак. У VPN BGP/MPLS гэтыя два ўзроўні супрацоўнічаюць, і выдаленне любога з іх пакідае сэрвіс цалкам без працы. Праверанні ніжэй праводзяць той жа прэфікс праз абодва ўзроўні, каб вы бачылі, дзе менавіта спыніўся ваш.

Праверка 1: ці знаходзіцца прэфікс у патрэбнай VRF

Пачніце з уваходнага краю правайдера і спытайце, да якой VRF належыць прэфікс кліента. Перакрыцце адрасоў кліентаў у гэтай схеме нармальнае, таму VRF — гэта кантэкст, які трымае асобна двух кліентаў, што адначасова выкарыстоўваюць 10.0.0.0/8.

Калі прэфікса там няма, нішто далей не можа быць правільным, і астатнія праверкі — марная праца.

Праверка 2: ці быў маршрут VPN размеркаваны і імпартаваны

Правайдар размяркоўвае маршруты кліентаў праз MP-BGP. Кожны маршрут нясе дыскрымінатар маршруту, які робіць інакш аднолькавыя прэфіксы ўнікальнымі, і мэты маршруту, якія вызначаюць, якія VRF імпартуюць маршрут. Маршрут, які прыйшоў, але не імпартаваны, пакідае атрымальную VRF пустой для гэтага прэфікса. Праверце палітыку імпарту, перш чым вінаваціць далёкі бок.

Выбар маршруту таксама мае значэнне: лепшы шлях праз іншы край правайдера замяняе той, які вы чакалі ўбачыць.

Праверка 3: што ўваходны край робіць з пакетам

Калі пакет прыходзіць, уваходны край выконвае пошук IP у VRF, а затым далучае меткі для абранага шляху. Стек мае дзве лагічныя ролі, нават калі запіс паказвае іншую колькасць метак.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Спецыфікацыя VPN BGP/MPLS апісвае гэтае размяшчэнне. Зняцце меткі на перадапошнім участку можа прыбраць транспартную метку перад апошнім участкам, таму запіс з двума меткамі, зроблены ў сярэдзіне сеткі, не з'яўляецца доказам няспраўнасці.

Праверка 4: ці перасылае базавая сетка гэтыя меткі

Транзітныя маршрутызатары камутуюць па ўсталяваных запісах метак. Яны не чытаюць абнаўленні BGP, каб вырашыць, што адбудзецца з вашым асобным пакетам. Менавіта таму маршрут кліента можа існаваць, пакуль перасылка не працуе: развязаны наступны ўчастак або транспартная метка могуць зламацца незалежна. Вывучэнне прэфікса VPN не рамантуе базавую сетку пад ім.

Праверце прывязку меткі да выходнага краю, а не проста наяўнасць маршруту.

Праверка 5: дзеянне на выхадзе і зваротны шлях

На выхадзе метка сэрвісу вызначае дзеянне перасылкі, пакет дэкапсулюецца і рухаецца да месца прызначэння кліента. Адтуль павінен працаваць і зваротны шлях, уключаючы палітыку доступу з боку кліента на гэтым інтэрфейсе.

Поспех у адзін бок — гэта звычайна зваротны маршрут або фільтр, а не стек метак.

Прачытайце свой сімптом праз адну з гэтых праверак

Адсутнасць маршруту ў атрымальнай VRF азначае аб'яву, палітыку імпарту або выбар маршруту. Наяўнасць маршруту пры збоях пакетаў азначае развязаны наступны ўчастак, перасылку метак або зваротны шлях з боку кліента. Прыход пакетаў з няправільным прызначэннем звычайна азначае, што вы агледзелі не тую VRF. Нішто з гэтага не прычына змяняць пратакол маршрутызацыі.

Яшчэ адно варта сказаць прама: гэтая схема раздзяляе кліентаў і эфектыўна перасылае іх трафік. Яна не шыфруе, і ставіцца да яе як да сэрвісу канфідэнцыйнасці — асобная памылка.