Хмарнаму VPN патрэбны BGP: чаму іншыя пратаколы маршрутызацыі не спраўляюцца

Асацыяцыя бяспекі IPsec паднята, лічыльнікі тунэля рухаюцца, а трафік да хмарнага прэфікса знікае. Аператар потым спрабуе ўключыць OSPF на маршрутызатары кліента, чакаючы, што сусед сфармуецца, і нічога не адбываецца. Тунэль ніколі не быў тым, чаго не хапала: кіраваны хмарны VPN прадастаўляе вызначаны кантракт маршрутызацыі, і на буйных платформах гэты кантракт — BGP. Пакуль не існуе сесіі і прэфікс не прыняты, тунэль — гэта проста зашыфраваны шлях без пунктаў прызначэння за ім.

Тунэль падняты, а маршрут адсутнічае

Завяршэнне фазы 1 і фазы 2 даказвае, што бакі згодныя на абарону, а не тое, што любы з бакоў ведае, куды адпраўляць трафік. Гэта асобныя машыны станаў з асобнымі рэжымамі адмоваў.

Задайце тры пытанні па парадку: ці быў прэфікс абвешчаны, ці быў ён прыняты суседам і ці быў ён усталяваны для перасылкі? Прэфікс, які абвешчаны і адфільтраваны, — гэта праблема палітыкі. Прэфікс, які ніколі не абвяшчаўся, — гэта праблема сесіі або канфігурацыі. Прэфікс, які прыняты, але не ўсталяваны, — гэта праблема выбару маршруту, і кожны адказ паказвае на іншую частку канфігурацыі.

Што пастаўшчык насамрэч вам дае

Кіраваны VPN-шлюз — не неабмежаваны маршрутызатар. Пастаўшчык дае шлюз з падтрымліванымі адрасамі суседзяў, наладай аўтаномнай сістэмы, лімітамі прэфіксаў і вызначанымі паводзінамі пры адмове. Гэтая паверхня і ёсць прадукт.

Google Cloud дакументуе дынамічную маршрутызацыю BGP для HA VPN, дзе Cloud Router вывучае маршруты суседзяў і падае прыдатныя ўласныя дынамічныя маршруты ў VPC. AWS Site-to-Site VPN дакументуе выбар паміж статычнай і дынамічнай маршрутызацыяй і апісвае праверкі жыццяздольнасці BGP як карысныя для пераключэння тунэля, а таксама падтрымлівае праверкі стану для прылад без BGP. Паводзіны адной платформы нельга выводзіць з назвы прадукту другой.

Практычнае следства: спачатку вы выбіраеце кіраваны рэжым, а потым чытаеце падтрымліваныя параметры. Дызайн, які мяркуе тып суседства, якога сэрвіс не прапануе, — гэта не праблема канфігурацыі, якую трэба вырашаць на маршрутызатары кліента.

Абарона тунэля і дасяжнасць — асобныя задачы

IPsec абараняе трафік, выбраны для тунэля. BGP пастаўляе інфармацыю пра дасяжнасць, якая робіць прэфікс прыдатным. Працаздольны тунэль не даказвае, што чаканы прэфікс быў абвешчаны, прыняты або ўсталяваны.

Уявіце філіял, які абвяшчае 10.42.0.0/16 праз два прыдатныя шляхі тунэля. Прыбярыце адзін прыдатны шлях, і выбар маршруту можа змяніцца без таго, каб хтосьці рэдагаваў маршрут кожнай працоўнай нагрузкі. Выяўленне, выбар маршруту і аднаўленне праграмы не імгненныя і не аднолькавыя ў розных разгортваннях, таму тэст пераключэння павінен назіраць усю паслядоўнасць, а не першы пакет, што пройдзе.

Калі хмарны прэфікс недасяжны, праверце стан сесіі і вывучаныя маршруты, перш чым кранаць крыпту. SA, якая паднята без маршруту за ёй, — самая распаўсюджаная форма гэтага сімптому.

Дзе разбураюцца здагадкі пра OSPF

OSPF, IS-IS ці іншы пратакол унутры тунэля IPsec цалкам магчымы на самастойна кіраванай прыладзе, дзе вы валодаеце абодвума канцамі і дызайнам перасылкі. Гэты факт нічога не кажа пра кіраваны сэрвіс, які прапануе толькі BGP як рэжым дынамічнай маршрутызацыі.

Калі прапанаваны дызайн патрабуе суседства, якога сэрвіс не падтрымлівае, змяніце архітэктуру свядома. Варыянты ўключаюць самастойна кіраваную прыладу ў VPC, статычную маршрутызацыю там, дзе сэрвіс яе падтрымлівае, або іншы прадукт злучэння. Наладка пратаколу толькі на маршрутызатары кліента не можа дадаць суседа на баку хмары, якога не існуе, і не прымусіць прэфікс з'явіцца.

Не пераносьце адказ аднаго пастаўшчыка на шлюз іншага. Адны і тыя ж словы, напрыклад дынамічная маршрутызацыя або пераключэнне тунэля, могуць апісваць розныя механізмы і розныя абмежаванні.

Спачатку прачытайце патрабаванне сэрвісу, потым праектуйце

Перад першым радком канфігурацыі запішыце адрасы суседзяў, нумары аўтаномных сістэм, прэфіксы, якія вы будзеце абвяшчаць і прымаць, ліміты маршрутаў і чаканыя паводзіны пры адмове тунэля. Гэтыя пяць пунктаў — кантракт, супраць якога вы праектуеце.

Затым правярайце ў тым жа парадку: сесія ўсталявана, прэфікс атрыманы, маршрут прысутнічае ў табліцы маршрутаў VPC і ёсць рэальны паток да адраса сэрвісу. Паўтарыце пасля прымусовага пераключэння, бо сесія, якая пераўсталёўваецца, можа вярнуцца з іншым наборам маршрутаў. Калі дызайн залежыць ад збежнасці за долі секунды, вымерайце яе, а не мяркуйце.

Трымайце кантракт сэрвісу разам з запісам змен. Калі потым хтосьці спытае, чаму тунэль не можа працаваць з OSPF, адказ — гэта мяжа прадукту, а не абмежаванне пратаколу, і запіс павінен гэта казаць.