Маршрутызацыя філіялаў MPLS: што даведваецца CE і ад каго

Край філіяла абменьваецца маршрутамі з краем правайдера, а не з далёкім філіялам. Прасочыце адзін пакет і праверце абодва перадачы, перш чым здаць пляцоўку.

Хост у адным філіяле адкрывае злучэнне да сервера ў другім, і абедзве пляцоўкі стаяць за адной кіраванай сеткай VPN MPLS 3-га ўзроўню. Хост ведае толькі свой шлюз па змаўчанні і больш нічога, і гэта правільна. Важна тое, што лакальны край кліента перадае пакет свайму краю правайдера, а стан маршрутызацыі VPN у правайдера дастаўляе яго ў філіял, якому належыць прэфікс прызначэння.

Прасочванне аднаго пакета па шляху — гэта самы хуткі спосаб убачыць, якая частка з'яўляецца адказнасцю кліента, а якая належыць сэрвісу.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Дзе заканчваецца праца кожнага хопа

CE-A патрэбен маршрут да далёкай LAN, які паказвае на яго лакальнае падключэнне да правайдера, а не на WAN-адрас далёкага філіяла. Затым правайдер нясе пакет праз сваё ядро з дапамогай стану маршрутызацыі VPN, а CE-B дастаўляе яго ў LAN прызначэння. Ні на якім этапе хосту не трэба разумець меткі, VRF або інтэрнэт-канал суседняга боку.

Памылка, якая раз за разам трапляе ў тыкеты, — гэта наладка WAN-адраса філіяла B у якасці наступнага хопа ў філіяле A. Абодва філіялы купілі адзін і той жа сэрвіс, таму здаецца, што яны павінны быць суседзямі. Але яны не суседзі: наступны хоп павінен быць дасяжны праз тую схему маршрутызацыі, якая ў вас насамрэч ёсць, а далёкі CE звычайна знаходзіцца праз шмат хопаў за абсталяваннем, якім вы не кіруеце. Статычны маршрут, пабудаваны на такім дапушчэнні, паказваецца як актыўны і не развязваецца ні ў што; гэта горш за адсутны маршрут, бо ў табліцы ён выглядае правільным.

RFC 4364 аддзяляе абмен паміж краем кліента і краем правайдера ад размеркавання VPN-маршрутаў правайдерам, і гэта менавіта тая мяжа, пра якую ідзе гаворка ў гэтым дапаможніку. Задача кліента — сказаць свайму краю, што ён можа даставіць, і прыняць дасяжнасць, якую сэрвіс прапануе ў адказ.

Пра што павінна дамовіцца перадача

Выбірайце механізм разам з правайдерам, а не ў абыход яго. Статычныя маршруты, BGP або дамова аб пратаколе маршрутызацыі паміж CE і PE — усё гэта праўныя варыянты, і OSPF мае вызначаную мадэль MPLS VPN для такой перадачы. Нішто з гэтага не прычына будаваць суседства OSPF паміж двума далёкімі краямі кліента праз неазначанае ядро правайдера: гэта схема, на якую правайдер не дагаварыўся і якую не можа падтрымаць.

Перш чым новая LAN запрацуе, запішыце чатыры рэчы: прэфікс, лакальны маршрут далей у CE, аб'яву, якую правайдер прыме, і маршруты, якія правайдер верне. Дадайце любыя фільтрацыі, абмежаванні прэфіксаў або абмежаванні паміж пляцоўкамі, якія прадугледжвае кантракт. Здаровае суседства — гэта канал абмену інфармацыяй, і яно не з'яўляецца доказам таго, што пэўны прэфікс прыняты; сесія можа быць у стане up, пакуль ваша новая падсетка сядзіць у фільтры.

Затым прасачыце адказ. Філіялу B патрэбен маршрут назад да зыходнай LAN, а хосту на баку атрымання — свой шлюз і свае дазволы на сэрвіс. Маршрут, які з'явіўся на CE-A, усталёўвае палову круга, і палова круга — гэта прычына, чаму адзін кірунак тэсту ping выглядае здаровым, пакуль праграма ўсё яшчэ не працуе.

Праверце абодва перадачы перад здачай

Сабярыце стан маршрутызацыі на абодвух краях кліента, пацвердзіце ў правайдера, што патрэбныя прэфіксы LAN прыняты ў VPN, і затым пратэстуйце адну дазволеную праграму ў кожным кірунку. Самыя табліцы маршрутаў не даказваюць, што праграма працуе, а адзін тэст праграмы не паведамляе, якая плоскасць кіравання адмовіла, калі яна не працуе.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Чытайце тры вынікі разам. Першы кажа, што край лічыць праўдай, другі — што ён даведаўся і ад якога суседа, трэці — што ён насамрэч будзе перасылаць. Разыходжанне паміж імі звычайна з'яўляецца праблемай палітыкі або рэкурсіі, а не адсутнай аб'явай, і яго варта вырашыць да таго, як просіць правайдера весці расследаванне. Вазьміце гэтыя тры вынікі на званок з аператарам, бо яны адказваюць на большасць пытанняў, якія інакш задаў бы вам інжынер падтрымкі.

Ведайце, чаго сэрвіс не дае

Гэта маршрутызаваны доступ 3-га ўзроўню. Гэта не канал 2-га ўзроўню, які пашырае шырокавяшчальныя пакеты паміж офісамі, таму пратаколы выяўлення, праграмы, залежныя ад шырокавяшчання, і дапушчэнні пра агульны сегмент не падарожнічаюць разам з ім. Друк, агляд імёнаў і ўсё, што залежыць ад лакальнага сегмента, патрабуюць уласнай схемы.

Раздзяленне VPN — гэта таксама не шыфраванне. Камутацыя метак трымае кліентаў асобна ўнутры сеткі правайдера, але яна не робіць карысную нагрузку канфідэнцыйнай, калі кантракт патрабуе канфідэнцыйнасці. Там, дзе гэта важна, яго павінна забяспечыць праграма або накладзены слой.

Нарэшце, трымайце мадэль сэрвісу запісанай побач з канфігурацыяй маршрутызацыі пляцоўкі. Наступны інжынер, які дадасць падсетку, павінен бачыць, якія прэфіксы аб'яўляюцца, хто іх прымае і які чаканы зваротны шлях: Спецыфікацыя BGP/MPLS IP VPN з'яўляецца даведкай для мадэлі, якая стаіць за ўсім гэтым.

Падобныя артыкулы