BGP и MPLS във VPN: коя част носи пакета

Въпросът дали една VPN работи върху BGP или MPLS смесва два слоя в едно решение. BGP разпределя достижимост и политика. MPLS препраща пакети, използвайки инсталираното състояние на етикетите. Във VPN от тип BGP/MPLS двете си сътрудничат и премахването на което и да е от тях не оставя никаква услуга. Проверките по-долу прекарват един и същ префикс през двата слоя, така че да видите точно къде е спрял вашият.

Проверка 1: префиксът в правилната VRF ли е

Започнете от входящия ръб на доставчика и попитайте към коя VRF принадлежи префиксът на клиента. Застъпването на клиентски адреси е нормално в този дизайн, затова VRF е контекстът, който държи разделени двама клиенти, използващи едновременно 10.0.0.0/8.

Ако префиксът липсва там, нищо след това не може да е правилно и останалите проверки са прахосано усилие.

Проверка 2: разпределен и импортиран ли е маршрутът на VPN

Доставчикът разпределя клиентските маршрути с MP-BGP. Всеки маршрут носи дескриминатор на маршрут, който прави иначе еднаквите префикси уникални, и цели на маршрута, които решават кои VRF да импортират маршрута. Маршрут, който пристига, но не се импортира, оставя получаващата VRF празна за този префикс. Проверете политиката за импорт, преди да обвинявате далечната страна.

Изборът на маршрут също има значение: предпочитан път през друг ръб на доставчика замества този, който сте очаквали да видите.

Проверка 3: какво прави входящият ръб с пакета

Когато пристигне пакет, входящият ръб извършва IP търсене в VRF и след това прикачва етикети за избрания път. Стекът има две логически роли, дори когато запис показва различен брой етикети.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Спецификацията за VPN от тип BGP/MPLS описва тази подредба. Изваждането на етикета на предпоследния хоп може да премахне транспортния етикет преди последния хоп, затова запис с два етикета, направен по средата на мрежата, не е доказателство за повреда.

Проверка 4: препраща ли подлежащата мрежа тези етикети

Транзитните рутери комутират по инсталираните записи за етикети. Те не четат BGP обновявания, за да решат какво се случва с вашия отделен пакет. Ето защо клиентски маршрут може да присъства, докато препращането още се проваля: разрешеният следващ хоп или транспортният етикет могат да се счупят независимо. Изучаването на VPN префикс не поправя подлежащата мрежа под него.

Проверете свързването на етикета към изходящия ръб, а не само наличието на маршрута.

Проверка 5: действието на изхода и обратният път

На изхода етикетът на услугата определя действието по препращане, пакетът се декапсулира и продължава към дестинацията на клиента. Оттам трябва да работи и обратният път, включително политиката за достъп от страна на клиента на този интерфейс.

Едностранен успех обикновено означава обратен маршрут или филтър, а не стека от етикети.

Разчетете своя симптом в една от тези проверки

Липсващ маршрут в получаващата VRF означава анонсиране, политика за импорт или избор на маршрут. Наличие на маршрут при провал на пакетите означава разрешения следващ хоп, препращането на етикети или обратния път от страна на клиента. Пакети, пристигащи с грешна дестинация, обикновено означават, че разглеждате грешната VRF. Нищо от това не е причина да сменяте протокола за маршрутизация.

Още нещо, което си заслужава да се каже направо: този дизайн разделя клиентите и препраща трафика им ефективно. Той не криптира и да го третирате като услуга за поверителност е отделна грешка.