VPNv4 между AS: какво изисква договорът за препращане на етикети

Четенето на етикет VPNv4 на граничен маршрутизатор на AS не ви казва много, докато не разберете кой модел между AS прилага предаването. Етикетът не е свойство на маршрута сам по себе си; той записва споразумение за инкапсулация и доставка между два маршрутизатора. Определете модела, преди да четете екрана. Иначе отстранявате грешки в договор, който никой не е записал.

Кой модел прилага границата

Схемата VRF към VRF свързва съответстващи VRF чрез маршрутизирани прикачвания. Всяка страна вижда другата като съсед от клиентския край и те обменят обикновени маршрути IPv4, така че нищо на тази граница не се нуждае от MPLS.

Втора схема разменя маркирани маршрути VPNv4 между самите гранични маршрутизатори. Това работи само при съгласуван път с комутация на етикети през междусистемната връзка и при разпределение на цели на маршрута плюс модел на доверие, които двете страни приемат. Ако липсва някое от двете, моделът не се използва, каквото и да предполага конфигурацията.

Третата разпространява маркирана достъпност до PE, докато маршрутите VPN пътуват между крайни точки или рефлектори на маршрути през AS. Всяка от трите оставя различна работа на границата, а смесването на контролната равнина на една с интерфейсните допускания на друга е класическата повреда. Това несъответствие обикновено се проявява като етикет, който изглежда правилен от едната страна и изчезва от другата.

Прочетете един префикс от край до край

Вземете един разрешен клиентски префикс и го проследете. Вижте какво е било обявено, какво е пристигнало, следващия хоп, етикета и политиката за внос, която го е допуснала. След това вижте как маршрутизаторът разрешава препращането към този следващ хоп, защото точно там етикетът се превръща в пакет. Пропуснете която и да е половина и описвате контролна равнина, която може и да не пренася трафик. Двете четения имат смисъл само заедно.

Числото е локално. То означава нещо спрямо маршрутизатора, който го е разпределил, и пътя, който пренася пакетите дотам, затова една и съща стойност може да се появи два пъти и да означава два различни неща. Сравнете го с това, което приемащата страна казва, че е получила.

Етикетът е локален, а обещанието също

Възможностите се проверяват в двата края на връзката, не в единия. Команда на вашия интерфейс не прави нищо на интерфейса на съседния доставчик, а маршрут, който BGP е приел, сам по себе си не задължава съседа да препраща маркиран пакет.

RFC 4364 ограничава маркирания VPNv4 пиъринг до доверени схеми и предупреждава срещу приемане на етикети, които никога не са били обявявани на този пиър. Това е толкова твърдение за сигурността, колкото и за протокола. Дръжте връзката за маршрутизация в публичния интернет далеч от частния обмен на маршрути VPN. Ако връзката е обикновен IP, не очаквайте някакъв етикет да я преживее. А където връзката е маркирана, потвърдете, че външният транспортен етикет се сменя правилно на всеки хоп.

Етикет, който изглежда правилен от едната страна и изчезва от другата, обикновено е това несъответствие, а не грешка в маршрутизацията.

Какво да запишете при приемането

Приемането е тест на пакети, а не преглед на таблица. Проследете клиентски пакет в отдалечения VRF и проследете отговора му обратно, после запишете кой модел прилага предаването. Добавете отговорниците за предаването от двете страни и дали границата пренася обикновен IP или маркиран трафик.

Тази бележка е това, което позволява на следващия оператор да прочете правилно същия изглед на етикети. Без нея моделът се извежда от конфигурацията, а изведените допускания са начинът, по който същата грешка се повтаря. Разделът за междусистемни AS в RFC 4364 е мястото, където да се реши кой модел е бил предвиден.