BGP i MPLS u VPN-u: koji dio nosi paket

Pitanje da li VPN radi na BGP-u ili MPLS-u spaja dva sloja u jednu odluku. BGP distribuira dostupnost i politiku. MPLS prosljeđuje pakete koristeći instalirano stanje oznaka. U BGP/MPLS VPN-u njih dvoje sarađuju, a uklanjanje bilo kojeg ostavlja uslugu bez ikakvog rada. Provjere ispod vode isti prefiks kroz oba sloja, tako da tačno vidite gdje se vaš zaustavio.

Provjera 1: je li prefiks u ispravnom VRF-u

Počnite na ulaznoj ivici provajdera i pitajte kojoj VRF pripada prefiks korisnika. Preklapanje adresa korisnika je normalno u ovom dizajnu, pa je VRF kontekst koji drži odvojeno dva korisnika koji oba koriste 10.0.0.0/8.

Ako prefiks tamo nedostaje, ništa kasnije ne može biti ispravno, a preostale provjere su uzaludan trud.

Provjera 2: je li VPN ruta distribuirana i uvezena

Provajder distribuira rute korisnika putem MP-BGP-a. Svaka ruta nosi razlikovnik rute, koji inače identične prefikse čini jedinstvenim, i ciljeve rute, koji odlučuju koje VRF uvoze rutu. Ruta koja stigne ali nije uvezena ostavlja prijemni VRF prazan za taj prefiks. Provjerite politiku uvoza prije nego optužite udaljenu stranu.

Izbor rute je također važan: preferirani put kroz drugu ivicu provajdera zamjenjuje onaj koji ste očekivali vidjeti.

Provjera 3: šta ulazna ivica radi s paketom

Kada paket stigne, ulazna ivica obavlja IP pretragu u VRF-u i zatim dodaje oznake za odabrani put. Stog ima dvije logičke uloge čak i kada snimak pokazuje drugačiji broj oznaka.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specifikacija BGP/MPLS VPN-a opisuje taj raspored. Uklanjanje oznake na pretposljednjem skoku može ukloniti transportnu oznaku prije posljednjeg skoka, pa snimak s dvije oznake načinjen u sredini mreže nije dokaz kvara.

Provjera 4: prosljeđuje li osnovna mreža te oznake

Tranzitni ruteri prebacuju prema instaliranim zapisima oznaka. Oni ne čitaju BGP objave da bi odlučili šta se događa s vašim pojedinačnim paketom. Zato ruta korisnika može postojati dok prosljeđivanje još ne radi: razriješeni sljedeći skok ili transportna oznaka mogu se pokvariti neovisno. Učenje VPN prefiksa ne popravlja osnovnu mrežu ispod njega.

Provjerite vezivanje oznake prema izlaznoj ivici, a ne samo postojanje rute.

Provjera 5: radnja na izlazu i povratni put

Na izlazu oznaka usluge identificira radnju prosljeđivanja, paket se dekapsulira i nastavlja prema odredištu korisnika. Odatle mora raditi i povratni put, uključujući politiku pristupa na strani korisnika na tom interfejsu.

Jednosmjerni uspjeh je obično povratna ruta ili filter, a ne stog oznaka.

Pročitajte svoj simptom kroz jednu od ovih provjera

Ruta koja nedostaje u prijemnom VRF-u znači objavljivanje, politiku uvoza ili izbor rute. Ruta koja postoji uz pakete koji ne prolaze znači razriješeni sljedeći skok, prosljeđivanje oznaka ili povratni put na strani korisnika. Paketi koji dolaze na pogrešno odredište obično znače da pregledate pogrešan VRF. Ništa od toga nije razlog za promjenu protokola rutiranja.

Još nešto vrijedi reći otvoreno: ovaj dizajn razdvaja korisnike i efikasno prosljeđuje njihov saobraćaj. On ne šifruje, a tretirati ga kao uslugu povjerljivosti je zasebna greška.