Cloud VPN zahtijeva BGP: zašto drugi protokoli rutiranja ne rade

IPsec sigurnosna asocijacija je aktivna, brojači tunela se kreću, a promet prema cloud prefiksu nestaje. Operater zatim pokušava omogućiti OSPF na usmjerivaču korisnika, očekujući da će se susjed uspostaviti, i ništa se ne događa. Tunel nikada nije bio dio koji nedostaje: upravljani cloud VPN izlaže definirani ugovor o rutiranju, a na velikim platformama taj ugovor je BGP. Dok ne postoji sesija i prefiks ne bude prihvaćen, tunel je samo šifrirana staza bez odredišta iza sebe.

Tunel je aktivan, a ruta nedostaje

Završetak faze 1 i faze 2 dokazuje da se strane slažu o zaštiti, a ne da bilo koja strana zna kamo poslati promet. To su odvojene mašine stanja s odvojenim načinima otkaza.

Postavite tri pitanja po redu: je li prefiks objavljen, je li ga susjed prihvatio i je li instaliran za prosljeđivanje? Prefiks koji je objavljen i filtriran je problem politike. Prefiks koji nikada nije objavljen je problem sesije ili konfiguracije. Prefiks koji je prihvaćen ali nije instaliran je problem odabira rute, i svaki odgovor upućuje na drugi dio konfiguracije.

Šta vam dobavljač zapravo daje

Upravljani VPN gateway nije neograničen usmjerivač. Dobavljač vam daje gateway s podržanim adresama susjeda, postavkom autonomnog sistema, ograničenjima prefiksa i definiranim ponašanjem pri otkazu. Ta površina je proizvod.

Google Cloud dokumentira dinamičko BGP rutiranje za HA VPN, pri čemu Cloud Router uči rute susjeda i dostavlja podobne prilagođene dinamičke rute u VPC. AWS Site-to-Site VPN dokumentira izbor između statičkog i dinamičkog rutiranja i opisuje BGP provjere živosti kao korisne za prebacivanje tunela, uz podršku i za zdravstvene provjere na uređajima bez BGP-a. Ponašanje jedne platforme ne treba izvoditi iz naziva proizvoda druge.

Praktična posljedica je da prvo odaberete upravljani način, a zatim čitate podržane parametre. Dizajn koji pretpostavlja tip susjedstva koji usluga ne nudi nije konfiguracijski problem koji se rješava na usmjerivaču korisnika.

Zaštita tunela i dostupnost su odvojeni poslovi

IPsec štiti promet odabran za tunel. BGP daje informacije o dostupnosti koje prefiks čine podobnim. Ispravan tunel ne dokazuje da je očekivani prefiks objavljen, prihvaćen ili instaliran.

Zamislite podružnicu koja objavljuje 10.42.0.0/16 kroz dvije podobne putanje tunela. Uklonite jednu ispravnu putanju i odabir rute se može promijeniti bez toga da iko uređuje rutu svakog radnog opterećenja. Otkrivanje, odabir rute i oporavak aplikacije nisu trenutni i nisu identični među implementacijama, pa test prebacivanja mora promatrati cijeli slijed, a ne prvi paket koji prođe.

Kada je cloud prefiks nedostupan, provjerite stanje sesije i naučene rute prije nego dirate kriptografiju. Aktivna SA bez rute iza sebe najčešći je oblik ovog simptoma.

Gdje se ruše pretpostavke o OSPF-u

OSPF, IS-IS ili drugi protokol unutar IPsec tunela potpuno je moguć na samoupravljanom uređaju, gdje posjedujete oba kraja i dizajn prosljeđivanja. Ta činjenica ne govori ništa o upravljanoj usluzi koja nudi samo BGP kao način dinamičkog rutiranja.

Ako predloženi dizajn zahtijeva susjedstvo koje usluga ne podržava, svjesno promijenite arhitekturu. Opcije uključuju samoupravljani uređaj u VPC-u, statičko rutiranje gdje ga usluga podržava ili drugi proizvod za povezivanje. Konfiguriranje protokola samo na usmjerivaču korisnika ne može dodati susjeda na strani cloudu koji ne postoji i neće učiniti da se prefiks pojavi.

Ne prenosite odgovor jednog dobavljača na gateway drugog. Iste riječi, poput dinamičkog rutiranja ili prebacivanja tunela, mogu opisivati različite mehanizme i različita ograničenja.

Pročitajte zahtjev usluge, zatim projektirajte

Prije prve linije konfiguracije zapišite adrese susjeda, brojeve autonomnih sistema, prefikse koje ćete objavljivati i prihvaćati, ograničenja ruta i očekivano ponašanje kada tunel otkaže. Tih pet stavki je ugovor prema kojem projektirate.

Zatim provjerite istim redom: sesija uspostavljena, prefiks primljen, ruta prisutna u VPC tabeli ruta i stvarni tok prema adresi usluge. Ponovite nakon prisilnog prebacivanja, jer sesija koja se ponovo uspostavi može se vratiti s drugim skupom ruta. Ako dizajn ovisi o konvergenciji ispod sekunde, izmjerite je umjesto da je pretpostavljate.

Držite ugovor o usluzi uz zapis o promjeni. Kada kasnije neko pita zašto tunel ne može pokretati OSPF, odgovor je granica proizvoda, a ne ograničenje protokola, i zapis bi to trebao reći.