L3VPN predaja: privatne rute, podrazumijevana ruta ili puna tabela?

Vaš krug radi, VRF je konfigurisan, a provajder postavlja kratko pitanje koje određuje ostatak dizajna: šta treba da primi korisnička ivica? Tri odgovora su uobičajena i nijedan ne proizlazi iz činjenice da postoji stek oznaka. To su odluke o usluzi: gdje saobraćaj napušta ogranak.

Prolazak kroz predaju po redu najjeftiniji je način da se to uradi ispravno. Počinjete od onoga što se dešava sa saobraćajem koji se ni s čim ne poklapa, zatim zapisujete privatne prefikse i njihovo ponašanje pri kvaru, a tek onda govorite o tome koliki tok ste spremni da nosite.

Počnite sa saobraćajem koji niko nije planirao

Postavite jedno pitanje prije nego što se pojavi bilo koja lista prefiksa: kada paket ne odgovara nijednoj privatnoj ruti, kuda treba da ide? Ogranak sa sopstvenim internet krugom obično drži lokalnu podrazumijevanu rutu, pa običan web saobraćaj izlazi kroz lokalni firewall i nikada ne dodiruje provajdera. U tom dizajnu VPN nosi samo udaljene privatne lokacije, a specifičniji prefiksi vrše odabir.

Ogranak koji treba da koristi centralni izlaz je suprotan slučaj. Tamo podrazumijevana ruta pokazuje u uslugu, a provajder ili centralna lokacija posjeduje prosljeđivanje, povratno rutiranje i svako prevođenje. Reći "podrazumijevano na VPN" bez tog vlasnika daje ogranak koji razrješava imena i ne dolazi ni do čega.

Dva dizajna se razlikuju po tome kako izgleda kvar rutiranja, i zato je nagađanje skupo. Sa lokalnom podrazumijevanom rutom, izgubljena privatna ruta šalje taj saobraćaj na internet, gdje ga firewall odbacuje ili, još gore, odgovara nešto što niste namjeravali. Sa centralnom podrazumijevanom rutom, isti gubitak potpuno uklanja internet pristup i tiket stiže kao "cijeli ogranak je pao". Nijedan kvar sam po sebi nije pogrešan, ali samo jedan odgovara usluzi koju ste prodali, a sama BGP konfiguracija vam neće reći koji ste napravili.

Zapišite privatne prefikse zajedno sa slučajem kvara

Navedite prefikse do kojih ogranak mora doći i zabilježite koji su sažeti. Agregat koji je jedan bit preširok uvlači nepoznate destinacije u VPN, što je u redu samo ako daleka strana njima zaista upravlja i prosljeđuje ih.

Zatim opišite namjeravano ponašanje kada privatna usluga zakaže. Zadržana ruta za odbacivanje drži saobraćaj van neovlaštene putanje i daje čist, očekivan prekid. Plutajuća podrazumijevana ruta može sačuvati dostupnost prelaskom na rezervnu putanju, ali samo ako rezervna putanja ima ovlaštenje da nosi taj saobraćaj.

Držite dostupnost i dozvoljeni povratak kao dva odvojena zahtjeva u dokumentu predaje. Timovi koji ih spoje na kraju raspravljaju o tome da li je ogranak trebalo da padne, umjesto da provjere da li je dogovorena politika primijenjena.

Provjerite šta je CE zaista instalirao

Namjera konfiguracije i stanje prosljeđivanja razilaze se dovoljno često da provjera pripada predaji, a ne pregledu incidenta. Na IOS-XE korisničkoj ivici tri komande ispod odgovaraju na tri različita pitanja: šta je ponuđeno, šta je prihvaćeno i šta se zaista koristi.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Pokrenite sve tri na dan predaje, a ne mjesec dana kasnije, dok se još neko sjeća šta je dogovoreno. Prvi izlaz zavisi od soft-reconfiguration inbound ili od sačuvanog osvježavanja ruta; bez ijednog od toga CE vam ne može pokazati šta je odbio. Drugi prikazuje prihvaćene i najbolje putanje nakon politike. Treći vam kaže kuda podrazumijevana ruta zaista ide, a to je najkorisniji red u cijeloj predaji.

Pokrenite iste provjere na drugom CE ako lokacija ima dva priključka. Asimetrično prihvatanje između dvije ivice čest je uzrok "radi sa jednog servera, a sa drugog ne", i nevidljivo je u razlici konfiguracije koja izgleda simetrično.

Kvalifikujte veći tok umjesto da ga pretpostavljate

Ponekad korisnik zaista treba informacije o internet putanjama unutar VRF-a, za rutiranje po politici ili za centralni izlaz koji usmjerava po prefiksu. To je zahtjev koji treba navesti, ograničiti i naplatiti, a ne skrivena podrazumijevana ruta. Dolazi s memorijom za RIB i FIB, procesorom za ažuriranja, održavanjem filtera i vlasnikom rezultirajuće tabele.

Argumenti o kapacitetu griješe u oba smjera. Puna tabela nije zabranjena unutar VRF-a, a nije ni besplatna. Isto tako, današnji trošak ne možete izvesti iz starog broja ruta, a manja dodjela oznaka ne uklanja trošak čuvanja ruta.

Specifikacija BGP/MPLS IP VPN razmatra nekoliko rasporeda internet pristupa uz samu VPN uslugu i ne proglašava punu tabelu ili podrazumijevanu rutu obaveznom za svakog korisnika; to je odjeljak koji vrijedi pokazati kada se pojavi tvrdnja o "standardnoj praksi": RFC 4364.

Zatvorite predaju tako što ćete uz dogovorenu izlaznu politiku zabilježiti objavljeni skup, primljeni skup i odabrani skup, i što ćete testirati jednu privatnu destinaciju, jednu namjeravanu javnu destinaciju i jedan slučaj gubitka rute. Potpisan zapis tih tri testova rješava više rasprava od bilo koje tvrdnje o tome šta većina mreža radi.