MPLS usmjeravanje podružnica: što CE nauči i od koga

Host na jednoj podružnici otvara vezu prema poslužitelju na drugoj, a obje lokacije stoje iza iste upravljane MPLS VPN 3. sloja. Host zna samo svoj zadani gateway i ništa drugo, što je ispravno. Važno je da lokalni korisnički rub preda paket svom rubu davatelja usluge i da ga stanje VPN usmjeravanja davatelja dostavi podružnici koja posjeduje odredišni prefiks.

Praćenje jednog paketa kroz putanju najbrži je način da se vidi koji je dio odgovornost korisnika, a koji pripada usluzi.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Gdje završava posao svakog hopa

CE-A treba rutu za udaljeni LAN koja pokazuje na njegov lokalni priključak davatelja usluge, a ne na WAN adresu udaljene podružnice. Davatelj zatim nosi paket kroz svoju jezgru koristeći stanje VPN usmjeravanja, a CE-B ga dostavlja na odredišni LAN. Ni u jednom trenutku host ne mora razumjeti oznake, VRF-ove ni internetski krug druge strane.

Pogreška koja se stalno pojavljuje u ticketima jest konfiguriranje WAN adrese podružnice B kao sljedećeg hopa na podružnici A. Obje su podružnice kupile istu uslugu, pa se čini da bi trebale biti susjedi. Nisu: sljedeći hop mora biti dostupan kroz dizajn usmjeravanja koji stvarno imate, a udaljeni CE obično je mnogo hopova daleko iza opreme koju ne administrirate. Statička ruta izgrađena na toj pretpostavci prikazuje se kao aktivna i ne razrješava se ni u što, što je gore od rute koja nedostaje, jer u tablici izgleda ispravno.

RFC 4364 razdvaja razmjenu između korisničkog i davateljevog ruba od davateljeve distribucije VPN ruta, i to je upravo granica o kojoj govori ovaj priručnik. Zadatak korisnika je reći svom rubu što može dostaviti i prihvatiti dostupnost koju usluga nudi zauzvrat.

O čemu se prijelaz mora dogovoriti

Odaberite mehanizam zajedno s davateljem, a ne oko njega. Statičke rute, BGP ili dogovor o protokolu usmjeravanja između CE i PE sve su legitimni, a OSPF ima definiran MPLS VPN model za takav prijelaz. Ništa od toga nije razlog za izgradnju OSPF susjedstva između dva udaljena korisnička ruba preko neodređene jezgre davatelja, jer je to dizajn s kojim davatelj nije suglasan i koji ne može podržati.

Prije nego novi LAN krene u rad, zapišite četiri stvari: prefiks, lokalnu daljnju rutu na CE-u, najavu koju će davatelj prihvatiti i rute koje će davatelj vratiti. Dodajte sve filtriranje, ograničenja prefiksa ili ograničenja između lokacija koja ugovor nameće. Zdravo susjedstvo kanal je za razmjenu informacija i nije dokaz da je određeni prefiks prihvaćen; sesija može biti aktivna dok vaša nova podmreža stoji u filtru.

Zatim slijedite odgovor. Podružnica B treba rutu natrag prema izvornom LAN-u, a host na prijemnoj strani treba svoj gateway i svoja dopuštenja za uslugu. Ruta koja se pojavi na CE-A uspostavlja pola kruga, a pola kruga razlog je zašto jedan smjer ping testa izgleda zdravo dok aplikacija još uvijek ne radi.

Provjerite oba prijelaza prije preuzimanja

Prikupite stanje usmjeravanja na oba korisnička ruba, potvrdite s davateljem da su predviđeni LAN prefiksi prihvaćeni u VPN, a zatim testirajte jednu dopuštenu aplikaciju u svakom smjeru. Same tablice ruta ne dokazuju da aplikacija radi, a sam test aplikacije ne govori vam koja je kontrolna ravnina zakazala kada ne radi.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Čitajte tri izlaza zajedno. Prvi govori što rub vjeruje, drugi govori što je naučio i od kojeg peera, a treći govori što će stvarno prosljeđivati. Nesklad među njima obično je problem politike ili rekurzije, a ne nedostajuća najava, i vrijedi ga riješiti prije nego što se davatelj zamoli da istraži. Donesite ta tri izlaza na razgovor s operaterom, jer odgovaraju na većinu pitanja koja bi vam inženjer podrške inače postavio.

Znajte što usluga ne pruža

Ovo je usmjereni pristup 3. sloja. Ovo nije krug 2. sloja koji proširuje broadcast između ureda, pa protokoli za otkrivanje, aplikacije ovisne o broadcastu i pretpostavke o zajedničkom segmentu ne putuju s njim. Ispis, pregledavanje naziva i sve što ovisi o lokalnom segmentu treba vlastiti dizajn.

Razdvajanje VPN-a također nije enkripcija. Komutacija oznaka drži korisnike odvojenima unutar mreže davatelja i ne čini sadržaj povjerljivim ako ugovor zahtijeva povjerljivost. Gdje je to važno, mora ga osigurati aplikacija ili nadgradnja.

Naposljetku, držite model usluge zapisan uz konfiguraciju usmjeravanja lokacije. Sljedeći inženjer koji doda podmrežu trebao bi moći pročitati koji se prefiksi najavljuju, tko ih prihvaća i koji je očekivani povratni put: specifikacija BGP/MPLS IP VPN referenca je za model koji stoji za svime tim.