BGP i MPLS en una VPN: quina part transporta el paquet

Preguntar si una VPN funciona amb BGP o amb MPLS barreja dues capes en una sola decisió. BGP distribueix l'abastabilitat i la política. MPLS reenvia paquets mitjançant l'estat d'etiquetes instal·lat. En una VPN BGP/MPLS les dues capes cooperen, i treure'n qualsevol deixa el servei completament inservible. Les comprovacions següents fan passar el mateix prefix per totes dues capes, perquè vegeu exactament on s'ha aturat el vostre.

Comprovació 1: el prefix és a la VRF correcta

Comenceu a la vora d'entrada del proveïdor i pregunteu a quina VRF pertany el prefix del client. El solapament d'adreces de clients és normal en aquest disseny, així que la VRF és el context que manté separats dos clients que fan servir tots dos 10.0.0.0/8.

Si el prefix no hi és, res posterior pot ser correcte i la resta de comprovacions són esforç perdut.

Comprovació 2: s'ha distribuït i importat la ruta de VPN

El proveïdor distribueix les rutes dels clients amb MP-BGP. Cada ruta porta un distingidor de ruta, que fa únics prefixos que d'altra manera serien idèntics, i objectius de ruta, que decideixen quines VRF importen la ruta. Una ruta que arriba però no s'importa deixa la VRF receptora buida per a aquest prefix. Reviseu la política d'importació abans de culpar l'extrem remot.

La selecció de ruta també importa: un camí preferit per una altra vora del proveïdor substitueix el que esperàveu veure.

Comprovació 3: què fa la vora d'entrada amb el paquet

Quan arriba un paquet, la vora d'entrada fa una consulta IP dins la VRF i després adjunta etiquetes per al camí triat. La pila té dos papers lògics encara que una captura mostri un nombre diferent d'etiquetes.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

L'especificació de VPN BGP/MPLS descriu aquesta disposició. L'extracció de l'etiqueta al penúltim salt pot eliminar l'etiqueta de transport abans de l'últim salt, així que una captura de dues etiquetes feta al mig de la xarxa no és prova d'una avaria.

Comprovació 4: la xarxa subjacent reenvia aquestes etiquetes

Els encaminadors de trànsit commuten segons les seves entrades d'etiquetes instal·lades. No llegeixen les actualitzacions de BGP per decidir què passa amb el vostre paquet individual. Per això una ruta de client pot existir mentre el reenviament encara falla: el salt següent resolt o l'etiqueta de transport es poden trencar de manera independent. Aprendre un prefix de VPN no repara la xarxa subjacent que hi ha a sota.

Comproveu la vinculació d'etiquetes cap a la vora de sortida, no només la presència de la ruta.

Comprovació 5: l'acció de sortida i el camí de tornada

A la sortida, l'etiqueta de servei identifica l'acció de reenviament, el paquet es desencapsula i avança cap a la destinació del client. Des d'allà també ha de funcionar el camí de tornada, inclosa la política d'accés del costat del client en aquesta interfície.

Un èxit en un sol sentit sol ser una ruta de tornada o un filtre, no la pila d'etiquetes.

Llegiu el vostre símptoma en una d'aquestes comprovacions

Una ruta absent de la VRF receptora significa anunci, política d'importació o selecció de ruta. Una ruta present amb paquets que fallen significa el salt següent resolt, el reenviament d'etiquetes o el camí de tornada del costat del client. Els paquets que arriben a la destinació equivocada solen significar que esteu inspeccionant la VRF equivocada. Cap d'aquestes coses no és motiu per canviar el protocol d'encaminament.

Una cosa més que val la pena dir clarament: aquest disseny separa els clients i reenvia el seu trànsit de manera eficient. No xifra, i tractar-lo com un servei de confidencialitat és un error a part.