VPNv4 mezi AS: co vyžaduje smlouva o předávání štítků

Čtení štítku VPNv4 na hraničním routeru AS vám mnoho neřekne, dokud nevíte, který model mezi AS předávání uplatňuje. Štítek není vlastností trasy samotné; zaznamenává dohodu o zapouzdření a doručení mezi dvěma routery. Určete model dřív, než přečtete displej. Jinak ladíte smlouvu, kterou nikdo nesepsal.

Který model hranice uplatňuje

Uspořádání VRF-to-VRF spojuje odpovídající VRF přes směrované přípojky. Každá strana vidí druhou jako souseda na zákaznické hraně a vyměňují si běžné trasy IPv4, takže nic na této hranici MPLS nepotřebuje.

Druhé uspořádání vyměňuje označené trasy VPNv4 mezi samotnými hraničními routery. To funguje jen se soudržnou cestou s přepínáním štítků přes propojení a s distribucí cílů trasy a modelem důvěry, které obě strany přijmou. Chybí-li kterákoli část, model se nepoužívá, ať konfigurace naznačuje cokoli.

Třetí distribuuje označenou dostupnost PE, zatímco trasy VPN putují mezi koncovými body nebo reflektory tras přes AS. Každé ze tří zanechává na hranici jinou práci a míchání řídicí roviny jednoho s předpoklady rozhraní druhého je klasická závada. Tento nesoulad se obvykle projeví jako štítek, který na jedné straně vypadá správně a na druhé zmizí.

Přečtěte jeden prefix od začátku do konce

Vezměte jediný povolený zákaznický prefix a projděte ho. Podívejte se, co bylo inzerováno, co dorazilo, na další hop, štítek a importní politiku, která ho přijala. Pak se podívejte na to, jak router řeší předávání k tomuto dalšímu hopu, protože právě tam se štítek mění v paket. Vynecháte-li kteroukoli polovinu, popisujete řídicí rovinu, která nemusí přenášet provoz. Obě čtení mají smysl jen společně.

Číslo je lokální. Znamená něco ve vztahu k routeru, který ho přidělil, a k cestě, která tam pakety nese, a proto se stejná hodnota může objevit dvakrát a znamenat dvě různé věci. Porovnejte ho s tím, co přijímající strana říká, že přijala.

Štítek je lokální, a slib také

Schopnost se kontroluje na obou koncích propojení, ne na jednom. Příkaz na vašem rozhraní neudělá nic s rozhraním sousedního poskytovatele a trasa, kterou BGP přijal, sama o sobě nezavazuje souseda předávat označený paket.

RFC 4364 omezuje označený peering VPNv4 na důvěryhodná uspořádání a varuje před přijímáním štítků, které tomuto peerovi nikdy nebyly inzerovány. To je bezpečnostní tvrzení stejně jako protokolové. Držte vztah veřejného internetového směrování dál od soukromé výměny tras VPN. Je-li propojení obyčejné IP, nečekejte, že přes něj nějaký štítek projde. A kde je spoj označený, potvrďte, že se vnější transportní štítek na každém hopu správně zamění.

Štítek, který na jedné straně vypadá správně a na druhé zmizí, je obvykle tento nesoulad, ne chyba směrování.

Co si zapsat při přejímce

Přejímka je test paketů, ne revize tabulky. Sledujte zákaznický paket do vzdálené VRF a sledujte jeho odpověď zpět, pak zapište, který model předávání uplatňuje. Přidejte vlastníky předávání na obou stranách a zda hranice nese obyčejné IP, nebo označený provoz.

Právě tato poznámka umožňuje dalšímu operátorovi správně přečíst stejný displej štítků. Bez ní se model odvozuje z konfigurace a odvozené předpoklady jsou způsob, jak se stejná chyba opakuje. Sekce RFC 4364 o mezidoménovém AS je místo, kde je třeba rozhodnout, který model byl zamýšlen.