Předání L3VPN: privátní trasy, výchozí trasa, nebo plná tabulka?

Váš okruh běží, VRF je nakonfigurované a poskytovatel klade krátkou otázku, která rozhodne o zbytku návrhu: co má zákaznická hrana dostat? Tři odpovědi jsou běžné a žádná z nich nevyplývá z toho, že existuje zásobník značek. Jsou to rozhodnutí o službě: kudy provoz opouští pobočku.

Projít předání popořadě je nejlevnější způsob, jak to udělat správně. Začnete tím, co se děje s provozem, který ničemu neodpovídá, pak zapíšete privátní prefixy a jejich chování při selhání a teprve potom mluvíte o tom, jak velký tok jste ochotni nést.

Začněte provozem, který nikdo neplánoval

Položte jednu otázku dřív, než se objeví jakýkoli seznam prefixů: když paket neodpovídá žádné privátní trase, kam má jít? Pobočka s vlastním internetovým okruhem obvykle drží lokální výchozí trasu, takže běžný webový provoz odchází přes místní firewall a poskytovatele se nikdy nedotkne. V takovém návrhu nese VPN jen vzdálená privátní místa a výběr dělají konkrétnější prefixy.

Pobočka, která má používat centrální výstup, je opačný případ. Tam výchozí trasa ukazuje do služby a poskytovatel nebo centrální lokalita vlastní forwarding, zpětný routing i případný překlad. Říct "výchozí do VPN" bez takového vlastníka dá pobočku, která přeloží jména a nikam se nedostane.

Oba návrhy se liší tím, jak vypadá selhání routingu, a proto je hádání drahé. S lokální výchozí trasou pošle ztracená privátní trasa ten provoz na internet, kde ho firewall zahodí nebo, hůř, odpoví něco, co jste nezamýšleli. S centrální výchozí trasou stejná ztráta úplně odebere přístup k internetu a tiket přijde jako "celá pobočka je dole". Ani jedno selhání není samo o sobě špatné, ale jen jedno odpovídá službě, kterou jste prodali, a samotná konfigurace BGP vám neřekne, kterou jste postavili.

Zapište privátní prefixy spolu s případem selhání

Vyjmenujte prefixy, na které se pobočka musí dostat, a poznamenejte, které jsou agregované. Agregát o jeden bit širší přitáhne do VPN neznámé destinace, což je v pořádku jen tehdy, když je vzdálená strana skutečně vlastní a přeposílá.

Pak popište zamýšlené chování, když privátní služba selže. Podržená zahazovací trasa drží provoz mimo nepovolenou cestu a dává čistý, očekávaný výpadek. Plovoucí výchozí trasa může zachovat dostupnost přesunem na záložní cestu, ale jen pokud záložní cesta má oprávnění ten provoz nést.

Dostupnost a povolený návrat držte v dokumentu předání jako dva oddělené požadavky. Týmy, které je slijí, nakonec řeší, zda pobočka měla spadnout, místo aby ověřily, zda byla dohodnutá politika zavedena.

Ověřte, co CE skutečně nainstaloval

Záměr konfigurace a stav forwardingu se rozcházejí dost často na to, aby ověření patřilo do předání, ne do revize incidentu. Na zákaznické hraně IOS-XE tři příkazy níže odpovídají na tři různé otázky: co bylo nabídnuto, co bylo přijato a co se skutečně používá.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Spusťte všechny tři v den předání, ne o měsíc později, dokud si někdo ještě pamatuje, co se dohodlo. První výstup závisí na soft-reconfiguration inbound nebo na uloženém obnovení tras; bez jednoho z toho vám CE neukáže, co odmítl. Druhý ukazuje přijaté a nejlepší cesty po politice. Třetí vám řekne, kam výchozí trasa skutečně vede, a to je nejužitečnější řádek v celém předání.

Spusťte stejné kontroly na druhém CE, pokud má lokalita dvě připojení. Asymetrické přijímání mezi dvěma hranami je častou příčinou "funguje to z jednoho serveru a z druhého ne" a v konfiguračním rozdílu, který vypadá symetricky, není vidět.

Kvalifikujte větší tok, místo abyste ho předpokládali

Někdy zákazník opravdu potřebuje informace o internetových cestách uvnitř VRF, pro policy routing nebo pro centrální výstup, který směruje podle prefixu. To je požadavek, který je třeba vyslovit, vymezit a nacenit, ne skrytá výchozí trasa. Přichází s pamětí pro RIB a FIB, výkonem CPU pro aktualizace, údržbou filtrů a vlastníkem výsledné tabulky.

Argumenty o kapacitě se pletou oběma směry. Plná tabulka není uvnitř VRF zakázaná a také není zdarma. Stejně tak nelze dnešní náklady odvodit ze starého počtu tras a menší přidělení značek neodstraní náklady na ukládání tras.

Specifikace BGP/MPLS IP VPN probírá několik uspořádání přístupu k internetu vedle samotné služby VPN a neprohlašuje plnou tabulku ani výchozí trasu za povinnou pro každého zákazníka, a to je sekce, na kterou stojí za to ukázat, když se objeví tvrzení o "standardní praxi": RFC 4364.

Předání uzavřete tím, že vedle dohodnuté výstupní politiky zaznamenáte inzerovanou množinu, přijatou množinu a vybranou množinu a otestujete jednu privátní destinaci, jednu zamýšlenou veřejnou destinaci a jeden případ ztráty trasy. Podepsaný záznam těchto tří testů vyřeší víc sporů než jakékoli tvrzení o tom, co dělá většina sítí.