Mae angen BGP ar VPN cwmwl: pam mae protocolau llwybro eraill yn methu

Mae'r cymdeithasiad diogelwch IPsec i fyny, mae rhifyddion y twnnel yn symud, ac mae traffig i ragddodiad y cwmwl yn diflannu. Yna mae'r gweithredwr yn ceisio galluogi OSPF ar lwybrydd y cwsmer, gan ddisgwyl i'r cymydog ffurfio, ac nid oes dim yn digwydd. Nid y twnnel oedd y darn coll erioed: mae VPN cwmwl a reolir yn datgelu contract llwybro diffiniedig, ac ar y platfformau mawr y contract hwnnw yw BGP. Hyd nes bod sesiwn yn bodoli a rhagddodiad yn cael ei dderbyn, dim ond llwybr amgryptiedig heb gyrchfannau y tu ôl iddo yw'r twnnel.

Mae'r twnnel i fyny a'r llwybr ar goll

Mae cwblhau cam 1 a cham 2 yn profi bod y ddwy ochr yn cytuno ar amddiffyniad, nid bod y naill na'r llall yn gwybod ble i anfon traffig. Peiriannau cyflwr ar wahân ydynt â moddau methiant ar wahân.

Gofynnwch dri chwestiwn yn eu trefn: a gyhoeddwyd y rhagddodiad, a gafodd ei dderbyn gan y cymydog, ac a gafodd ei osod ar gyfer anfon ymlaen? Mae rhagddodiad a gyhoeddwyd ac a hidlwyd yn broblem polisi. Mae rhagddodiad na chyhoeddwyd erioed yn broblem sesiwn neu gyfluniad. Mae rhagddodiad a dderbyniwyd ond na osodwyd yn broblem dewis llwybr, ac mae pob ateb yn cyfeirio at ran wahanol o'r cyfluniad.

Yr hyn y mae'r darparwr yn ei roi i chi mewn gwirionedd

Nid yw porth VPN a reolir yn llwybrydd heb gyfyngiad. Mae'r darparwr yn rhoi porth i chi gyda chyfeiriadau cymydog a gefnogir, gosodiad system ymreolaethol, terfynau rhagddodiad, ac ymddygiad methiant diffiniedig. Yr wyneb hwnnw yw'r cynnyrch.

Mae Google Cloud yn dogfennu llwybro BGP deinamig ar gyfer HA VPN, gyda Cloud Router yn dysgu llwybrau cymydog ac yn cyflenwi llwybrau deinamig addasiedig cymwys i'r VPC. Mae AWS Site-to-Site VPN yn dogfennu dewis rhwng llwybro statig a deinamig, ac yn disgrifio gwiriadau bywiogrwydd BGP fel rhai defnyddiol ar gyfer methu drosodd twnnel tra hefyd yn cefnogi gwiriadau iechyd ar gyfer dyfeisiau heb BGP. Ni ddylid casglu ymddygiad un platfform o enw cynnyrch y llall.

Y canlyniad ymarferol yw eich bod yn dewis y modd a reolir yn gyntaf, ac yna'n darllen y botymau a gefnogir. Nid yw cynllun sy'n tybio math o gyfnesedd nad yw'r gwasanaeth yn ei gynnig yn broblem cyfluniad i'w datrys ar lwybrydd y cwsmer.

Mae amddiffyniad twnnel a chyrhaeddedd yn dasgau ar wahân

Mae IPsec yn amddiffyn y traffig a ddewiswyd ar gyfer y twnnel. Mae BGP yn cyflenwi'r wybodaeth gyrhaeddedd sy'n gwneud rhagddodiad yn gymwys. Nid yw twnnel sy'n gweithio yn profi bod y rhagddodiad disgwyliedig wedi'i gyhoeddi, ei dderbyn na'i osod.

Dychmygwch gangen sy'n cyhoeddi 10.42.0.0/16 drwy ddau lwybr twnnel cymwys. Tynnwch un llwybr defnyddiadwy ac fe all y dewis llwybr newid heb i neb olygu llwybr pob llwyth gwaith. Nid yw canfod, dewis llwybr ac adferiad cymhwysiad yn syth, ac nid ydynt yn union yr un fath ar draws defnyddiadau, felly rhaid i'r prawf methu drosodd arsylwi'r dilyniant cyfan yn hytrach na'r pecyn cyntaf sy'n mynd drwodd.

Pan na ellir cyrraedd rhagddodiad cwmwl, gwiriwch gyflwr y sesiwn a'r llwybrau a ddysgwyd cyn cyffwrdd â chryptograffeg. SA sydd i fyny heb lwybr y tu ôl iddi yw'r ffurf fwyaf cyffredin o'r symptom hwn.

Lle mae rhagdybiaethau OSPF yn torri

Mae OSPF, IS-IS neu brotocol arall y tu mewn i dwnnel IPsec yn hollol bosibl ar offeryn hunan-reoledig, lle mae gennych y ddau ben a'r cynllun anfon ymlaen. Nid yw'r ffaith honno'n dweud dim am wasanaeth a reolir nad yw'n cynnig ond BGP fel ei fodd llwybro deinamig.

Os yw cynllun arfaethedig angen cyfnesedd nad yw'r gwasanaeth yn ei gefnogi, newidiwch y bensaernïaeth yn fwriadol. Mae opsiynau'n cynnwys offeryn hunan-reoledig yn y VPC, llwybro statig lle mae'r gwasanaeth yn ei gefnogi, neu gynnyrch cysylltedd gwahanol. Ni all cyflunio'r protocol ar lwybrydd y cwsmer yn unig ychwanegu cymydog ar ochr y cwmwl nad yw'n bodoli, ac ni fydd yn gwneud i'r rhagddodiad ymddangos.

Peidiwch â chludo ateb un gwerthwr i borth gwerthwr arall. Gall yr un geiriau, fel llwybro deinamig neu fethu drosodd twnnel, ddisgrifio mecanweithiau gwahanol a therfynau gwahanol.

Darllenwch ofyniad y gwasanaeth, yna dyluniwch

Cyn y llinell gyfluniad gyntaf, nodwch gyfeiriadau'r cymdogion, rhifau'r system ymreolaethol, y rhagddodiadau y byddwch yn eu cyhoeddi ac yn eu derbyn, terfynau llwybrau, a'r ymddygiad disgwyliedig pan fydd twnnel yn methu. Y pum eitem hynny yw'r contract rydych yn dylunio yn ei erbyn.

Yna gwiriwch yn yr un drefn: sesiwn wedi'i sefydlu, rhagddodiad wedi'i dderbyn, llwybr yn bresennol yn nhabl llwybrau'r VPC, a fflŵ go iawn i gyfeiriad gwasanaeth. Ailadroddwch ar ôl methu drosodd dan orfod, oherwydd gall sesiwn sy'n ailsefydlu ddychwelyd â set llwybrau wahanol. Os yw'r cynllun yn dibynnu ar gydgyfeiriant o dan eiliad, mesurwch ef yn hytrach na'i dybio.

Cadwch y contract gwasanaeth gyda'r cofnod newid. Pan fydd rhywun yn gofyn yn ddiweddarach pam na all y twnnel redeg OSPF, ffin cynnyrch yw'r ateb, nid cyfyngiad protocol, a dylai'r cofnod ddweud hynny.