Pam na fydd BGP dros VPN yn rheoli llwybr eich haen isaf

Mae dau safle yn cymryd rhan mewn BGP ar draws twnnel IPsec, yn dysgu rhagddodiadau ei gilydd, ac mae’r diagram yn cael ei ailenwi’n rheolaeth llwybr. Y label hwnnw yw lle mae’r dryswch yn dechrau. Mae’r sesiwn yn cyfnewid cyrhaeddadwyedd ac yn cymhwyso polisi, ond nid oes ganddi lais dros ba ddarparwr, cebl neu lwybrydd sy’n cludo’r pecynnau wedi’u hamgryptio. Rwyf wedi gweld tîm yn ailadeiladu twnnel oedd yn gweithio oherwydd eu bod yn disgwyl i newid llwybr BGP symud traffig i lwybr ffibr arall na allai’r sesiwn byth ddylanwadu arno.

Beth mae pobl yn tybio y mae sesiwn yn ei brynu

Daw’r rhan fwyaf o’r disgwyliad o’r ffordd y mae newid llwybr yn edrych mewn labordy. Rydych chi’n hysbysebu rhagddodiad dros y twnnel, mae’r ochr bell yn ei osod, ac mae traffig yn symud. Mae’r un dilyniant yn digwydd ar lwybrydd sydd â chylchlythyr peirianneg traffig, felly mae’r ddau yn cael eu cymysgu. Mewn labordy mae’r ddau safle fel arfer yn rhannu un ddolen fynediad, a dyna’n union pam na fydd y gwahaniaeth byth yn ymddangos yno.

Protocol cyrhaeddadwyedd yw BGP. Mae’n dweud wrth gymar y gallwch chi ddosbarthu pecynnau ar gyfer rhagddodiad ac yn gadael i bob ochr raddio’r cynigion a ddaw i’w rhan. Mae hynny’n wirioneddol ddefnyddiol ar draws twnnel: mae rhagddodiadau’n ymddangos ac yn diflannu wrth i safleoedd ddod a mynd, a gallwch wrthod amrediad heb ysgrifennu llwybr statig ar bob dyfais ymyl. Yr hyn nad yw’n ei wneud yw rhoi llwybryddion darparwr o dan eich rheolaeth.

Mae’r haen isaf yn cario’r pennawd allanol. Mae eich pwynt terfyn twnnel yn anfon pecynnau wedi’u hamgryptio i gyfeiriad cymar, ac mae’r rhwydwaith rhwng y ddau gyfeiriad hynny’n eu hanfon ymlaen gan ddefnyddio pa bynnag lwybrau a osodwyd gan ei weithredwyr. Nid oes dim yn y sesiwn BGP yn newid y penderfyniad hwnnw, oni bai bod yr un darparwr yn datgelu gwasanaeth cefnogol sy’n gwneud hynny.

Beth mae’r sesiwn yn ei gario mewn gwirionedd

Mae’r siaradwr BGP yn agor cysylltiad TCP i borth 179 ar ei gymar, gan ddefnyddio fformatau negeseuon a nodweddion llwybr a ddiffinnir yn RFC 4271. Pan fo cyfeiriad y cymar y tu mewn i’r twnnel, rhaid i’r twnnel fod i fyny a rhaid i’r cyfeiriad hwnnw fod yn gyrhaeddadwy cyn y gall y sesiwn ddechrau o gwbl. Nid yw cyfnewidiad IKE wedi’i gwblhau yn gymydog BGP. Mae gweithrediadau IPsec sy’n seiliedig ar lwybrau ond yn pasio traffig unwaith y bydd llwybr twnnel cyfatebol yn bodoli, ac mae’r un sy’n seiliedig ar bolisi angen cyfeiriad y cymar y tu mewn i’r detholydd gwarchodedig. Mae gwneud hyn am yn ôl yn cynhyrchu’r cyflwr clasurol lle mae’r twnnel yn wyrdd ac mae’r sesiwn yn segur.

Unwaith y bydd y sesiwn i fyny, polisi sy’n penderfynu beth sy’n ei chroesi. Rhestr o ragddodiadau, hidlwyr AS-path, uchafswm rhagddodiadau a phenderfyniad penodol am lwybrau diofyn yw’r lleiafswm, ac maent yn berthnasol i’r ddau gyfeiriad. Gall cymar sy’n derbyn popeth a ddaw ato roi llwybr diofyn i chi sy’n disodli mynediad rhyngrwyd lleol yn dawel. Mae angen rhestrau ar wahân ar y ddau gyfeiriad, oherwydd bod yr hyn rydych chi’n ei dderbyn gan gymar a’r hyn rydych chi’n ei hysbysebu iddo yn benderfyniadau gwahanol.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Nesaf mae MTU yn cnoi. Mae’r amgáu yn crebachu’r llwyth defnyddiadwy, felly gall diweddariad mawr atal sesiwn sy’n edrych yn hollol sefydledig: mae’r cymar yn aros i fyny, nid yw rhagddodiadau byth yn cyrraedd, ac nid oes dim amlwg yn y cofnod. Cyfyngwch MSS TCP ar ryngwyneb y twnnel, neu osodwch MTU twnnel gyda lle ar gyfer y gorbenion, cyn beio’r hidlwyr.

I ble mae’r pecynnau allanol yn dal i fynd

Mae pecynnau wedi’u hamgryptio o un safle i’r llall yn gadael drwy beth bynnag y mae’r llwybrydd lleol yn ei ddewis ar gyfer cyfeiriad cyhoeddus y cymar. Os yw’r ddau safle yn prynu tramwy gan yr un darparwr, yn croesi’r un cyfleuster metro, neu os yw un ochr y tu ôl i NAT gradd cludwr, dim ond ar hap y bydd y twnnel yn goroesi methiant darparwr. Nid yw cyfrif eiconau twnnel mewn offeryn monitro yn dweud unrhyw beth wrthych am hynny.

Mae dewis llwybr a gosod anfon ymlaen hefyd yn ddigwyddiadau ar wahân. Gall rhagddodiad eistedd yn nhabl BGP fel y gorau ac eto fod ar goll o’r tabl anfon ymlaen, oherwydd bod y naid nesaf yn annatrysadwy neu fod llwybr mwy penodol yn ennill. Pan fydd rhywun yn adrodd bod BGP wedi dysgu’r rhagddodiad ond nad yw traffig yn llifo, y cwestiwn defnyddiol yw a yw wedi’i osod ac at ba naid nesaf y mae’n pwyntio.

Yr ateb onest ar gyfer adolygiad dylunio yw rhestr o ddibyniaethau a rennir: cylched fynediad, darparwr i fyny’r afon, cyfleuster, ac unrhyw ddyfais gyflwr ar y llwybr dychwelyd. Ni all sesiwn ar draws y twnnel gael gwared ar ddibyniaeth nad yw’n eistedd uwch ei phen.

Tri phenderfyniad sy’n werth eu gwahanu

Pan fydd dyluniad yn cymysgu’r rhain, mae pob sgwrs am doriad yn mynd mewn cylchoedd. Cadwch hwy ar wahân ar bapur yn gyntaf, yna mapiwch bob un i’r ddyfais sy’n ei orfodi mewn gwirionedd.

Mae gan bob rhes berchennog gwahanol. Mae’r gyntaf yn drafodaeth, mae’r ail yn ffurfweddiad ar eich dyfeisiau, mae’r drydedd yn bennaf yn rhwydwaith rhywun arall. Mae cais newid sy’n enwi’r rhes y mae’n cyffwrdd â hi yn llawer haws ei gymeradwyo na’r un sy’n dweud problem BGP.

Moddau methiant sy’n werth cynllunio ar eu cyfer

Derbyn llwybr cryno cymar yw’r clwyf mwyaf cyffredin a achosir gan yr unigolyn ei hun. Mae rhywun yn hysbysebu agregiad byr i symleiddio’r cyfnewidiad, mae’r ochr bell yn ei dderbyn, ac mae traffig ar gyfer amrediadau nad ydynt y tu ôl i’r twnnel yn dilyn y twnnel ac yn marw. Hidlwch ar y rhagddodiadau disgwyliedig yn union, neu defnyddiwch restr ragddodiadau gyda’r ffiniau cywir, a pheidiwch byth â derbyn agregiad noeth oherwydd ei fod yn gwneud i’r sesiwn edrych yn daclus.

Amser tynnu’n ôl yw’r ail. Mae canfod yn dibynnu ar amseryddion dal, BFD os ydych chi wedi’i alluogi, canfod cymar marw’r twnnel, a pha mor gyflym y mae’r ochr bell yn stopio hysbysebu. Mae sesiynau presennol yn broblem ar wahân: gall llwybr newydd adfer cysylltiadau newydd tra bod sesiynau TCP sefydledig yn dal i ddefnyddio cyfeiriadau hen ffasiwn, a gall muriau tân cyflwr neu NAT ar y llwybr ddal cofnodion nad ydynt yn cyfateb mwyach. Rhowch adferiad y cymhwysiad yn y meini prawf derbyn yn lle tybio bod newid llwybr yn setlo popeth.

Y trydydd yw anghymesuredd y llwybr dychwelyd. Gall traffig gyrraedd dros y twnnel a dychwelyd dros ddolen darparwr na fwriadwyd iddi ei gario, sy’n ymddangos fel sain un ffordd, ysgydwad llaw wedi methu, neu fur tân yn gollwng atebion. Gwiriwch y ddau gyfeiriad ar wahân.

Beth i’w ysgrifennu yn y contract, a sut i’w wirio

Gofynnwch am y rhagddodiadau a ganiateir yn ysgrifenedig: pwy sydd wedi’i awdurdodi i darddu pob amrediad, a ganiateir llwybr diofyn, a pha deuluoedd cyfeiriadau y mae’r gwasanaeth twnnel yn eu cefnogi. Gwnaeth RFC 8212 bolisi mewnforio ac allforio penodol yn ddisgwyliad ar gyfer eBGP mewn gweithrediadau sy’n ei ddilyn, felly mae cymar sy’n dal i ddibynnu ar ymddygiad derbyn-popeth ymhlyg yn werth ei gwestiynu.

Yna gwiriwch o’r ddyfais yn hytrach na’r diagram. Gorchmynion defnyddiol ar lwybryddion tebyg i FRR:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Ychwanegwch ddau arsylwi na all y tabl llwybro eu rhoi i chi. Cofnodwch ar y rhyngwyneb allanol i gadarnhau pa gyfeiriad y mae’r pecynnau amgaeedig yn ei dargedu mewn gwirionedd, er enghraifft tcpdump -ni eth0 udp port 51820 ar gyfer twnnel WireGuard, neu hidlydd ESP ar gyfer IPsec. Yna olrheiniwch tuag at gyfeiriad cyhoeddus y cymar a chymharwch y naidau â thras o fewn y twnnel; os yw’r ddau yn dilyn yr un gadwyn darparwr, mae eich ailgylchu yn byw ym mholisi llwybro yn hytrach nag yn y rhwydwaith.

Yn olaf, profwch dynnu’n ôl yn fwriadol. Tynnwch y twnnel i lawr yn ystod ffenestr gynnal a chadw, cofnodwch pa mor hir y mae’r rhagddodiad yn aros wedi’i osod, beth sy’n digwydd i sesiynau presennol, ac a yw’r ochr bell yn cwympo’n ôl i lwybr y byddech chi’n ei dderbyn mewn gwirionedd. Mae’r ymarferiad hwnnw’n dweud mwy am y dyluniad nag unrhyw ddiagram.

Nid yw llwybr yn awdurdodiad. Nid yw’r rhagddodiadau rydych chi’n cytuno i’w cyfnewid yn dweud unrhyw beth am ba ddefnyddwyr all gyrraedd pa wasanaeth y tu ôl i’r twnnel, felly cadwch dilysiad, gwasanaethau a ganiateir a muriau tân gwesteiwr yn union lle’r oeddent. Nid yw cymar cyrhaeddadwy ychwaith yn ganiatâd ar gyfer tramwy diderfyn nac ar gyfer tarddu cyfeiriadau mympwyol, ac mae’r math hwnnw o awdurdod yn perthyn i’r contract fel cwestiwn masnachol, nid i linell polisi BGP.

• Enwch y rhagddodiadau y caiff pob ochr eu tarddu, a’r rhai na chaiff fyth eu derbyn.
• Cyfyngwch MSS ar y twnnel a chadarnhewch fod diweddariadau mawr yn cyrraedd mewn gwirionedd.
• Rhestrwch y dibyniaethau haen isaf a rennir, nid nifer y twneli.
• Amserwch dynnu’n ôl go iawn a nodwch beth mae’r cymhwysiad yn ei wneud.