BGP og MPLS i en VPN: hvilken del bærer pakken

Spørgsmålet om en VPN kører på BGP eller MPLS blander to lag i én beslutning. BGP fordeler tilgængelighed og politik. MPLS videresender pakker ved hjælp af den installerede labeltilstand. I en BGP/MPLS-VPN samarbejder de to, og fjerner man en af dem, er der ingen tjeneste tilbage overhovedet. Kontrollerne nedenfor sender det samme præfiks gennem begge lag, så du kan se præcis, hvor dit stoppede.

Kontrol 1: er præfikset i den rigtige VRF

Start ved indgangskanten hos udbyderen, og spørg hvilken VRF kundepræfikset hører til. Overlappende kundeadresser er normalt i dette design, så VRF'en er den kontekst, der holder to kunder, der begge bruger 10.0.0.0/8, adskilt.

Hvis præfikset mangler der, kan intet senere være korrekt, og de resterende kontroller er spildt arbejde.

Kontrol 2: blev VPN-ruten fordelt og importeret

Udbyderen fordeler kunderuter med MP-BGP. Hver rute bærer en routediskriminator, som gør ellers identiske præfikser unikke, og rutemål, som afgør, hvilke VRF'er der importerer ruten. En rute, der ankommer, men ikke importeres, efterlader den modtagende VRF tom for det præfiks. Kontroller importpolitikken, før du bebrejder den fjerne ende.

Rutevalg betyder også noget: en foretrukken vej gennem en anden udbyderkant erstatter den, du forventede at se.

Kontrol 3: hvad indgangskanten gør med pakken

Når en pakke ankommer, laver indgangskanten et IP-opslag i VRF'en og vedhæfter derefter labels til den valgte vej. Stakken har to logiske roller, selv når en optagelse viser et andet antal labels.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specifikationen for BGP/MPLS-VPN beskriver den ordning. Popning af labelen på næstsidste hop kan fjerne transportlabelen før det sidste hop, så en optagelse med to labels taget midt i netværket er ikke bevis på en fejl.

Kontrol 4: videresender underliggende netværk disse labels

Transitroutere skifter ud fra deres installerede labelposter. De læser ikke BGP-opdateringer for at afgøre, hvad der sker med din enkelte pakke. Derfor kan en kunderute være til stede, mens videresendelsen stadig fejler: det opløste næste hop eller transportlabelen kan bryde sammen uafhængigt. At lære et VPN-præfiks reparerer ikke det underliggende netværk nedenunder.

Kontroller labelbindingen mod udgangskanten, ikke blot routens tilstedeværelse.

Kontrol 5: handlingen ved udgangen og returvejen

Ved udgangen identificerer servicelabelen videresendelseshandlingen, pakken afkapsles, og den fortsætter mod kundens destination. Derfra skal returvejen også virke, inklusive adgangspolitikken på kundesiden på den grænseflade.

Envejs succes er normalt en returrute eller et filter, ikke labelstakken.

Læs dit symptom ind i en af disse kontroller

En rute, der mangler i den modtagende VRF, betyder annoncering, importpolitik eller rutevalg. En rute, der er til stede, mens pakker fejler, betyder det opløste næste hop, labelvideresendelsen eller returvejen på kundesiden. Pakker, der ankommer til den forkerte destination, betyder normalt, at du undersøger den forkerte VRF. Intet af dette er grund til at ændre routingprotokollen.

En ting mere er værd at sige rent ud: dette design adskiller kunder og videresender deres trafik effektivt. Det krypterer ikke, og at behandle det som en fortrolighedstjeneste er en separat fejl.