BGP und MPLS in einem VPN: Welcher Teil trägt das Paket

BGP verteilt die Route, und MPLS leitet das Paket weiter. Führen Sie diese fünf Prüfungen der Reihe nach durch, um zu sehen, auf welcher Schicht Ihr VPN-Präfix oder Paket stehen geblieben ist.

Die Frage, ob ein VPN auf BGP oder MPLS läuft, vermischt zwei Schichten in einer Entscheidung. BGP verteilt Erreichbarkeit und Richtlinie. MPLS leitet Pakete anhand des installierten Label-Zustands weiter. In einem BGP/MPLS-VPN arbeiten beide zusammen, und entfernt man eine der beiden, bleibt überhaupt kein Dienst übrig. Die folgenden Prüfungen führen dasselbe Präfix durch beide Schichten, damit Sie genau sehen, wo Ihres stehen geblieben ist.

Prüfung 1: Ist das Präfix in der richtigen VRF

Beginnen Sie an der Eingangskante des Anbieters und fragen Sie, zu welcher VRF das Kundenpräfix gehört. Überlappende Kundenadressen sind in diesem Entwurf normal, daher ist die VRF der Kontext, der zwei Kunden, die beide 10.0.0.0/8 nutzen, auseinanderhält.

Fehlt das Präfix dort, kann nichts Weiteres korrekt sein, und die übrigen Prüfungen sind verschwendete Mühe.

Prüfung 2: Wurde die VPN-Route verteilt und importiert

Der Anbieter verteilt Kundenrouten mit MP-BGP. Jede Route trägt einen Route Distinguisher, der ansonsten identische Präfixe eindeutig macht, und Route Targets, die festlegen, welche VRFs die Route importieren. Eine Route, die ankommt, aber nicht importiert wird, lässt die empfangende VRF für dieses Präfix leer. Prüfen Sie die Importrichtlinie, bevor Sie das entfernte Ende beschuldigen.

Auch die Routenauswahl zählt: ein bevorzugter Pfad über eine andere Anbieterkante ersetzt den, den Sie erwartet haben.

Prüfung 3: Was die Eingangskante mit dem Paket macht

Wenn ein Paket ankommt, führt die Eingangskante eine IP-Suche in der VRF durch und hängt dann Labels für den gewählten Pfad an. Der Stapel hat zwei logische Rollen, auch wenn eine Aufzeichnung eine andere Anzahl von Labels zeigt.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Die Spezifikation für BGP/MPLS-VPNs beschreibt diese Anordnung. Das Poppen des Labels am vorletzten Hop kann das Transportlabel vor dem letzten Hop entfernen, daher ist eine Aufzeichnung mit zwei Labels aus der Netzmitte kein Beweis für einen Fehler.

Prüfung 4: Leitet das Underlay diese Labels weiter

Transitrouter schalten anhand ihrer installierten Label-Einträge. Sie lesen keine BGP-Updates, um zu entscheiden, was mit Ihrem einzelnen Paket geschieht. Deshalb kann eine Kundenroute vorhanden sein, während die Weiterleitung weiterhin fehlschlägt: der aufgelöste Next Hop oder das Transportlabel kann unabhängig brechen. Ein VPN-Präfix zu lernen repariert nicht das Underlay darunter.

Prüfen Sie die Labelbindung zur Ausgangskante, nicht bloß das Vorhandensein der Route.

Prüfung 5: Die Aktion am Ausgang und der Rückweg

Am Ausgang benennt das Service-Label die Weiterleitungsaktion, das Paket wird entkapselt und läuft zum Kundenziel weiter. Von dort muss auch der Rückweg funktionieren, einschließlich der Zugriffsrichtlinie auf Kundenseite an dieser Schnittstelle.

Ein Erfolg in eine Richtung ist meist eine Rückroute oder ein Filter, nicht der Labelstapel.

Lesen Sie Ihr Symptom in eine dieser Prüfungen ein

Eine in der empfangenden VRF fehlende Route bedeutet Ankündigung, Importrichtlinie oder Routenauswahl. Eine vorhandene Route bei scheiternden Paketen bedeutet den aufgelösten Next Hop, die Labelweiterleitung oder den Rückweg auf Kundenseite. Pakete, die am falschen Ziel ankommen, bedeuten meist, dass Sie die falsche VRF untersuchen. Nichts davon ist ein Grund, das Routingprotokoll zu ändern.

Eines noch, offen gesagt: Dieser Entwurf trennt Kunden und leitet ihren Verkehr effizient weiter. Er verschlüsselt nicht, und ihn als Vertraulichkeitsdienst zu behandeln ist ein separater Fehler.

Ähnliche Artikel