BGP και MPLS σε ένα VPN: ποιο μέρος μεταφέρει το πακέτο

Το ερώτημα αν ένα VPN λειτουργεί πάνω σε BGP ή MPLS αναμειγνύει δύο επίπεδα σε μία απόφαση. Το BGP διανέμει τη δυνατότητα προσπέλασης και την πολιτική. Το MPLS προωθεί πακέτα χρησιμοποιώντας την εγκατεστημένη κατάσταση ετικετών. Σε ένα VPN BGP/MPLS τα δύο συνεργάζονται, και η αφαίρεση οποιουδήποτε από τα δύο δεν αφήνει καμία υπηρεσία. Οι έλεγχοι παρακάτω περνούν το ίδιο πρόθεμα και από τα δύο επίπεδα, ώστε να δείτε ακριβώς πού σταμάτησε το δικό σας.

Έλεγχος 1: είναι το πρόθεμα στο σωστό VRF

Ξεκινήστε από την εισερχόμενη άκρη του παρόχου και ρωτήστε σε ποιο VRF ανήκει το πρόθεμα του πελάτη. Η επικάλυψη διευθύνσεων πελατών είναι φυσιολογική σε αυτόν τον σχεδιασμό, επομένως το VRF είναι το πλαίσιο που κρατά χωριστά δύο πελάτες που χρησιμοποιούν και οι δύο το 10.0.0.0/8.

Αν το πρόθεμα λείπει εκεί, τίποτα παρακάτω δεν μπορεί να είναι σωστό, και οι υπόλοιποι έλεγχοι είναι χαμένος κόπος.

Έλεγχος 2: διανεμήθηκε και εισήχθη η διαδρομή VPN

Ο πάροχος διανέμει τις διαδρομές πελατών με MP-BGP. Κάθε διαδρομή φέρει έναν διαχωριστή διαδρομής, που κάνει μοναδικά προθέματα που κατά τα άλλα είναι ίδια, και στόχους διαδρομής, που καθορίζουν ποια VRF εισάγουν τη διαδρομή. Μια διαδρομή που φτάνει αλλά δεν εισάγεται αφήνει το VRF υποδοχής κενό για αυτό το πρόθεμα. Ελέγξτε την πολιτική εισαγωγής πριν κατηγορήσετε το απομακρυσμένο άκρο.

Η επιλογή διαδρομής έχει επίσης σημασία: μια προτιμώμενη διαδρομή μέσω άλλης άκρης παρόχου αντικαθιστά αυτή που περιμένατε να δείτε.

Έλεγχος 3: τι κάνει η εισερχόμενη άκρη με το πακέτο

Όταν φτάνει ένα πακέτο, η εισερχόμενη άκρη εκτελεί αναζήτηση IP μέσα στο VRF και στη συνέχεια επισυνάπτει ετικέτες για την επιλεγμένη διαδρομή. Η στοίβα έχει δύο λογικούς ρόλους ακόμη και όταν μια καταγραφή δείχνει διαφορετικό αριθμό ετικετών.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Η προδιαγραφή VPN BGP/MPLS περιγράφει αυτή τη διάταξη. Η αφαίρεση της ετικέτας στο προτελευταίο άλμα μπορεί να αφαιρέσει την ετικέτα μεταφοράς πριν από το τελευταίο άλμα, επομένως μια καταγραφή δύο ετικετών στη μέση του δικτύου δεν είναι απόδειξη βλάβης.

Έλεγχος 4: προωθεί το υποκείμενο δίκτυο αυτές τις ετικέτες

Οι δρομολογητές διέλευσης μεταγωγούν με βάση τις εγκατεστημένες καταχωρίσεις ετικετών. Δεν διαβάζουν ενημερώσεις BGP για να αποφασίσουν τι συμβαίνει στο δικό σας μεμονωμένο πακέτο. Γι' αυτό μια διαδρομή πελάτη μπορεί να υπάρχει ενώ η προώθηση ακόμη αποτυγχάνει: το επιλυμένο επόμενο άλμα ή η ετικέτα μεταφοράς μπορούν να σπάσουν ανεξάρτητα. Η εκμάθηση ενός προθέματος VPN δεν επισκευάζει το υποκείμενο δίκτυο από κάτω.

Ελέγξτε τη δέσμευση ετικέτας προς την εξερχόμενη άκρη, όχι μόνο την ύπαρξη της διαδρομής.

Έλεγχος 5: η ενέργεια εξόδου και η διαδρομή επιστροφής

Στην έξοδο η ετικέτα υπηρεσίας προσδιορίζει την ενέργεια προώθησης, το πακέτο αποκαψυκλώνεται και προχωρά προς τον προορισμό του πελάτη. Από εκεί πρέπει να λειτουργεί και η διαδρομή επιστροφής, συμπεριλαμβανομένης της πολιτικής πρόσβασης στην πλευρά του πελάτη σε αυτή τη διεπαφή.

Η επιτυχία προς μία κατεύθυνση είναι συνήθως διαδρομή επιστροφής ή φίλτρο, όχι η στοίβα ετικετών.

Διαβάστε το σύμπτωμά σας μέσα σε έναν από αυτούς τους ελέγχους

Μια διαδρομή που λείπει από το VRF υποδοχής σημαίνει αναγγελία, πολιτική εισαγωγής ή επιλογή διαδρομής. Μια διαδρομή που υπάρχει ενώ τα πακέτα αποτυγχάνουν σημαίνει το επιλυμένο επόμενο άλμα, την προώθηση ετικετών ή τη διαδρομή επιστροφής στην πλευρά του πελάτη. Πακέτα που φτάνουν σε λάθος προορισμό συνήθως σημαίνουν ότι εξετάζετε λάθος VRF. Κανένα από αυτά δεν είναι λόγος να αλλάξετε το πρωτόκολλο δρομολόγησης.

Κάτι ακόμη αξίζει να ειπωθεί ευθέως: αυτός ο σχεδιασμός διαχωρίζει τους πελάτες και προωθεί την κίνησή τους αποδοτικά. Δεν κρυπτογραφεί, και το να το αντιμετωπίζετε ως υπηρεσία εμπιστευτικότητας είναι ξεχωριστό λάθος.