Το Cloud VPN χρειάζεται BGP: γιατί αποτυγχάνουν τα άλλα πρωτόκολλα δρομολόγησης

Ο συσχετισμός ασφαλείας IPsec είναι ενεργός, οι μετρητές της σήραγγας κινούνται και η κίνηση προς το πρόθεμα του cloud εξαφανίζεται. Ο διαχειριστής τότε προσπαθεί να ενεργοποιήσει το OSPF στον δρομολογητή του πελάτη, περιμένοντας να σχηματιστεί ο γείτονας, και δεν συμβαίνει τίποτα. Η σήραγγα δεν ήταν ποτέ το κομμάτι που έλειπε: ένα διαχειριζόμενο cloud VPN εκθέτει ένα καθορισμένο συμβόλαιο δρομολόγησης, και στις μεγάλες πλατφόρμες αυτό το συμβόλαιο είναι το BGP. Μέχρι να υπάρξει συνεδρία και να γίνει δεκτό ένα πρόθεμα, η σήραγγα είναι απλώς μια κρυπτογραφημένη διαδρομή χωρίς προορισμούς πίσω της.

Η σήραγγα είναι ενεργή και η διαδρομή λείπει

Η ολοκλήρωση της φάσης 1 και της φάσης 2 αποδεικνύει ότι οι δύο πλευρές συμφωνούν για την προστασία, όχι ότι κάποια πλευρά ξέρει πού να στείλει την κίνηση. Πρόκειται για ξεχωριστές μηχανές καταστάσεων με ξεχωριστούς τρόπους αποτυχίας.

Κάντε τρεις ερωτήσεις με σειρά: ανακοινώθηκε το πρόθεμα, έγινε δεκτό από τον γείτονα και εγκαταστάθηκε για προώθηση; Ένα πρόθεμα που ανακοινώθηκε και φιλτραρίστηκε είναι πρόβλημα πολιτικής. Ένα πρόθεμα που δεν ανακοινώθηκε ποτέ είναι πρόβλημα συνεδρίας ή διαμόρφωσης. Ένα πρόθεμα που έγινε δεκτό αλλά δεν εγκαταστάθηκε είναι πρόβλημα επιλογής διαδρομής, και κάθε απάντηση δείχνει σε διαφορετικό μέρος της διαμόρφωσης.

Τι σας δίνει στην πραγματικότητα ο πάροχος

Μια διαχειριζόμενη πύλη VPN δεν είναι δρομολογητής χωρίς περιορισμούς. Ο πάροχος σάς δίνει μια πύλη με υποστηριζόμενες διευθύνσεις ομοτίμων, ρύθμιση αυτόνομου συστήματος, όρια προθεμάτων και καθορισμένη συμπεριφορά αποτυχίας. Αυτή η επιφάνεια είναι το προϊόν.

Το Google Cloud τεκμηριώνει δυναμική δρομολόγηση BGP για το HA VPN, με το Cloud Router να μαθαίνει διαδρομές ομοτίμων και να παρέχει κατάλληλες προσαρμοσμένες δυναμικές διαδρομές στο VPC. Το AWS Site-to-Site VPN τεκμηριώνει επιλογή μεταξύ στατικής και δυναμικής δρομολόγησης και περιγράφει τους ελέγχους ζωτικότητας BGP ως χρήσιμους για εναλλαγή σήραγγας, ενώ υποστηρίζει και ελέγχους υγείας για συσκευές χωρίς BGP. Η συμπεριφορά της μίας πλατφόρμας δεν πρέπει να συνάγεται από το όνομα προϊόντος της άλλης.

Η πρακτική συνέπεια είναι ότι επιλέγετε πρώτα τη διαχειριζόμενη λειτουργία και μετά διαβάζετε τις υποστηριζόμενες παραμέτρους. Ένας σχεδιασμός που υποθέτει τύπο γειτονίας που η υπηρεσία δεν προσφέρει δεν είναι πρόβλημα διαμόρφωσης προς επίλυση στον δρομολογητή του πελάτη.

Η προστασία της σήραγγας και η προσβασιμότητα είναι ξεχωριστές εργασίες

Το IPsec προστατεύει την κίνηση που επιλέγεται για τη σήραγγα. Το BGP παρέχει τις πληροφορίες προσβασιμότητας που καθιστούν ένα πρόθεμα κατάλληλο. Μια λειτουργική σήραγγα δεν αποδεικνύει ότι το αναμενόμενο πρόθεμα ανακοινώθηκε, έγινε δεκτό ή εγκαταστάθηκε.

Φανταστείτε ένα υποκατάστημα που ανακοινώνει το 10.42.0.0/16 μέσω δύο κατάλληλων διαδρομών σήραγγας. Αφαιρέστε μία χρησιμοποιήσιμη διαδρομή και η επιλογή διαδρομής μπορεί να αλλάξει χωρίς να επεξεργαστεί κανείς τη διαδρομή κάθε φόρτου εργασίας. Η ανίχνευση, η επιλογή διαδρομής και η ανάκαμψη της εφαρμογής δεν είναι στιγμιαίες και δεν είναι ίδιες μεταξύ αναπτύξεων, οπότε η δοκιμή εναλλαγής πρέπει να παρατηρεί ολόκληρη την αλληλουχία και όχι το πρώτο πακέτο που περνά.

Όταν ένα πρόθεμα cloud δεν είναι προσβάσιμο, ελέγξτε την κατάσταση της συνεδρίας και τις μαθημένες διαδρομές πριν αγγίξετε την κρυπτογραφία. Ένα SA που είναι ενεργό χωρίς διαδρομή πίσω του είναι η πιο συνηθισμένη μορφή αυτού του συμπτώματος.

Πού καταρρέουν οι υποθέσεις για το OSPF

Το OSPF, το IS-IS ή άλλο πρωτόκολλο μέσα σε σήραγγα IPsec είναι απολύτως εφικτό σε μια συσκευή που διαχειρίζεστε μόνοι σας, όπου έχετε και τα δύο άκρα και τον σχεδιασμό προώθησης. Αυτό το γεγονός δεν λέει τίποτα για μια διαχειριζόμενη υπηρεσία που προσφέρει μόνο BGP ως λειτουργία δυναμικής δρομολόγησης.

Αν ένας προτεινόμενος σχεδιασμός απαιτεί γειτονία που η υπηρεσία δεν υποστηρίζει, αλλάξτε την αρχιτεκτονική σκόπιμα. Οι επιλογές περιλαμβάνουν μια αυτοδιαχειριζόμενη συσκευή στο VPC, στατική δρομολόγηση όπου την υποστηρίζει η υπηρεσία ή διαφορετικό προϊόν συνδεσιμότητας. Η διαμόρφωση του πρωτοκόλλου μόνο στον δρομολογητή του πελάτη δεν μπορεί να προσθέσει έναν ομότιμο στην πλευρά του cloud που δεν υπάρχει, και δεν θα κάνει το πρόθεμα να εμφανιστεί.

Μη μεταφέρετε την απάντηση ενός προμηθευτή στην πύλη ενός άλλου. Οι ίδιες λέξεις, όπως δυναμική δρομολόγηση ή εναλλαγή σήραγγας, μπορεί να περιγράφουν διαφορετικούς μηχανισμούς και διαφορετικά όρια.

Διαβάστε την απαίτηση της υπηρεσίας και μετά σχεδιάστε

Πριν από την πρώτη γραμμή διαμόρφωσης, καταγράψτε τις διευθύνσεις των γειτόνων, τους αριθμούς των αυτόνομων συστημάτων, τα προθέματα που θα ανακοινώσετε και θα δεχτείτε, τα όρια διαδρομών και την αναμενόμενη συμπεριφορά όταν αποτύχει μια σήραγγα. Αυτά τα πέντε στοιχεία είναι το συμβόλαιο με βάση το οποίο σχεδιάζετε.

Στη συνέχεια επαληθεύστε με την ίδια σειρά: συνεδρία εγκατεστημένη, πρόθεμα ελήφθη, διαδρομή παρούσα στον πίνακα διαδρομών του VPC και πραγματική ροή προς μια διεύθυνση υπηρεσίας. Επαναλάβετε μετά από αναγκαστική εναλλαγή, γιατί μια συνεδρία που επανιδρύεται μπορεί να επιστρέψει με διαφορετικό σύνολο διαδρομών. Αν ο σχεδιασμός εξαρτάται από σύγκλιση κάτω του δευτερολέπτου, μετρήστε την αντί να την υποθέσετε.

Κρατήστε το συμβόλαιο της υπηρεσίας μαζί με την εγγραφή αλλαγής. Όταν κάποιος ρωτήσει αργότερα γιατί η σήραγγα δεν μπορεί να τρέξει OSPF, η απάντηση είναι όριο προϊόντος, όχι περιορισμός πρωτοκόλλου, και η εγγραφή πρέπει να το λέει.