Δρομολόγηση υποκαταστημάτων MPLS: τι μαθαίνει το CE και από ποιον

Ένας κεντρικός υπολογιστής σε ένα υποκατάστημα ανοίγει σύνδεση με διακομιστή σε άλλο, και οι δύο εγκαταστάσεις βρίσκονται πίσω από το ίδιο διαχειριζόμενο VPN MPLS επιπέδου 3. Ο κεντρικός υπολογιστής γνωρίζει μόνο την προεπιλεγμένη πύλη του και τίποτα άλλο, κάτι που είναι σωστό. Το κρίσιμο είναι ότι η τοπική άκρη πελάτη παραδίδει το πακέτο στην άκρη παρόχου της, και ότι η κατάσταση δρομολόγησης VPN του παρόχου το μεταφέρει στο υποκατάστημα που κατέχει το πρόθεμα προορισμού.

Το να ακολουθήσετε ένα πακέτο κατά μήκος της διαδρομής είναι ο ταχύτερος τρόπος να δείτε ποιο μέρος είναι ευθύνη του πελάτη και ποιο ανήκει στην υπηρεσία.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Πού τελειώνει η δουλειά κάθε άλματος

Το CE-A χρειάζεται διαδρομή για το απομακρυσμένο LAN που δείχνει στην τοπική σύνδεση παρόχου του, όχι στη διεύθυνση WAN του απομακρυσμένου υποκαταστήματος. Στη συνέχεια ο πάροχος μεταφέρει το πακέτο μέσα από τον δικό του πυρήνα χρησιμοποιώντας την κατάσταση δρομολόγησης VPN, και το CE-B το παραδίδει στο LAN προορισμού. Σε κανένα σημείο δεν χρειάζεται ένας κεντρικός υπολογιστής να κατανοεί ετικέτες, VRF ή το κύκλωμα internet της απέναντι πλευράς.

Το λάθος που εμφανίζεται ξανά και ξανά στα δελτία είναι η ρύθμιση της διεύθυνσης WAN του υποκαταστήματος B ως επόμενου άλματος στο υποκατάστημα A. Και τα δύο υποκαταστήματα αγόρασαν την ίδια υπηρεσία, οπότε φαίνεται σαν να πρέπει να είναι γείτονες. Δεν είναι: ένα επόμενο άλμα πρέπει να είναι προσβάσιμο μέσα από τον σχεδιασμό δρομολόγησης που πραγματικά έχετε, και το απομακρυσμένο CE βρίσκεται συνήθως πολλά άλματα μακριά πίσω από εξοπλισμό που δεν διαχειρίζεστε. Μια στατική διαδρομή χτισμένη σε αυτή την υπόθεση εμφανίζεται ως ενεργή και δεν αναλύεται σε τίποτα, κάτι που είναι χειρότερο από μια διαδρομή που λείπει, γιατί στον πίνακα φαίνεται σωστή.

Το RFC 4364 διαχωρίζει την ανταλλαγή μεταξύ άκρης πελάτη και άκρης παρόχου από τη διανομή των διαδρομών VPN από τον πάροχο, και αυτό είναι ακριβώς το όριο με το οποίο ασχολείται αυτό το εγχειρίδιο. Η δουλειά του πελάτη είναι να πει στην άκρη του τι μπορεί να παραδώσει και να δεχτεί την προσβασιμότητα που προσφέρει πίσω η υπηρεσία.

Σε τι πρέπει να συμφωνήσει η παράδοση

Επιλέξτε τον μηχανισμό μαζί με τον πάροχο, όχι γύρω από αυτόν. Οι στατικές διαδρομές, το BGP ή μια συμφωνία πρωτοκόλλου δρομολόγησης μεταξύ CE και PE είναι όλα νόμιμα, και το OSPF έχει ένα καθορισμένο μοντέλο MPLS VPN για αυτή την παράδοση. Κανένα από αυτά δεν είναι λόγος να χτιστεί γειτνίαση OSPF ανάμεσα σε δύο απομακρυσμένες άκρες πελάτη μέσω ενός μη καθορισμένου πυρήνα παρόχου, γιατί αυτός είναι ένας σχεδιασμός με τον οποίο ο πάροχος δεν έχει συμφωνήσει και δεν μπορεί να υποστηρίξει.

Πριν τεθεί σε λειτουργία ένα νέο LAN, γράψτε τέσσερα πράγματα: το πρόθεμα, την τοπική επόμενη διαδρομή στο CE, τη διαφήμιση που θα δεχτεί ο πάροχος και τις διαδρομές που θα επιστρέψει ο πάροχος. Προσθέστε οποιοδήποτε φιλτράρισμα, όριο προθεμάτων ή περιορισμό μεταξύ εγκαταστάσεων επιβάλλει η σύμβαση. Μια υγιής γειτνίαση είναι κανάλι ανταλλαγής πληροφοριών και δεν αποτελεί απόδειξη ότι ένα συγκεκριμένο πρόθεμα έγινε δεκτό· η σύνοδος μπορεί να είναι ενεργή ενώ το νέο σας υποδίκτυο βρίσκεται μέσα σε φίλτρο.

Στη συνέχεια ακολουθήστε την απάντηση. Το υποκατάστημα B χρειάζεται διαδρομή επιστροφής στο LAN προέλευσης, και ο κεντρικός υπολογιστής στην πλευρά λήψης χρειάζεται τη δική του πύλη και τις δικές του άδειες υπηρεσίας. Μια διαδρομή που εμφανίζεται στο CE-A εγκαθιστά μισή διαδρομή μετ' επιστροφής, και η μισή διαδρομή είναι ο λόγος που η μία κατεύθυνση μιας δοκιμής ping φαίνεται υγιής ενώ η εφαρμογή εξακολουθεί να αποτυγχάνει.

Επαληθεύστε και τις δύο παραδόσεις πριν την υπογραφή

Συλλέξτε την κατάσταση δρομολόγησης στις δύο άκρες πελάτη, επιβεβαιώστε με τον πάροχο ότι τα προβλεπόμενα προθέματα LAN έγιναν δεκτά στο VPN, και στη συνέχεια δοκιμάστε μία επιτρεπόμενη εφαρμογή σε κάθε κατεύθυνση. Οι πίνακες δρομολόγησης μόνοι τους δεν αποδεικνύουν ότι η εφαρμογή λειτουργεί, και μια δοκιμή εφαρμογής μόνη της δεν σας λέει ποιο επίπεδο ελέγχου απέτυχε όταν δεν λειτουργεί.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Διαβάστε τις τρεις εξόδους μαζί. Η πρώτη λέει τι πιστεύει η άκρη, η δεύτερη λέει τι έμαθε και από ποιον ομότιμο, και η τρίτη λέει τι θα προωθήσει πραγματικά. Η ασυμφωνία μεταξύ τους είναι συνήθως πρόβλημα πολιτικής ή αναδρομής και όχι διαφήμιση που λείπει, και αξίζει να λυθεί πριν ζητηθεί από τον πάροχο να ερευνήσει. Πάρτε αυτές τις τρεις εξόδους στην κλήση με τον φορέα, γιατί απαντούν στις περισσότερες ερωτήσεις που θα σας έκανε διαφορετικά ένας μηχανικός υποστήριξης.

Μάθετε τι δεν παρέχει η υπηρεσία

Πρόκειται για δρομολογημένη πρόσβαση επιπέδου 3. Δεν είναι κύκλωμα επιπέδου 2 που επεκτείνει τις εκπομπές μεταξύ γραφείων, επομένως τα πρωτόκολλα ανακάλυψης, οι εφαρμογές που εξαρτώνται από εκπομπές και οι υποθέσεις κοινόχρηστου τμήματος δεν ταξιδεύουν μαζί του. Η εκτύπωση, η περιήγηση ονομάτων και οτιδήποτε εξαρτάται από τοπικό τμήμα χρειάζονται δικό τους σχεδιασμό.

Ο διαχωρισμός VPN δεν είναι επίσης κρυπτογράφηση. Η μεταγωγή ετικετών κρατά τους πελάτες χωριστούς μέσα στο δίκτυο του παρόχου και δεν καθιστά το φορτίο εμπιστευτικό αν η σύμβαση απαιτεί εμπιστευτικότητα. Όπου αυτό έχει σημασία, πρέπει να το παρέχει η εφαρμογή ή ένα υπερκείμενο επίπεδο.

Τέλος, κρατήστε το μοντέλο υπηρεσίας γραμμένο δίπλα στη διαμόρφωση δρομολόγησης της εγκατάστασης. Ο επόμενος μηχανικός που θα προσθέσει υποδίκτυο θα πρέπει να μπορεί να διαβάσει ποια προθέματα διαφημίζονται, ποιος τα δέχεται και ποια είναι η αναμενόμενη διαδρομή επιστροφής: η προδιαγραφή BGP/MPLS IP VPN είναι η αναφορά για το μοντέλο πίσω από όλα αυτά.