BGP kaj MPLS en VPN: kiu parto portas la paketon

Demandi, ĉu VPN funkcias sur BGP aŭ MPLS, miksas du tavolojn en unu decidon. BGP disdonas atingeblon kaj politikon. MPLS plusendas paketojn per la instalita etiketa stato. En BGP/MPLS VPN la du kunlaboras, kaj forigi iun ajn el ili lasas neniun servon entute. La subaj kontroloj kondukas la saman prefikson tra ambaŭ tavoloj, por ke vi vidu precize, kie haltis la via.

Kontrolo 1: ĉu la prefikso estas en la ĝusta VRF

Komencu ĉe la enira rando de la provizanto kaj demandu, al kiu VRF apartenas la klienta prefikso. Interkovro de klientaj adresoj estas normala en ĉi tiu dezajno, do la VRF estas la kunteksto, kiu tenas aparte du klientojn, kiuj ambaŭ uzas 10.0.0.0/8.

Se la prefikso mankas tie, nenio posta povas esti ĝusta, kaj la ceteraj kontroloj estas vana peno.

Kontrolo 2: ĉu la VPN-itinero estis disdonita kaj importita

La provizanto disdonas klientajn itinerojn per MP-BGP. Ĉiu itinero portas itineran distingilon, kiu faras alie identajn prefiksojn unikaj, kaj itinerajn celojn, kiuj decidas, kiuj VRF-oj importas la itineron. Itinero, kiu alvenas sed ne estas importita, lasas la ricevan VRF malplena por tiu prefikso. Kontrolu la importan politikon antaŭ ol kulpigi la malproksiman finon.

Ankaŭ itinera elekto gravas: preferata vojo tra alia provizanta rando anstataŭas tiun, kiun vi atendis vidi.

Kontrolo 3: kion la enira rando faras kun la paketo

Kiam paketo alvenas, la enira rando faras IP-serĉon en la VRF kaj poste aldonas etikedojn por la elektita vojo. La stako havas du logikajn rolojn eĉ kiam kaptaĵo montras alian nombron da etikedoj.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

La specifiko de BGP/MPLS VPN priskribas tiun aranĝon. Forigo de la etikedo ĉe la antaŭlasta salto povas forigi la transportan etikedon antaŭ la lasta salto, do kaptaĵo de du etikedoj prenita meze de la reto ne estas pruvo de difekto.

Kontrolo 4: ĉu la suba reto plusendas tiujn etikedojn

Tranzitaj enkursigiloj ŝaltas laŭ siaj instalitaj etiketaj enskriboj. Ili ne legas BGP-ĝisdatigojn por decidi, kio okazas al via unuopa paketo. Tial klienta itinero povas ekzisti dum plusendado ankoraŭ malsukcesas: la solvita sekva salto aŭ la transporta etikedo povas rompiĝi sendepende. Lerni VPN-prefikson ne riparas la suban reton sub ĝi.

Kontrolu la etikedan ligon al la elira rando, ne nur la ekziston de la itinero.

Kontrolo 5: la elira ago kaj la revena vojo

Ĉe la eliro la serva etikedo identigas la plusendan agon, la paketo estas malenkapsuligita kaj ĝi progresas al la klienta celo. De tie ankaŭ la revena vojo devas funkcii, inkluzive de la alira politiko ĉe la klienta flanko sur tiu interfaco.

Unudirekta sukceso kutime estas revena itinero aŭ filtrilo, ne la etikeda stako.

Legu vian simptomon en unu el tiuj kontroloj

Itinero mankanta en la riceva VRF signifas anoncon, importan politikon aŭ itineran elekton. Itinero ĉeestanta dum paketoj malsukcesas signifas la solvitan sekvan salton, la etikedan plusendadon aŭ la revenan vojon ĉe la klienta flanko. Paketoj alvenantaj al la malĝusta celo kutime signifas, ke vi inspektas la malĝustan VRF. Neniu el tiuj estas kaŭzo ŝanĝi la enkursigan protokolon.

Unu plia afero indas diri malkaŝe: ĉi tiu dezajno apartigas klientojn kaj plusendas ilian trafikon efike. Ĝi ne ĉifras, kaj trakti ĝin kiel konfidencecan servon estas aparta eraro.