Nuba VPN bezonas BGP: kial aliaj enkursigaj protokoloj malsukcesas

La IPsec-sekureca asocio estas aktiva, la tunelaj nombriloj moviĝas, kaj trafiko al la nuba prefikso malaperas. La operatoro tiam provas ŝalti OSPF sur la klienta enkursigilo, atendante ke la najbaro formiĝu, kaj nenio okazas. La tunelo neniam estis la mankanta peco: administrata nuba VPN montras difinitan enkursigan kontrakton, kaj sur la grandaj platformoj tiu kontrakto estas BGP. Ĝis ekzistas sesio kaj prefikso estas akceptita, la tunelo estas nur ĉifrita vojo sen celoj malantaŭ ĝi.

La tunelo funkcias kaj la vojo mankas

La kompletigo de fazo 1 kaj fazo 2 pruvas, ke la partneroj konsentas pri protekto, ne ke iu flanko scias, kien sendi trafikon. Tiuj estas apartaj statomaŝinoj kun apartaj fiaskmanieroj.

Demandu tri demandojn laŭvice: ĉu la prefikso estis anoncita, ĉu ĝi estis akceptita de la partnero, kaj ĉu ĝi estis instalita por plusendado? Prefikso anoncita kaj filtrita estas politika problemo. Prefikso neniam anoncita estas sesia aŭ agorda problemo. Prefikso akceptita sed ne instalita estas voj-elekta problemo, kaj ĉiu respondo montras al malsama parto de la agordo.

Kion la provizanto efektive donas al vi

Administrata VPN-enirejo ne estas senlima enkursigilo. La provizanto donas al vi enirejon kun subtenataj partneraj adresoj, agordo de aŭtonoma sistemo, prefiksaj limoj kaj difinita fiaskkonduto. Tiu surfaco estas la produkto.

Google Cloud dokumentas dinamikan BGP-enkursigadon por HA VPN, kie Cloud Router lernas partnerajn vojojn kaj liveras taŭgajn proprajn dinamikajn vojojn al la VPC. AWS Site-to-Site VPN dokumentas elekton inter statika kaj dinamika enkursigado kaj priskribas BGP-vivecajn kontrolojn kiel utilaj por tunela malsukceso-transiro, samtempe subtenante sanajn kontrolojn por aparatoj sen BGP. La konduto de unu platformo ne estu deduktita el la produkta nomo de la alia.

La praktika sekvo estas, ke vi unue elektas la administritan reĝimon kaj poste legas la subtenatajn agordilojn. Dezajno, kiu supozas najbarecan tipon, kiun la servo ne ofertas, ne estas agorda problemo solvebla sur la klienta enkursigilo.

Tunela protekto kaj atingeblo estas apartaj taskoj

IPsec protektas la trafikon elektitan por la tunelo. BGP liveras la atingeblan informon, kiu igas prefikson taŭga. Funkcianta tunelo ne pruvas, ke la atendata prefikso estis anoncita, akceptita aŭ instalita.

Imagu filion, kiu anoncas 10.42.0.0/16 tra du taŭgaj tunelaj vojoj. Forigu unu uzeblan vojon kaj la voj-elekto povas ŝanĝiĝi sen ke iu redaktu la vojon de ĉiu laborŝarĝo. Detektado, voj-elekto kaj aplikaĵa reakiro ne estas tujaj kaj ne identas inter deplojoj, do la malsukceso-transira testo devas observi la tutan sekvencon, ne la unuan paketon, kiu trapasas.

Kiam nuba prefikso estas neatingebla, kontrolu la sesian staton kaj la lernitajn vojojn antaŭ ol tuŝi kriptografion. SA aktiva sen vojo malantaŭ ĝi estas la plej ofta formo de ĉi tiu simptomo.

Kie OSPF-supozoj rompiĝas

OSPF, IS-IS aŭ alia protokolo ene de IPsec-tunelo estas tute ebla sur mem-administrata aparato, kie vi posedas ambaŭ finojn kaj la plusendan dezajnon. Tiu fakto diras nenion pri administrata servo, kiu ofertas nur BGP kiel sian dinamikan enkursigan reĝimon.

Se proponita dezajno bezonas najbarecon, kiun la servo ne subtenas, ŝanĝu la arkitekturon konscie. Elektoj inkluzivas mem-administratan aparaton en la VPC, statikan enkursigadon kie la servo subtenas ĝin, aŭ alian konektecan produkton. Agordi la protokolon nur sur la klienta enkursigilo ne povas aldoni nuban partneron, kiu ne ekzistas, kaj ĝi ne igos la prefikson aperi.

Ne portu la respondon de unu vendanto al la enirejo de alia. La samaj vortoj, kiel dinamika enkursigado aŭ tunela malsukceso-transiro, povas priskribi malsamajn mekanismojn kaj malsamajn limojn.

Legu la postulon de la servo, poste dezajnu

Antaŭ la unua agorda linio, notu la najbarajn adresojn, la numerojn de la aŭtonomaj sistemoj, la prefiksojn, kiujn vi anoncos kaj akceptos, la vojlimojn kaj la atendatan konduton kiam tunelo fiaskas. Tiuj kvin eroj estas la kontrakto, kontraŭ kiu vi dezajnas.

Poste kontrolu en la sama ordo: sesio establita, prefikso ricevita, vojo ĉeesta en la voja tabelo de la VPC, kaj reala fluo al serva adreso. Ripetu post deviga malsukceso-transiro, ĉar sesio, kiu restabliĝas, povas reveni kun malsama vojaro. Se la dezajno dependas de konverĝo sub sekundo, mezuru ĝin anstataŭ supozi ĝin.

Konservu la servan kontrakton kune kun la ŝanĝa registro. Kiam iu poste demandos, kial la tunelo ne povas funkciigi OSPF, la respondo estas produkta limo, ne protokola limigo, kaj la registro devus tion diri.