L3VPN-transdono: privataj vojoj, defaŭlta vojo aŭ plena tabelo?

Via cirkvito funkcias, la VRF estas agordita, kaj la provizanto demandas mallongan demandon, kiu decidas la reston de la dezajno: kion devas ricevi la klienta rando? Tri respondoj oftas, kaj neniu el ili sekvas el la fakto, ke ekzistas etikeda stako. Ili estas servaj decidoj pri tio, kie trafiko forlasas la filion.

Trapasi la transdonon laŭorde estas la plej malmultekosta maniero fari tion ĝuste. Vi komencas de tio, kio okazas al trafiko, kiu kongruas kun nenio, poste skribas la privatajn prefiksojn kaj ilian malsukcesan konduton, kaj nur poste parolas pri tio, kiom grandan fluon vi pretas porti.

Komencu per la trafiko, kiun neniu planis

Demandu unu demandon antaŭ ol aperos iu ajn listo de prefiksoj: kiam paketo kongruas kun neniu privata vojo, kien ĝi devas iri? Filio kun propra interreta cirkvito kutime tenas lokan defaŭltan vojon, do ordinara reta trafiko eliras tra la loka fajroŝirmilo kaj neniam tuŝas la provizanton. En tiu dezajno la VPN portas nur la malproksimajn privatajn lokojn, kaj la pli specifaj prefiksoj faras la elekton.

Filio destinita uzi centran eliron estas la mala kazo. Tie la defaŭlta vojo montras en la servon, kaj la provizanto aŭ la centra loko posedas la plusendadon, la revenan itineradon kaj ĉian tradukon. Diri "defaŭlte al la VPN" sen tiu posedanto produktas filion, kiu solvas nomojn kaj atingas nenion.

La du dezajnoj diferenciĝas en tio, kiel aspektas itinerada malsukceso, kaj tial divenado estas multekosta. Kun loka defaŭlta vojo, perdita privata vojo sendas tiun trafikon al la interreto, kie la fajroŝirmilo ĝin forĵetas aŭ, pli malbone, io, kion vi ne intencis, respondas. Kun centra defaŭlta vojo, la sama perdo tute forigas interretan aliron kaj la bileto alvenas kiel "la tuta filio estas malsupre". Neniu el la du malsukcesoj estas malĝusta per si mem, sed nur unu kongruas kun la servo, kiun vi vendis, kaj BGP-agordo sola ne diros al vi, kiun vi konstruis.

Skribu la privatajn prefiksojn kune kun ilia malsukcesa kazo

Listigu la prefiksojn, kiujn la filio devas atingi, kaj notu, kiuj el ili estas resumitaj. Agregaĵo unu biton tro larĝa trenas nekonatajn celojn en la VPN, kio estas en ordo nur se la malproksima flanko vere posedas kaj plusendas ilin.

Poste priskribu la intencitan konduton, kiam la privata servo malsukcesas. Retenita forĵeta vojo tenas trafikon for de neaŭtorizita pado kaj produktas puran, atenditan interrompon. Flosanta defaŭlta vojo povas konservi haveblecon transirante al rezerva pado, sed nur se la rezerva pado estas rajtigita porti tiun trafikon.

Tenu haveblecon kaj permesitan retiriĝon kiel du apartajn postulojn en la transdona dokumento. Teamoj, kiuj kunfandas ilin, finas argumentante pri tio, ĉu la filio devintus malsukcesi, anstataŭ kontroli, ĉu la interkonsentita politiko estis efektivigita.

Kontrolu, kion la CE vere instalis

Agorda intenco kaj plusenda stato diverĝas sufiĉe ofte, ke kontrolado apartenas al la transdono, ne al la okazaĵa revizio. Ĉe IOS-XE-klienta rando la tri komandoj sube respondas tri malsamajn demandojn: kio estis ofertita, kio estis akceptita, kaj kio estas vere uzata.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Rulu ĉiujn tri en la tago de la transdono anstataŭ monaton poste, dum iu ankoraŭ memoras, kio estis interkonsentita. La unua eligo dependas de soft-reconfiguration inbound aŭ de konservita itinera refreŝigo; sen unu el tiuj la CE ne povas montri al vi, kion ĝi malakceptis. La dua montras akceptitajn kaj plej bonajn vojojn post politiko. La tria diras al vi, kien la defaŭlta vojo vere iras, kaj tio estas la plej utila linio en la tuta transdono.

Rulu la samajn kontrolojn ĉe dua CE se la loko havas du ligojn. Nesimetria akcepto inter du randoj estas ofta kaŭzo de "ĝi funkcias de unu servilo kaj ne de la alia", kaj ĝi estas nevidebla en agorda diferenco, kiu aspektas simetria.

Kvalifiku pli grandan fluon anstataŭ supozi ĝin

Foje la kliento vere bezonas interretan vojan informon ene de la VRF, por politika itinerado aŭ por centra eliro, kiu direktas laŭ prefikso. Tio estas postulo por deklari, limigi kaj prezigi, ne kaŝita defaŭlto. Ĝi venas kun memoro por la RIB kaj FIB, procesoro por ĝisdatigoj, prizorgado de filtriloj kaj posedanto de la rezulta tabelo.

Argumentoj pri kapacito malĝustas en ambaŭ direktoj. Plena tabelo ne estas malpermesita ene de VRF, kaj ĝi ankaŭ ne estas senpaga. Same, vi ne povas dedukti hodiaŭan koston el malnova itinera nombro, kaj pli malgranda etikeda atribuo ne forigas la koston de stokado de vojoj.

La specifo BGP/MPLS IP VPN diskutas plurajn interretajn alirajn aranĝojn apud la VPN-servo mem, kaj ĝi ne deklaras plenan tabelon aŭ defaŭlton deviga por ĉiu kliento, kaj tio estas la sekcio inda montri, kiam aperas aserto pri "norma praktiko": RFC 4364.

Fermu la transdonon registrante la anoncitan aron, la ricevitan aron kaj la elektitan aron apud la interkonsentita elira politiko, kaj testante unu privatan celon, unu intencitan publikan celon kaj unu itinerperdan kazon. Subskribita registro de tiuj tri testoj solvas pli da argumentoj ol iu ajn aserto pri tio, kion faras la plej multaj retoj.