BGP y MPLS en una VPN: qué parte transporta el paquete

Preguntar si una VPN funciona con BGP o con MPLS mezcla dos capas en una sola decisión. BGP distribuye alcanzabilidad y política. MPLS reenvía paquetes usando el estado de etiquetas instalado. En una VPN BGP/MPLS las dos capas cooperan, y quitar cualquiera de ellas deja el servicio sin nada. Las comprobaciones siguientes llevan el mismo prefijo por ambas capas, de modo que usted vea exactamente dónde se detuvo el suyo.

Comprobación 1: el prefijo está en la VRF correcta

Empiece en el borde de entrada del proveedor y pregunte a qué VRF pertenece el prefijo del cliente. El solapamiento de direcciones de clientes es normal en este diseño, así que la VRF es el contexto que mantiene separados a dos clientes que usan ambos 10.0.0.0/8.

Si el prefijo falta ahí, nada posterior puede ser correcto y las comprobaciones restantes son esfuerzo perdido.

Comprobación 2: se distribuyó e importó la ruta de VPN

El proveedor distribuye las rutas de los clientes con MP-BGP. Cada ruta lleva un distinguidor de ruta, que hace únicos prefijos que de otro modo serían idénticos, y objetivos de ruta, que deciden qué VRF importan la ruta. Una ruta que llega pero no se importa deja la VRF receptora vacía para ese prefijo. Revise la política de importación antes de culpar al extremo remoto.

La selección de ruta también importa: una ruta preferida por otro borde del proveedor sustituye a la que usted esperaba ver.

Comprobación 3: qué hace el borde de entrada con el paquete

Cuando llega un paquete, el borde de entrada realiza una consulta IP en la VRF y luego adjunta etiquetas para la ruta elegida. La pila tiene dos funciones lógicas aunque una captura muestre un número distinto de etiquetas.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

La especificación de VPN BGP/MPLS describe esa disposición. El popping de la etiqueta en el penúltimo salto puede eliminar la etiqueta de transporte antes del último salto, así que una captura de dos etiquetas tomada en medio de la red no es prueba de una avería.

Comprobación 4: la red subyacente reenvía esas etiquetas

Los enrutadores de tránsito conmutan según sus entradas de etiquetas instaladas. No leen actualizaciones de BGP para decidir qué ocurre con su paquete individual. Por eso una ruta de cliente puede estar presente mientras el reenvío sigue fallando: el siguiente salto resuelto o la etiqueta de transporte pueden romperse de forma independiente. Aprender un prefijo de VPN no repara la red subyacente por debajo.

Compruebe la vinculación de etiquetas hacia el borde de salida, no solo la presencia de la ruta.

Comprobación 5: la acción de salida y el camino de vuelta

En la salida, la etiqueta de servicio identifica la acción de reenvío, el paquete se desencapsula y avanza hacia el destino del cliente. Desde allí también debe funcionar el camino de vuelta, incluida la política de acceso del lado del cliente en esa interfaz.

Un éxito en un solo sentido suele ser una ruta de vuelta o un filtro, no la pila de etiquetas.

Lea su síntoma dentro de una de esas comprobaciones

Una ruta ausente de la VRF receptora significa anuncio, política de importación o selección de ruta. Una ruta presente con paquetes que fallan significa el siguiente salto resuelto, el reenvío de etiquetas o el camino de vuelta del lado del cliente. Los paquetes que llegan al destino equivocado suelen significar que está inspeccionando la VRF equivocada. Nada de esto es motivo para cambiar el protocolo de enrutamiento.

Una cosa más que conviene decir sin rodeos: este diseño separa a los clientes y reenvía su tráfico de forma eficiente. No cifra, y tratarlo como un servicio de confidencialidad es un error aparte.