Pilve-VPN vajab BGP-d: miks teised marsruutimisprotokollid ei tööta

IPsec-i turbeseos on üleval, tunneli loendurid liiguvad ja liiklus pilve eesliitele kaob. Seejärel üritab operaator kliendi ruuteril OSPF-i lubada, oodates, et naaber tekib, ja midagi ei juhtu. Tunnel ei olnud kunagi puuduv tükk: hallatav pilve-VPN pakub määratletud marsruutimislepingut ja suurtel platvormidel on selleks lepinguks BGP. Kuni seanss ei eksisteeri ja eesliide pole vastu võetud, on tunnel vaid krüpteeritud tee, mille taga pole sihtkohti.

Tunnel on üleval ja marsruut puudub

Faasi 1 ja faasi 2 lõpetamine tõestab, et pooled nõustuvad kaitsega, mitte seda, et kumbki pool teab, kuhu liiklust saata. Need on eraldi olekumasinad eraldi rikkerežiimidega.

Esitage kolm küsimust järjekorras: kas eesliide kuulutati välja, kas naaber võttis selle vastu ja kas see paigaldati edastamiseks? Eesliide, mis kuulutati välja ja filtreeriti, on poliitika probleem. Eesliide, mida kunagi välja ei kuulutatud, on seansi või konfiguratsiooni probleem. Eesliide, mis võeti vastu, kuid jäi paigaldamata, on marsruudi valiku probleem, ja iga vastus osutab konfiguratsiooni erinevale osale.

Mida teenusepakkuja tegelikult annab

Hallatav VPN-lüüs ei ole piiramatu ruuter. Teenusepakkuja annab teile lüüsi, millel on toetatud partneraadressid, autonoomse süsteemi säte, eesliidete piirangud ja määratletud rikkekäitumine. See pind on toode.

Google Cloud dokumenteerib HA VPN-i jaoks dünaamilist BGP-marsruutimist, kus Cloud Router õpib partnerite marsruute ja edastab VPC-le sobilikud kohandatud dünaamilised marsruudid. AWS Site-to-Site VPN dokumenteerib valiku staatilise ja dünaamilise marsruutimise vahel ning kirjeldab BGP elujõulisuse kontrolle kasulikena tunneli ümberlülitamiseks, toetades samas ka tervisekontrolle seadmetele, millel BGP puudub. Kummagi platvormi käitumist ei tohiks tuletada teise tootenimest.

Praktiline tagajärg on see, et kõigepealt valite hallatava režiimi ja seejärel loete toetatud nuppe. Kujundus, mis eeldab naabrussuhte tüüpi, mida teenus ei paku, ei ole konfiguratsiooniprobleem, mida kliendi ruuteril lahendada.

Tunneli kaitse ja kättesaadavus on eraldi tööd

IPsec kaitseb liiklust, mis on tunneli jaoks valitud. BGP annab kättesaadavusteabe, mis muudab eesliite sobilikuks. Töötav tunnel ei tõenda, et oodatud eesliide kuulutati välja, võeti vastu või paigaldati.

Kujutage ette haru, mis kuulutab 10.42.0.0/16 välja kahe sobiliku tunnelitee kaudu. Eemaldage üks kasutatav tee ja marsruudi valik võib muutuda, ilma et keegi muudaks iga töökoormuse marsruuti. Avastamine, marsruudi valik ja rakenduse taastumine ei ole hetkelised ega ole kasutuselevõttude lõikes identsed, seega peab ümberlülituse test jälgima kogu järjestust, mitte esimest paketti, mis läbi läheb.

Kui pilve eesliide pole kättesaadav, kontrollige seansi olekut ja õpitud marsruute enne krüptograafia puutumist. Üleval olev SA, mille taga pole marsruuti, on selle sümptomi kõige tavalisem vorm.

Kus OSPF-i eeldused purunevad

OSPF, IS-IS või muu protokoll IPsec-tunneli sees on täiesti võimalik ise hallataval seadmel, kus teile kuuluvad mõlemad otsad ja edastuskujundus. See fakt ei ütle midagi hallatava teenuse kohta, mis pakub dünaamilise marsruutimise režiimina ainult BGP-d.

Kui pakutud kujundus vajab naabrussuhet, mida teenus ei toeta, muutke arhitektuuri teadlikult. Valikud hõlmavad ise hallatavat seadet VPC-s, staatilist marsruutimist seal, kus teenus seda toetab, või teistsugust ühenduvustoodet. Protokolli konfigureerimine ainult kliendi ruuteril ei saa lisada pilvepoolset partnerit, keda pole olemas, ja see ei pane eesliidet ilmuma.

Ärge kandke ühe tarnija vastust teise tarnija lüüsile. Samad sõnad, nagu dünaamiline marsruutimine või tunneli ümberlülitamine, võivad kirjeldada erinevaid mehhanisme ja erinevaid piiranguid.

Lugege teenuse nõuet ja alles siis kujundage

Enne esimest konfiguratsioonirida kirjutage üles naaberaadressid, autonoomsete süsteemide numbrid, eesliited, mida kuulutate välja ja võtate vastu, marsruudipiirangud ja oodatav käitumine tunneli rikke korral. Need viis punkti on leping, mille järgi te kujundate.

Seejärel kontrollige samas järjekorras: seanss loodud, eesliide vastu võetud, marsruut olemas VPC marsruuditabelis ja tegelik voog teenuseaadressile. Korrake pärast sunnitud ümberlülitust, sest uuesti loodav seanss võib naasta teistsuguse marsruudikomplektiga. Kui kujundus sõltub alla sekundi konvergentsist, mõõtke seda, mitte ärge eeldage.

Hoidke teenuseleping koos muudatuste registriga. Kui keegi hiljem küsib, miks tunnel ei saa OSPF-i käitada, on vastuseks toote piir, mitte protokolli piirang, ja register peaks seda ütlema.