L3VPN-i üleandmine: privaatsed marsruudid, vaikimisi marsruut või täielik tabel?

Teie liin töötab, VRF on seadistatud ja teenusepakkuja esitab lühikese küsimuse, mis otsustab ülejäänud disaini: mida peaks kliendi serv saama? Kolm vastust on tavalised ja ükski neist ei tulene sellest, et siltide pinu on olemas. Need on teenuseotsused selle kohta, kust liiklus harust väljub.

Üleandmise järjekorras läbikäimine on kõige odavam viis seda õigesti teha. Alustate sellest, mis juhtub liiklusega, mis millegagi ei kattu, seejärel kirjutate üles privaatsed prefiksid ja nende rikkekäitumise ning alles siis räägite, kui suurt voogu olete valmis kandma.

Alustage liiklusest, mida keegi ei planeerinud

Esitage üks küsimus enne, kui ilmub ükskõik milline prefiksite nimekiri: kui pakett ei kattu ühegi privaatse marsruudiga, kuhu see peaks minema? Oma internetiliiniga haru hoiab tavaliselt kohalikku vaikimisi marsruuti, nii et tavaline veebiliiklus väljub kohaliku tulemüüri kaudu ega puuduta kunagi teenusepakkujat. Selles disainis kannab VPN ainult kaugemaid privaatseid kohti ning valiku teevad täpsemad prefiksid.

Haru, mis on mõeldud keskse väljundi kasutamiseks, on vastupidine juhtum. Seal osutab vaikimisi marsruut teenusesse ning teenusepakkuja või keskne koht omab edastust, tagasiteed ja mis tahes tõlget. Öelda "vaikimisi VPN-i" ilma sellise omanikuta annab haru, mis lahendab nimesid ja ei jõua kuhugi.

Kaks disaini erinevad selle poolest, kuidas marsruutimisrike välja näeb, ja seetõttu on oletamine kallis. Kohaliku vaikimisi marsruudiga saadab kadunud privaatne marsruut selle liikluse internetti, kus tulemüür selle ära viskab või, hullem, vastab miski, mida te ei kavatsenud. Keskse vaikimisi marsruudiga võtab sama kadu internetiühenduse täielikult ära ja pilet saabub kujul "kogu haru on maas". Kumbki rike ei ole iseenesest vale, kuid ainult üks neist vastab teenusele, mille te müüsite, ja ainult BGP seadistus ei ütle teile, kumma te ehitasite.

Kirjutage privaatsed prefiksid üles koos nende rikkejuhtumiga

Loetlege prefiksid, kuhu haru peab jõudma, ja märkige, millised neist on agregeeritud. Ühe biti võrra liiga lai agregaat tõmbab VPN-i tundmatud sihtkohad, mis on korras ainult siis, kui kaugem pool neid tõesti omab ja edastab.

Seejärel kirjeldage kavandatud käitumist, kui privaatne teenus ebaõnnestub. Säilitatud kõrvalejätmise marsruut hoiab liikluse volitamata teelt eemal ja annab puhta, ootuspärase katkestuse. Hõljuv vaikimisi marsruut võib saavutatavust hoida varuteele liikudes, kuid ainult siis, kui varuteel on luba seda liiklust kanda.

Hoidke saavutatavus ja lubatud taganemine üleandmisdokumendis kahe eraldi nõudena. Meeskonnad, kes need kokku sulatavad, vaidlevad lõpuks selle üle, kas haru oleks pidanud maha kukkuma, selle asemel et kontrollida, kas kokkulepitud poliitika rakendati.

Kontrollige, mida CE tegelikult paigaldas

Seadistuse kavatsus ja edastuseisund lahknevad piisavalt sageli, et kontrollimine kuulub üleandmise juurde, mitte intsidendi ülevaatesse. IOS-XE kliendiserval vastavad kolm allolevat käsku kolmele erinevale küsimusele: mida pakuti, mida võeti vastu ja mida tegelikult kasutatakse.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Käivitage kõik kolm üleandmise päeval, mitte kuu hiljem, kuni keegi veel mäletab, mis kokku lepiti. Esimene väljund sõltub soft-reconfiguration inbound-st või salvestatud marsruudi värskendusest; ilma ühe või teiseta ei saa CE teile näidata, mille ta tagasi lükkas. Teine näitab poliitika järel vastuvõetud ja parimaid teid. Kolmas ütleb, kuhu vaikimisi marsruut tegelikult läheb, ja see on kogu üleandmise kõige kasulikum rida.

Tehke samad kontrollid teisel CE-l, kui asukohal on kaks ühendust. Asümmeetriline vastuvõtt kahe serva vahel on tavaline põhjus lausele "töötab ühest serverist ja teisest mitte", ja see on nähtamatu seadistuse erinevuses, mis tundub sümmeetriline.

Põhjendage suuremat voogu, mitte ärge eeldage seda

Mõnikord vajab klient tõesti interneti marsruuditeavet VRF-i sees, poliitikapõhiseks marsruutimiseks või keskse väljundi jaoks, mis juhib prefiksi järgi. See on nõue, mis tuleb välja öelda, piiritleda ja hinnastada, mitte peidetud vaikimisi marsruut. Sellega kaasnevad mälu RIB-i ja FIB-i jaoks, protsessor värskenduste jaoks, filtrite hooldus ja tekkinud tabeli omanik.

Mahuväited eksivad mõlemas suunas. Täielik tabel ei ole VRF-i sees keelatud ja see ei ole ka tasuta. Samuti ei saa tänast kulu tuletada vanast marsruutide arvust ning väiksem siltide jaotus ei kõrvalda marsruutide hoidmise kulu.

Spetsifikatsioon BGP/MPLS IP VPN käsitleb mitut internetiühenduse korraldust VPN-teenuse kõrval ega kuuluta täielikku tabelit ega vaikimisi marsruuti iga kliendi jaoks kohustuslikuks, ja see on jaotis, millele tasub osutada, kui ilmub väide "tavapärasest praktikast": RFC 4364.

Sulgege üleandmine, kirjutades kokkulepitud väljundpoliitika kõrvale kuulutatud hulga, vastuvõetud hulga ja valitud hulga ning testides ühte privaatset sihtkohta, ühte kavandatud avalikku sihtkohta ja ühte marsruudikadu juhtumit. Nende kolme testi allkirjastatud kirje lahendab rohkem vaidlusi kui ükskõik milline väide selle kohta, mida enamik võrke teeb.