Zergatik VPN baten gaineko BGPk ez duen zure azpiko geruzako bidea kontrolatzen
VPN baten gaineko BGPk irisgarritasuna trukatzen du eta bide-politika aplikatzen du, baina azpiko geruzak kanpoko bidea aukeratzen jarraitzen du. Zer kontrolatzen duen sesioak benetan.
Bi guneek BGP parekatzen dute IPsec tunel baten bidez, elkarren aurrizkiak ikasten dituzte, eta diagrama bide-kontrol gisa berriz etiketatzen da. Etiketa hori da nahasmenaren hasiera. Sesioak irisgarritasuna trukatzen du eta politika aplikatzen du, baina ez du esateko eskubiderik zein hornitzailek, kablek edo routerrek eramaten dituen pakete zifratuak. Talde bat lanean ari zen tunel bat berreraikitzen ikusi dut, BGP bide-aldaketa batek trafikoa sesioak inoiz eragin ezin zuen zuntz-bide batera eramango zuela espero zutelako.
Jendeak uste du sesio batek zer erosten duen
Itxaropenaren zatirik handiena laborategian bide-aldaketa batek duen itxuratik dator. Aurrizki bat iragartzen duzu tunelaren bidez, urruneko aldeak instalatu egiten du, eta trafikoa mugitzen da. Segida bera gertatzen da trafiko-ingeniaritzako aginteak benetan dituen router batean, beraz, biak nahasten dira. Laborategian bi guneek normalean sarbide-esteka bakarra partekatzen dute, eta horrexegatik ez da inoiz aldea han agertzen.
BGP irisgarritasun-protokoloa da. Pare bati esaten dio aurrizki baterako paketeak entregatu ditzakezula, eta alde bakoitzari jasotzen dituen eskaintzak ordenatzeko aukera ematen dio. Hori benetan erabilgarria da tunel baten bidez: aurrizkiak agertu eta desagertu egiten dira guneak etorri eta joan ahala, eta barruti bat uka dezakezu ertz-gailu bakoitzean bide estatiko bat idatzi gabe. Egiten ez duena hornitzaile baten routerrak zure kontrolpean jartzea da.
Azpiko geruzak kanpoko goiburua darama. Zure tunelaren muturrak pakete zifratuak bidaltzen dizkio pare baten helbideari, eta bi helbide horien arteko sareak operadoreek instalatutako bideen arabera birbidaltzen ditu. BGP sesioko ezerk ez du erabaki hori aldatzen, hornitzaile berak hori egiten duen zerbitzu onartu bat eskaintzen ez badu behintzat.
Zer darama sesioak benetan
BGP hizlariak TCP konexio bat irekitzen du bere parearen 179 portura, RFC 4271 dokumentuan definitutako mezu-formatuak eta bide-atributuak erabiliz. Parearen helbidea tunelaren barruan dagoenean, tunelak altxatuta egon behar du eta helbide hori irisgarria izan behar da sesioa hasi aurretik. Amaitutako IKE trukea ez da BGP bizilaguna. Bideetan oinarritutako IPsec inplementazioek trafikoa pasatzen uzten dute tunel-bide bat badagoenean soilik, eta politikan oinarritutakoak parearen helbidea hautatzaile babestuaren barruan behar du. Alderantziz eginez gero, tunela berdea den eta sesioa alferrik dagoen egoera klasikoa sortzen da.
Sesioa altxatuta dagoenean, politikak erabakitzen du zer igarotzen den. Aurrizki-zerrendek, AS-bide iragazkiek, aurrizki gehieneko sabaiak eta bide lehenetsiei buruzko erabaki esplizituak gutxienekoak dira, eta bi norabideetan aplikatzen dira. Jasotzen duen guztia onartzen duen pare batek bide lehenetsi bat eman diezazuke, tokiko internet sarbidea isilean ordezkatzen duena. Bi norabideek zerrenda bereiziak behar dituzte, pare bati onartzen diozuna eta hari iragartzen diozuna erabaki desberdinak direlako.
router bgp 65010
neighbor 10.255.0.2 remote-as 65020
address-family ipv4 unicast
neighbor 10.255.0.2 prefix-list SITE-B-IN in
neighbor 10.255.0.2 prefix-list SITE-B-OUT out
neighbor 10.255.0.2 maximum-prefix 50
Ondoren MTUk hozka egiten du. Kapsulatzeak karga erabilgarria txikitzen du, beraz, eguneratze handi batek erabat ezarrita dirudien sesioa geldiaraz dezake: pareak gora jarraitzen du, aurrizkiak ez dira inoiz iristen, eta ez da ezer nabarmenik erregistroan agertzen. Murriztu TCP MSS tunelaren interfazean, edo ezarri tunel MTU bat gainkosturako tokia duena, iragazkiak erruduntzatu aurretik.
Nora joaten dira kanpoko paketeak oraindik
Gune batetik bestera doazen pakete zifratuak router lokalak parearen helbide publikorako aukeratzen duen bidetik irteten dira. Bi guneek hornitzaile berari transit-a erosten badiote, metro-instalazio bera zeharkatzen badute, edo alde bat operadore-mailako NAT baten atzean badago, tunelak hornitzailearen hutsegitea ustekabean soilik gainditzen du. Monitorizazio-tresna batean tunel ikonoak zenbatzeak ez dizu horri buruz ezer esaten.
Bide-hautaketa eta birbidaltzearen instalazioa ere gertaera bereiziak dira. Aurrizki bat BGP taulan onena gisa egon daiteke eta, hala ere, birbidaltze-taulatik falta, hurrengo jauzia ebatzi ezinekoa delako edo bide zehatzago batek irabazten duelako. Norbaitek BGPk aurrizkia ikasi duela baina trafikoa ez doala jakinarazten duenean, galdera erabilgarria da instalatuta dagoen eta zein hurrengo jauziri seinalatzen dion.
Diseinu-berrikuspen baterako erantzun zintzoa partekatutako mendekotasunen zerrenda da: sarbide-zirkuitua, goiko hornitzailea, instalazioa eta itzulera-bideko egoera duen edozein gailu. Tunelaren bidezko sesio batek ezin du gainean ez dagoen mendekotasunik kendu.
Bereiztea merezi duten hiru erabaki
Diseinu batek hauek nahasten dituenean, etenaldi bakoitzeko elkarrizketa zirkuluetan ibiltzen da. Lehenengo paperean bereizi, eta gero bakoitza benetan betearazten duen gailuari esleitu.
| Decision | Who controls it | Typical failure |
|---|---|---|
| Which prefixes may cross the relationship? | Both sides, through prefix and AS-path policy you configure deliberately | A default route accepted by mistake, or a vague aggregate |
| Which overlay next hop wins? | Local BGP selection plus next-hop resolution on your own routers | Prefix learned, never installed in the forwarding table |
| Where do the encrypted packets travel? | The underlay operators, unless a supported service adds real control | Path diversity that was never there |
Errenkada bakoitzak jabe desberdin bat du. Lehenengoa negoziazioa da, bigarrena zure gailuen konfigurazioa, hirugarrena batez ere beste norbaiten sarea. Ukitzen duen errenkada aipatzen duen aldaketa-eskaera askoz errazago onartzen da BGP arazoa dioena baino.
Aurreikustea merezi duten hutsegite-moduak
Pare baten laburpen-bidea onartzea norberak eragindako zauririk ohikoena da. Norbaitek agregatu labur bat iragartzen du trukea errazteko, urruneko aldeak onartu egiten du, eta tunelaren atzean ez dauden barrutietarako trafikoak tunela jarraitzen du eta hiltzen da. Iragazi espero diren aurrizki zehatzen arabera, edo erabili muga egokiko aurrizki-zerrenda bat, eta ez onartu inoiz agregatu soilik, sesioa txukuna dirudielako.
Atzera-egitearen denbora bigarrena da. Detekzioa atxikipen-tenporizadoreen, BFDren (gaitu baduzu), tunelaren pare hildakoaren detekzioaren eta urruneko aldeak iragartzen uzteko duen abiaduraren mende dago. Dauden sesioak arazo bereizia dira: bide berri batek konexio berriak leheneratu ditzake TCP sesio ezarriek helbide zaharkituak erabiltzen jarraitzen duten bitartean, eta bidean dauden egoera duten suebakiek edo NATek jada bat ez datozen sarrerak gorde ditzakete. Jarri aplikazioaren berreskurapena onarpen-irizpideetan, bide-aldaketa batek dena konpontzen duela suposatu beharrean.
Hirugarrena itzulera-bideko asimetria da. Trafikoak tunelaren bidez iritsi eta inoiz eramateko pentsatua izan ez zen hornitzaile-esteka batetik itzul daiteke, eta hori audio norabide bakarreko gisa, esku-ukaldi huts egindako gisa edo erantzunak botatzen dituen suebaki gisa agertzen da. Egiaztatu bi norabideak bereizita.
Kontratuan zer idatzi eta nola egiaztatu
Eskatu baimendutako aurrizkiak idatziz: nork du barruti bakoitza sortzeko baimena, bide lehenetsi bat onartzen den eta tunel-zerbitzuak zein helbide-familia onartzen dituen. RFC 8212 arauak inportazio- eta esportazio-politika esplizitua eBGPren itxaropen bihurtu zuen hura betetzen duten inplementazioetan, beraz, oraindik inplizituki dena onartzeko jokabidean oinarritzen den pare bat galdetzea merezi du.
Gero egiaztatu gailutik, ez diagramatik. FRR tankerako routerretan erabilgarriak diren komandoak:
show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16
Gehitu bide-taulak eman ezin dizkizun bi behaketa. Grabatu kanpoko interfazean pakete kapsulatuek benetan zein helbide hartzen duten baieztatzeko, adibidez tcpdump -ni eth0 udp port 51820 WireGuard tunel baterako, edo ESP iragazki bat IPsec-erako. Ondoren jarraitu parearen helbide publikorako norabidean eta alderatu jauziak tunelaren barneko arrasto batekin; biak hornitzaile-kate berari jarraitzen badiote, zure soberakina bide-politikan bizi da, ez sarean.
Azkenik, probatu atzera-egite bat nahita. Jaitsi tunela mantentze-leiho batean, idatzi aurrizkia zenbat denbora egoten den instalatuta, zer gertatzen den dauden sesioekin eta urruneko aldea benetan onartuko zenukeen bide batera jaisten den. Ariketa horrek diagrama edozein baino gehiago esaten du diseinuari buruz.
Bide bat ez da baimen bat. Trukatzeko adosten dituzun aurrizkiek ez dute ezer esaten zein erabiltzailek tunelaren atzean zein zerbitzura irits daitezkeen, beraz, eduki autentifikazioa, baimendutako zerbitzuak eta ostalari-suebakiak zeuden leku berean. Pare irisgarri bat ere ez da trantsitu mugagaberako edo helbide arbitrarioak sortzeko baimena, eta horrelako aginpidea kontratuan dagokio, merkataritza-kontu gisa, ez BGP politika-lerro batean.
- Izenda itzazu alde bakoitzak sor ditzakeen aurrizkiak eta inoiz onartu behar ez dituenak.
- Murriztu MSS tunelaren gainean eta berretsi eguneratze handiak benetan iristen direla.
- Zerrendatu azpiko geruzako mendekotasun partekatuak, ez tunel kopurua.
- Neurtu benetako atzera-egite bat eta idatzi aplikazioak zer egiten duen.