BGP et MPLS dans un VPN : quelle partie transporte le paquet

Demander si un VPN repose sur BGP ou sur MPLS mélange deux couches en une seule décision. BGP distribue la joignabilité et la politique. MPLS achemine les paquets grâce à l'état d'étiquettes installé. Dans un VPN BGP/MPLS, les deux coopèrent, et retirer l'un ou l'autre ne laisse aucun service du tout. Les vérifications ci-dessous font passer le même préfixe par les deux couches, afin que vous voyiez exactement où le vôtre s'est arrêté.

Vérification 1 : le préfixe est-il dans la bonne VRF

Commencez au bord d'entrée du fournisseur et demandez à quelle VRF appartient le préfixe du client. Le chevauchement des adresses clients est normal dans cette conception, donc la VRF est le contexte qui maintient séparés deux clients utilisant tous deux 10.0.0.0/8.

Si le préfixe y manque, rien de ce qui suit ne peut être correct, et les vérifications restantes sont un effort perdu.

Vérification 2 : la route VPN a-t-elle été distribuée et importée

Le fournisseur distribue les routes des clients avec MP-BGP. Chaque route porte un distinguishateur de route, qui rend uniques des préfixes autrement identiques, et des cibles de route, qui décident quelles VRF importent la route. Une route qui arrive mais n'est pas importée laisse la VRF réceptrice vide pour ce préfixe. Vérifiez la politique d'importation avant de blâmer l'extrémité distante.

La sélection de route compte aussi : un chemin préféré par un autre bord du fournisseur remplace celui que vous vous attendiez à voir.

Vérification 3 : que fait le bord d'entrée du paquet

Quand un paquet arrive, le bord d'entrée effectue une recherche IP dans la VRF puis attache des étiquettes pour le chemin choisi. La pile a deux rôles logiques même lorsqu'une capture montre un nombre différent d'étiquettes.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

La spécification des VPN BGP/MPLS décrit cette disposition. Le retrait de l'étiquette au pénultième saut peut supprimer l'étiquette de transport avant le dernier saut, donc une capture à deux étiquettes prise au milieu du réseau n'est pas la preuve d'une panne.

Vérification 4 : le réseau sous-jacent achemine-t-il ces étiquettes

Les routeurs de transit commutent selon leurs entrées d'étiquettes installées. Ils ne lisent pas les mises à jour BGP pour décider de ce qui arrive à votre paquet individuel. C'est pourquoi une route client peut être présente alors que l'acheminement échoue encore : le prochain saut résolu ou l'étiquette de transport peuvent se casser indépendamment. Apprendre un préfixe VPN ne répare pas le réseau sous-jacent en dessous.

Vérifiez la liaison d'étiquette vers le bord de sortie, pas seulement la présence de la route.

Vérification 5 : l'action de sortie et le chemin de retour

À la sortie, l'étiquette de service identifie l'action d'acheminement, le paquet est décapsulé et il progresse vers la destination du client. De là, le chemin de retour doit aussi fonctionner, y compris la politique d'accès côté client sur cette interface.

Un succès dans un seul sens est généralement une route de retour ou un filtre, pas la pile d'étiquettes.

Lisez votre symptôme dans l'une de ces vérifications

Une route absente de la VRF réceptrice signifie annonce, politique d'importation ou sélection de route. Une route présente avec des paquets qui échouent signifie le prochain saut résolu, l'acheminement des étiquettes ou le chemin de retour côté client. Des paquets arrivant à la mauvaise destination signifient généralement que vous inspectez la mauvaise VRF. Rien de tout cela n'est une raison de changer le protocole de routage.

Une chose encore mérite d'être dite franchement : cette conception sépare les clients et achemine leur trafic efficacement. Elle ne chiffre pas, et la traiter comme un service de confidentialité est une erreur distincte.