Cloud-VPN hat BGP nedich: wêrom oare routingprotokollen misse

De IPsec-feiligensassosjaasje is op, de tunneltellers bewege, en ferkear nei it cloud-prefiks ferdwynt. De operator besiket dan OSPF op de klantrûter oan te setten, ferwachtet dat de buorman foarmet, en der bart neat. De tunnel wie nea it ûntbrekkende stik: in beheard cloud-VPN eksposearret in definiearre routingkontrakt, en op de grutte platfoarms is dat kontrakt BGP. Oant der in sesje bestiet en in prefiks akseptearre wurdt, is de tunnel gewoan in fersifere paad sûnder bestimmingen derachter.

De tunnel is op en de rûte ûntbrekt

It foltôgjen fan faze 1 en faze 2 bewiist dat de partijen it oer beskerming iens binne, net dat ien fan beide wit wêr't it ferkear hinne moat. Dat binne aparte tastânmasines mei aparte mislearringsmodi.

Stel trije fragen yn folchoarder: waard it prefiks oankundige, waard it akseptearre troch de buorman, en waard it ynstallearre foar trochstjoering? In prefiks dat oankundige en filtere is, is in beliedsprobleem. In prefiks dat nea oankundige is, is in sesje- of konfiguraasje probleem. In prefiks dat akseptearre mar net ynstallearre is, is in rûtekar probleem, en elk antwurd wiist nei in oar diel fan de konfiguraasje.

Wat de provider jo eins jout

In beheard VPN-gateway is gjin ûnbeheinde rûter. De provider jout jo in gateway mei stipe buormanadressen, in ynstelling foar autonoom systeem, prefikslimitearrings en in definiearre mislearringgedrach. Dat oerflak is it produkt.

Google Cloud dokumintearret dynamyske BGP-routing foar HA VPN, wêrby't Cloud Router buormanrûtes leart en geskikte oanpaste dynamyske rûtes oan it VPC leveret. AWS Site-to-Site VPN dokumintearret in kar tusken statyske en dynamyske routing, en beskriuwt BGP-libbenstests as nuttich foar tunnel-failover, wylst it ek sûnenskonstrolearje stipet foar apparaten sûnder BGP. It gedrach fan it iene platfoarm moat net ôflaat wurde fan de produktnamme fan it oare.

It praktyske gefolch is dat jo earst de behearde modus kieze en dan de stipe knoppen lêze. In ûntwerp dat in oanbuorringstype oannimt dat de tsjinst net biedt, is gjin konfiguraasjeprobleem dat op de klantrûter oplost wurde moat.

Tunnelbeskerming en berikberens binne aparte taken

IPsec beskermet it ferkear dat foar de tunnel keazen is. BGP leveret de berikberensynformaasje dy't in prefiks geskikt makket. In wurkjende tunnel bewiist net dat it ferwachte prefiks oankundige, akseptearre of ynstallearre is.

Stel jo in filiaal foar dy't 10.42.0.0/16 oankundiget fia twa geskikte tunnelpaden. Ferwiderje ien brûkber paad en de rûtekar kin feroarje sûnder dat immen de rûte fan elke wurklast bewurket. Detektearjen, rûtekar en applikaasjeherstel binne net daliks, en se binne net identyk oer ymplemintaasjes, dus de failover-test moat de hiele folchoarder observearje en net it earste pakket dat trochkomt.

As in cloud-prefiks net berikber is, kontrolearje dan de sesjestastân en de learde rûtes foardat jo kryptografy oanreitsje. In SA dy't op is sûnder rûte derachter is de meast foarkommende foarm fan dit symptoom.

Wêr't OSPF-oannames brekke

OSPF, IS-IS of in oar protokol yn in IPsec-tunnel is hielendal mooglik op in selsbeheard apparaat, wêr't jo beide einen en it trochstjoerûntwerp besitte. Dat feit seit neat oer in behearde tsjinst dy't allinnich BGP as dynamyske routingmodus biedt.

As in foarsteld ûntwerp in oanbuorring nedich hat dy't de tsjinst net stipet, feroarje dan de arsjitektuer bewust. Opsjes binne in selsbeheard apparaat yn it VPC, statyske routing wêr't de tsjinst it stipet, of in oar ferbiningprodukt. It protokol allinnich op de klantrûter konfigurearje kin gjin buorman oan de cloudkant tafoegje dy't net bestiet, en it sil it prefiks net ferskine litte.

Drage it antwurd fan ien leveransier net oer nei de gateway fan in oare. Deselde wurden, lykas dynamyske routing of tunnel-failover, kinne ferskillende meganismen en ferskillende grinzen beskriuwe.

Lês de tsjinstfersyk, ûntwerp dan

Skriuw foar de earste konfiguraasjeline de buormanadressen, de nûmers fan de autonome systemen, de prefiksen dy't jo oankundigje en akseptearje sille, de rûtegrinzen en it ferwachte gedrach as in tunnel mist, op. Dy fiif items binne it kontrakt dêr't jo tsjin ûntwerpe.

Kontrolearje dan yn deselde folchoarder: sesje fêstige, prefiks ûntfongen, rûte oanwêzich yn 'e rûtetabel fan it VPC, en in echte stream nei in tsjinstadres. Werhelje nei in twongen failover, want in sesje dy't him opnij fêstiget kin weromkomme mei in oare rûteset. As it ûntwerp ôfhinklik is fan konverginsje ûnder de sekonde, mjit it dan ynstee fan it oan te nimmen.

Hâld it tsjinstkontrakt by de feroaringsregistraasje. As immen letter freget wêrom't de tunnel gjin OSPF rinne kin, is it antwurd in produktgrins, net in protokolbeheining, en de registraasje soe dat sizze moatte.