L3VPN-oerdracht: privee-rûtes, in standertrûte of in folsleine tabel?

Dyn circuit is online, de VRF is konfigurearre, en de provider stelt in koarte fraach dy’t de rest fan it ûntwerp beslist: wat moat de klantrâne ûntfange? Trije antwurden binne gewoan, en net ien folget út it feit dat der in labelstapel bestiet. It binne tsjinstbeslissingen oer wêr’t ferkear de filiaal ferlit.

De oerdracht yn folchoarder trochrinne is de bêste koarte wei om dit goed te dwaan. Do begjinst mei wat der bart mei ferkear dat nearne op past, skriuwst dan de privee-prefiksen en har flatergedrach op, en praatst pas dêrnei oer hoe grut in feed do bereid bist te dragen.

Begjin mei it ferkear dat nimmen pland hie

Stel ien fraach foardat der in prefikselist ferskynt: as in pakket op gjin inkelde privee-rûte past, wêr moat it dan hinne? In filiaal mei in eigen internetcircuit hâldt meast in lokale standertrûte, sadat gewoan webferkear fia de lokale firewall fuortgiet en de provider nea rekket. Yn dat ûntwerp draacht de VPN allinne de fiere privee-lokaasjes, en de mear spesifike prefiksen dogge de seleksje.

In filiaal dat in sintrale útgong brûke moat, is it tsjinoerstelde gefal. Dêr wiist de standertrûte yn de tsjinst, en de provider of it sintrale plak hat it trochstjoeren, de weromrûte en alle oersetting. "Standert nei de VPN" sizze sûnder dy eigner jout in filiaal dat nammen oplost en nearne komt.

De beide ûntwerpen ferskille yn hoe’t in rûteflater der útsjocht, en dêrom is rieden djoer. Mei in lokale standertrûte stjoert in ferlern privee-rûte dat ferkear nei it internet, wêr’t de firewall it fuortsmyt of, slimmer, eat antwurdet datst net bedoeld hast. Mei in sintrale standertrûte nimt deselde ferlies de internettoegong hielendal fuort en komt it ticket binnen as "de hiele filiaal leit der út". Gjin fan beide flaters is op himsels ferkeard, mar allinne ien past by de tsjinst dy’tst ferkocht hast, en in BGP-konfiguraasje allinne sil dy net sizze hokkerst boud hast.

Skriuw de privee-prefiksen op mei har flatergefal

List de prefiksen op dêr’t de filiaal by komme moat en notearje hokker gearfette binne. In aggregaat dat ien bit te breed is, lûkt ûnbekende bestimmingen yn de VPN, en dat is allinne goed as de fiere kant se echt hat en trochstjoert.

Beskriuw dan it bedoelde gedrach as de privee-tsjinst útfaalt. In oanhâlden wiersmyt-rûte hâldt ferkear fan in net-goedkarde paad ôf en jout in skjin, ferwachte ûnderbrekking. In driuwende standertrûte kin beskikberens behâlde troch nei in reservpaad te ferskowen, mar allinne as it reservpaad tastien is dat ferkear te dragen.

Hâld beskikberens en tastien weromfalle as twa aparte easken yn it oerdrachtdokumint. Teams dy’t se gearfoegje, bedarje yn in diskusje oer de fraach oft de filiaal útfaalle moatten hie, ynstee fan te kontrolearjen oft it ôfsprutsen belied útfierd is.

Kontrolearje wat de CE echt ynstallearre hat

Konfiguraasjebedoeling en trochstjoerstatus ferskille faak genôch om de kontrôle yn de oerdracht te pleatsen, net yn de ynsidintbesprek. Op in IOS-XE-klantrâne beantwurdzje de trije opdrachten hjirûnder trije ferskillende fragen: wat oanbean is, wat akseptearre is en wat echt brûkt wurdt.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Rin alle trije op de dei fan de oerdracht, net in moanne letter, wylst immen noch wit wat ôfpraat is. De earste útfier hinget ôf fan soft-reconfiguration inbound of fan in bewarre rûteferfarsking; sûnder ien fan beide kin de CE dy net sjen litte wat er wegere hat. De twadde lit akseptearre en bêste paden sjen nei belied. De tredde fertelt dy wêr’t de standertrûte echt hinne giet, en dat is de nuttichste rigel yn de hiele oerdracht.

Rin deselde kontrôles op in twadde CE as it plak twa oanslutings hat. Asymmetryske akseptaasje tusken twa rânen is in gewoane oarsaak fan "it wurket fan de iene server en net fan de oare", en it is ûnsichtber yn in konfiguraasjeferskil dat symmetrysk liket.

Kwalifisearje in gruttere feed ynstee fan ien oan te nimmen

Somtiden hat de klant echt ynternetrûte-ynformaasje nedich binnen de VRF, foar beliedsrouting of foar in sintrale útgong dy’t op prefiks stjoert. Dat is in eask om te neamen, te begrinzjen en te priizgjen, gjin ferburgen standert. Der komme ûnthâld foar de RIB en FIB, prosessorkrêft foar bywurkingen, filterûnderhâld en in eigner foar de resultearjende tabel by.

Kapasiteitsarguminten geane yn beide rjochtingen mis. In folsleine tabel is net ferbean binnen in VRF, en hy is ek net fergees. Likegoed kinst de hjoeddeiske kosten net ôfliede út in âld rûtetal, en in lytsere labeltawizing hellet de kosten fan it bewarjen fan rûtes net fuort.

De spesifikaasje BGP/MPLS IP VPN besprekt ferskate ynternet-toegongsregelingen njonken de VPN-tsjinst sels, en ferklearret in folsleine tabel noch in standert net ferplicht foar elke klant, en dat is de seksje dy’t it wurdich is om op te wizen as der in bewearing oer "standertpraktyk" opkomt: RFC 4364.

Slút de oerdracht ôf troch it oankundige set, it ûntfongen set en it keazen set neist it ôfsprutsen útgongsbelied fêst te lizzen, en troch ien privee-bestimming, ien bedoelde iepenbiere bestimming en ien rûteferliesgefal te testen. In ûndertekene ferslach fan dy trije tests beslist mear diskusjes as hokker bewearing ek oer wat de measte netwurken dogge.