Cén fáth nach rialaíonn BGP thar VPN do chonair sa tsraith íochtarach
Malartaíonn BGP thar VPN inrochtaineacht agus cuireann sé polasaí conaire i bhfeidhm, ach roghnaíonn an tsraith íochtarach an chonair sheachtrach fós. Cad a rialaíonn an seisiún i ndáiríre.
Déanann dhá shuíomh piarú BGP thar thollán IPsec, foghlaimíonn siad réimíreanna a chéile, agus athlipéadaítear an léaráid mar rialú conaire. Is ag an lipéad sin a thosaíonn an mhearbhall. Malartaíonn an seisiún inrochtaineacht agus cuireann sé polasaí i bhfeidhm, ach níl aon ghuth aige maidir le cé acu soláthraí, cábla nó ródaire a iompraíonn na paicéid chriptithe. Chonaic mé foireann ag atógáil tolláin a bhí ag obair mar go raibh siad ag súil go n-aistreodh athrú conaire BGP an trácht go conair snáithíne eile nach bhféadfadh an seisiún riamh tionchar a imirt uirthi.
Cad a cheapann daoine a cheannaíonn seisiún
Tagann an chuid is mó den ionchas ó chuma athraithe conaire i saotharlann. Fógraíonn tú réimír thar an tollán, suiteálann an taobh i bhfad é, agus bogann an trácht. Tarlaíonn an seicheamh céanna ar ródaire a bhfuil smachtíní innealtóireachta tráchta aige i ndáiríre, mar sin measctar an dá rud. Sa saotharlann roinneann an dá shuíomh nasc rochtana amháin de ghnáth, agus is ar an gcúis sin go díreach nach dtagann an difríocht chun solais riamh ansin.
Prótacal inrochtaineachta is ea BGP. Insíonn sé do phiara gur féidir leat paicéid a sheachadadh do réimír agus ligeann sé do gach taobh na tairiscintí a fhaigheann sé a rangú. Tá sé sin fíorúsáideach thar thollán: tagann réimíreanna agus imíonn siad de réir mar a thagann agus a imíonn suíomhanna, agus is féidir leat raon a dhiúltú gan conair statach a scríobh ar gach gléas imeallach. Rud nach ndéanann sé is ea ródairí soláthraí a chur faoi do smacht.
Iompraíonn an tsraith íochtarach an ceannteideal seachtrach. Seolann do chríochphointe tolláin paicéid chriptithe chuig seoladh piara, agus seolann an líonra idir an dá sheoladh sin ar aghaidh iad leis na conairí a shuiteáil a oibreoirí. Ní athraíonn aon rud sa seisiún BGP an cinneadh sin, mura gcuireann an soláthraí céanna seirbhís thacaithe ar fáil a dhéanann amhlaidh.
Cad a iompraíonn an seisiún i ndáiríre
Osclaíonn an cainteoir BGP nasc TCP chuig port 179 ar a phiara, ag baint úsáide as formáidí teachtaireachta agus tréithe conaire atá sainithe i RFC 4271. Nuair a bhíonn seoladh an phiara laistigh den tollán, caithfidh an tollán a bheith suas agus an seoladh sin inrochtana sula féidir leis an seisiún tosú fiú. Ní comharsa BGP é malartú IKE críochnaithe. Ní thugann cur i bhfeidhm IPsec bunaithe ar chonairí trácht ar aghaidh ach amháin nuair a bhíonn conair tolláin mheaitseálach ann, agus teastaíonn seoladh an phiara ón gceann bunaithe ar pholasaí laistigh den roghnóir cosanta. Má dhéantar é seo bunoscionn cruthaítear an riocht chlasaiceach ina bhfuil an tollán glas agus an seisiún ina luí díomhaoin.
Nuair a bhíonn an seisiún suas, socraíonn polasaí cad a thrasnaíonn é. Is iad liostaí réimíre, scagairí conaire AS, uasteorainn réimíre uasta agus cinneadh sainráite faoi chonairí réamhshocraithe an t-íosmhéid, agus cuirtear i bhfeidhm iad sa dá threo. Is féidir le piara a nglacann le gach a bhfaigheann sé conair réamhshocraithe a thabhairt duit a thagann in ionad rochtain áitiúil ar an idirlíon go ciúin. Teastaíonn liostaí ar leith ón dá threo, mar is cinntí éagsúla iad an méid a ghlacann tú ó phiara agus an méid a fhógraíonn tú dó.
router bgp 65010
neighbor 10.255.0.2 remote-as 65020
address-family ipv4 unicast
neighbor 10.255.0.2 prefix-list SITE-B-IN in
neighbor 10.255.0.2 prefix-list SITE-B-OUT out
neighbor 10.255.0.2 maximum-prefix 50
Ansin bíonn MTU ag baint. Laghdaíonn an t-imchlúdach an t-ualach inúsáidte, mar sin is féidir le nuashonrú mór seisiún a stopadh a bhféachann sé go hiomlán bunaithe: fanann an piara suas, ní thagann réimíreanna riamh, agus ní thiteann aon rud soiléir sa loga. Cuir srian ar TCP MSS ar chomhéadan an tolláin, nó socraigh MTU tolláin le spás don fhorchostas, sula gcuireann tú an locht ar na scagairí.
Cá dtéann na paicéid sheachtracha fós
Tagann paicéid chriptithe ó shuíomh amháin go dtí an ceann eile amach trí rud ar bith a roghnaíonn an ródaire áitiúil do sheoladh poiblí an phiara. Má cheannaíonn an dá shuíomh idirthuras ón soláthraí céanna, má thrasnaíonn siad an áis mheitreapholaiteach chéanna, nó má tá taobh amháin taobh thiar de NAT grád iompróra, ní thagann an tollán slán ó mhainneachtain soláthraí ach trí thimpiste. Ní insíonn comhaireamh deilbhíní tolláin in uirlis mhonatóireachta aon rud duit faoi sin.
Is imeachtaí ar leith freisin roghnú conaire agus suiteáil an aistrithe. Is féidir le réimír suí sa tábla BGP mar an ceann is fearr agus fós a bheith ar iarraidh ón tábla aistrithe, mar nach féidir an chéad chéim eile a réiteach nó go mbuaileann conair níos sonraí. Nuair a thuairiscíonn duine gur fhoghlaim BGP an réimír ach nach sreabhann an trácht, is é an cheist úsáideach an bhfuil sé suiteáilte agus cén chéad chéim eile a bhfuil sé ag díriú uirthi.
Is é an freagra macánta d'athbhreithniú dearaidh liosta de spleáchais chomhroinnte: ciorcad rochtana, soláthraí in aghaidh an tsrutha, áis, agus aon ghléas stáit ar an gconair fillte. Ní féidir le seisiún thar an tollán spleáchas a bhaint nach bhfuil sé suite os a chionn.
Trí chinneadh ar fiú iad a scaradh
Nuair a mheascann dearadh iad seo, téann gach comhrá faoi bhriseadh i gciorcail. Scar iad ar pháipéar ar dtús, ansin mapáil gach ceann chuig an ngléas a chuireann i bhfeidhm i ndáiríre é.
| Decision | Who controls it | Typical failure |
|---|---|---|
| Which prefixes may cross the relationship? | Both sides, through prefix and AS-path policy you configure deliberately | A default route accepted by mistake, or a vague aggregate |
| Which overlay next hop wins? | Local BGP selection plus next-hop resolution on your own routers | Prefix learned, never installed in the forwarding table |
| Where do the encrypted packets travel? | The underlay operators, unless a supported service adds real control | Path diversity that was never there |
Tá úinéir éagsúil ag gach ró. Is idirbheartaíocht an chéad cheann, is cumraíocht ar do ghléasanna an dara ceann, is líonra duine eile den chuid is mó an tríú ceann. Tá sé i bhfad níos éasca iarraidh athraithe a ainmníonn an ró a mbaineann sé léi a cheadú ná ceann a deir fadhb BGP.
Móid teipe ar fiú pleanáil ina gcomhair
Is é glacadh le conair achoimre piara an chréacht féin-infhulaingthe is coitianta. Fógraíonn duine comhiomlán gairid chun an malartú a shimpliú, glacann an taobh i bhfad leis, agus leanann trácht do raonta nach bhfuil taobh thiar den tollán an tollán agus faigheann sé bás. Scag ar na réimíreanna cruinne a bhfuiltear ag súil leo, nó bain úsáid as liosta réimíre leis na teorainneacha cearta, agus ná glac riamh le comhiomlán lom mar go bhfágann sé an seisiún slachtmhar.
Is é am an aistarraingthe an dara ceann. Braitheann braiteadh ar amadóirí coimeádta, ar BFD má chumasaigh tú é, ar bhraiteadh piara marbh an tolláin agus ar chomh tapa agus a stopann an taobh i bhfad ag fógairt. Is fadhb ar leith iad seisiúin atá ann cheana: is féidir le conair nua naisc nua a athbhunú agus seisiúin TCP bunaithe ag leanúint ar aghaidh ag úsáid seoltaí atá as dáta, agus is féidir le ballaí dóiteáin stáit nó NAT ar an gconair iontrálacha a choinneáil nach n-oireann a thuilleadh. Cuir téarnamh feidhmchláir sna critéir ghlactha in ionad glacadh leis go socraíonn athrú conaire gach rud.
Is é an tríú ceann neamhshiméadracht na conaire fillte. Is féidir le trácht teacht thar an tollán agus filleadh ar nasc soláthraí nár ceapadh riamh lena iompar, rud a fheictear mar fhuaim aon-treo, crannchuir lámh theipte nó balla dóiteáin a chaitheann freagraí amach. Seiceáil an dá threo ar leith.
Cad a scríobh sa chonradh, agus conas é a fhíorú
Iarr na réimíreanna ceadaithe i scríbhinn: cé atá údaraithe chun gach raon a thionscnamh, an bhfuil conair réamhshocraithe ceadaithe, agus cé na teaghlaigh seoladh a thacaíonn an tseirbhís tolláin leo. Rinne RFC 8212 polasaí iompórtála agus onnmhairithe sainráite mar ionchas do eBGP i gcur i bhfeidhm a leanann é, mar sin is fiú ceist a chur ar phiara atá fós ag brath ar iompar intuigthe glac-le-gach-rud.
Ansin fíoraigh ón ngléas seachas ón léaráid. Orduithe úsáideacha ar ródairí ar nós FRR:
show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16
Cuir dhá bhreathnóireacht leis nach féidir leis an tábla ródaithe a thabhairt duit. Gabh ar an gcomhéadan seachtrach chun a dhearbhú cén seoladh a dhíríonn na paicéid imchlúdaithe air i ndáiríre, mar shampla tcpdump -ni eth0 udp port 51820 do thollán WireGuard, nó scagaire ESP do IPsec. Ansin rianaigh i dtreo sheoladh poiblí an phiara agus cuir na céimeanna i gcomparáid le rian taobh istigh den tollán; má leanann an dá cheann an tslabhra soláthraí chéanna, tá do iomarcaíocht ina cónaí i bpolasaí ródaithe seachas sa líonra.
Ar deireadh, tástáil aistarraingt d'aon ghnó. Tarraing an tollán anuas le linn fuinneoga cothabhála, taifead cé chomh fada agus a fhanann an réimír suiteáilte, cad a tharlaíonn do sheisiúin atá ann cheana agus an dtiteann an taobh i bhfad ar chonair a nglacfá léi i ndáiríre. Deir an cleachtadh sin níos mó faoin dearadh ná aon léaráid.
Ní údarú é conair. Ní deir na réimíreanna a aontaíonn tú a mhalartú aon rud faoi cé na húsáidirí is féidir leo teacht ar cén tseirbhís taobh thiar den tollán, mar sin coinnigh fíordheimhniú, seirbhísí ceadaithe agus ballaí dóiteáin na n-óstach go cruinn san áit a raibh siad. Ní cead é piara inrochtana ach an oiread le haghaidh idirthurais neamhtheoranta ná chun seoltaí treallacha a thionscnamh, agus baineann an cineál údaráis sin leis an gconradh mar cheist tráchtála, ní le líne polasaí BGP.
- Ainmnigh na réimíreanna ar féidir le gach taobh iad a thionscnamh, agus iad siúd nár cheart dó glacadh leo riamh.
- Cuir srian ar MSS ar an tollán agus dearbhaigh go dtagann nuashonruithe móra i ndáiríre.
- Liostaigh na spleáchais chomhroinnte sa tsraith íochtarach, ní líon na dtollán.
- Tomhais aistarraingt fhíor agus tabhair faoi deara cad a dhéanann an feidhmchlár.