BGP e MPLS nunha VPN: que parte transporta o paquete

Preguntar se unha VPN funciona con BGP ou con MPLS mestura dúas capas nunha soa decisión. BGP distribúe alcanzabilidade e política. MPLS reenvía paquetes usando o estado de etiquetas instalado. Nunha VPN BGP/MPLS as dúas cooperan, e retirar calquera delas deixa o servizo sen nada. As comprobacións seguintes levan o mesmo prefixo polas dúas capas, de xeito que vostede vexa exactamente onde se detivo o seu.

Comprobación 1: o prefixo está na VRF correcta

Comece no bordo de entrada do provedor e pregunte a que VRF pertence o prefixo do cliente. O solapamento de enderezos de clientes é normal neste deseño, así que a VRF é o contexto que mantén separados dous clientes que usan ambos 10.0.0.0/8.

Se o prefixo falta aí, nada posterior pode ser correcto e as comprobacións restantes son esforzo perdido.

Comprobación 2: distribuíuse e importouse a ruta de VPN

O provedor distribúe as rutas dos clientes con MP-BGP. Cada ruta leva un distinguidor de ruta, que fai únicos prefixos que doutro xeito serían idénticos, e obxectivos de ruta, que deciden que VRF importan a ruta. Unha ruta que chega pero non se importa deixa a VRF receptora baleira para ese prefixo. Revise a política de importación antes de culpar o extremo remoto.

A selección de ruta tamén importa: un camiño preferido por outro bordo do provedor substitúe o que vostede esperaba ver.

Comprobación 3: que fai o bordo de entrada co paquete

Cando chega un paquete, o bordo de entrada fai unha consulta IP na VRF e despois engade etiquetas para o camiño escollido. A pila ten dúas funcións lóxicas aínda que unha captura mostre un número distinto de etiquetas.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

A especificación de VPN BGP/MPLS describe esa disposición. A retirada da etiqueta no penúltimo salto pode eliminar a etiqueta de transporte antes do último salto, así que unha captura de dúas etiquetas tomada no medio da rede non é proba dunha avaría.

Comprobación 4: a rede subxacente reenvía esas etiquetas

Os encamiñadores de tránsito conmutan segundo as súas entradas de etiquetas instaladas. Non len actualizacións de BGP para decidir que ocorre co seu paquete individual. Por iso unha ruta de cliente pode estar presente mentres o reenvío segue fallando: o seguinte salto resolto ou a etiqueta de transporte poden romper de forma independente. Aprender un prefixo de VPN non repara a rede subxacente por baixo.

Comprobe a vinculación de etiquetas cara ao bordo de saída, non só a presenza da ruta.

Comprobación 5: a acción de saída e o camiño de volta

Na saída, a etiqueta de servizo identifica a acción de reenvío, o paquete desencapsúlase e avanza cara ao destino do cliente. Desde alí tamén debe funcionar o camiño de volta, incluída a política de acceso do lado do cliente nesa interface.

Un éxito nun só sentido adoita ser unha ruta de volta ou un filtro, non a pila de etiquetas.

Lea o seu síntoma dentro dunha desas comprobacións

Unha ruta ausente da VRF receptora significa anuncio, política de importación ou selección de ruta. Unha ruta presente con paquetes que fallan significa o seguinte salto resolto, o reenvío de etiquetas ou o camiño de volta do lado do cliente. Os paquetes que chegan ao destino equivocado adoitan significar que está a inspeccionar a VRF equivocada. Nada disto é motivo para cambiar o protocolo de encamiñamento.

Unha cousa máis que convén dicir sen rodeos: este deseño separa os clientes e reenvía o seu tráfico de forma eficiente. Non cifra, e tratalo como un servizo de confidencialidade é un erro aparte.