क्लाउड VPN को BGP चाहिए: दूसरे रूटिंग प्रोटोकॉल क्यों विफल होते हैं

IPsec सुरक्षा सहयोग चालू है, टनल के काउंटर चल रहे हैं, और क्लाउड प्रीफ़िक्स की ओर ट्रैफ़िक गायब हो जाता है। फिर ऑपरेटर ग्राहक राउटर पर OSPF सक्षम करने की कोशिश करता है, उम्मीद करता है कि पड़ोसी बनेगा, और कुछ नहीं होता। टनल कभी भी वह गायब हिस्सा नहीं था: प्रबंधित क्लाउड VPN एक परिभाषित रूटिंग अनुबंध देता है, और बड़े प्लेटफ़ॉर्म पर वह अनुबंध BGP है। जब तक सत्र नहीं बनता और प्रीफ़िक्स स्वीकार नहीं होता, टनल केवल एक एन्क्रिप्टेड मार्ग है जिसके पीछे कोई गंतव्य नहीं है।

टनल चालू है और रास्ता गायब है

चरण 1 और चरण 2 पूरा होना साबित करता है कि दोनों पक्ष सुरक्षा पर सहमत हैं, यह नहीं कि कोई पक्ष जानता है कि ट्रैफ़िक कहाँ भेजना है। ये अलग विफलता विधियों वाली अलग स्टेट मशीनें हैं।

क्रम में तीन प्रश्न पूछें: प्रीफ़िक्स की घोषणा हुई थी, पड़ोसी ने उसे स्वीकार किया था, और क्या उसे फ़ॉरवर्डिंग के लिए इंस्टॉल किया गया था? जो प्रीफ़िक्स घोषित होकर फ़िल्टर हो गया वह नीति समस्या है। जो प्रीफ़िक्स कभी घोषित नहीं हुआ वह सत्र या कॉन्फ़िगरेशन समस्या है। जो प्रीफ़िक्स स्वीकार हुआ पर इंस्टॉल नहीं हुआ वह रूट चयन की समस्या है, और हर उत्तर कॉन्फ़िगरेशन के अलग हिस्से की ओर इशारा करता है।

प्रदाता वास्तव में आपको क्या देता है

प्रबंधित VPN गेटवे असीमित राउटर नहीं है। प्रदाता आपको समर्थित पड़ोसी पतों, स्वायत्त प्रणाली सेटिंग, प्रीफ़िक्स सीमाओं और परिभाषित विफलता व्यवहार वाला गेटवे देता है। वही सतह उत्पाद है।

Google Cloud HA VPN के लिए गतिशील BGP रूटिंग का दस्तावेज़ीकरण करता है, जिसमें Cloud Router पड़ोसी मार्ग सीखता है और VPC को पात्र कस्टम गतिशील मार्ग देता है। AWS Site-to-Site VPN स्थिर और गतिशील रूटिंग के बीच विकल्प का दस्तावेज़ीकरण करता है, और BGP लाइवनेस जाँच को टनल फ़ेलओवर के लिए उपयोगी बताता है, साथ ही BGP रहित उपकरणों के लिए स्वास्थ्य जाँच का भी समर्थन करता है। किसी भी प्लेटफ़ॉर्म के व्यवहार का अनुमान दूसरे के उत्पाद नाम से नहीं लगाना चाहिए।

व्यावहारिक परिणाम यह है कि आप पहले प्रबंधित मोड चुनते हैं, फिर समर्थित पैरामीटर पढ़ते हैं। जो डिज़ाइन ऐसी सन्निकटता मान लेता है जो सेवा प्रदान नहीं करती, वह ग्राहक राउटर पर हल करने वाली कॉन्फ़िगरेशन समस्या नहीं है।

टनल सुरक्षा और पहुँच अलग कार्य हैं

IPsec उस ट्रैफ़िक की रक्षा करता है जो टनल के लिए चुना गया है। BGP वह पहुँच जानकारी देता है जो प्रीफ़िक्स को पात्र बनाती है। काम करती टनल यह साबित नहीं करती कि अपेक्षित प्रीफ़िक्स घोषित, स्वीकृत या इंस्टॉल हुआ।

ऐसी शाखा की कल्पना करें जो दो पात्र टनल मार्गों से 10.42.0.0/16 की घोषणा करती है। एक उपयोगी मार्ग हटा दें और हर वर्कलोड का मार्ग संपादित किए बिना रूट चयन बदल सकता है। पहचान, रूट चयन और एप्लिकेशन रिकवरी तात्कालिक नहीं हैं, और परिनियोजनों में एक जैसी नहीं हैं, इसलिए फ़ेलओवर परीक्षण को पूरा क्रम देखना चाहिए, पहला पैकेट नहीं जो निकल जाए।

जब क्लाउड प्रीफ़िक्स पहुँच से बाहर हो, क्रिप्टो छूने से पहले सत्र स्थिति और सीखे गए मार्ग जाँचें। पीछे मार्ग के बिना चालू SA इस लक्षण का सबसे सामान्य रूप है।

OSPF की धारणाएँ कहाँ टूटती हैं

IPsec टनल के अंदर OSPF, IS-IS या कोई अन्य प्रोटोकॉल स्व-प्रबंधित उपकरण पर पूरी तरह संभव है, जहाँ दोनों सिरे और फ़ॉरवर्डिंग डिज़ाइन आपके हैं। यह तथ्य ऐसी प्रबंधित सेवा के बारे में कुछ नहीं कहता जो गतिशील रूटिंग मोड के रूप में केवल BGP देती है।

यदि प्रस्तावित डिज़ाइन को ऐसी सन्निकटता चाहिए जिसे सेवा समर्थन नहीं देती, तो वास्तुकला जानबूझकर बदलें। विकल्पों में VPC में स्व-प्रबंधित उपकरण, जहाँ सेवा समर्थन देती है वहाँ स्थिर रूटिंग, या भिन्न कनेक्टिविटी उत्पाद शामिल हैं। केवल ग्राहक राउटर पर प्रोटोकॉल कॉन्फ़िगर करना क्लाउड पक्ष का ऐसा पड़ोसी नहीं जोड़ सकता जो मौजूद नहीं है, और वह प्रीफ़िक्स को दिखाएगा नहीं।

एक विक्रेता का उत्तर दूसरे विक्रेता के गेटवे पर न ले जाएँ। वही शब्द, जैसे गतिशील रूटिंग या टनल फ़ेलओवर, भिन्न तंत्र और भिन्न सीमाएँ बता सकते हैं।

सेवा की आवश्यकता पढ़ें, फिर डिज़ाइन करें

पहली कॉन्फ़िगरेशन पंक्ति से पहले पड़ोसी पते, स्वायत्त प्रणाली संख्याएँ, वे प्रीफ़िक्स जिनकी आप घोषणा करेंगे और स्वीकार करेंगे, मार्ग सीमाएँ और टनल विफल होने पर अपेक्षित व्यवहार लिख लें। वही पाँच मदें अनुबंध हैं जिनके विरुद्ध आप डिज़ाइन कर रहे हैं।

फिर उसी क्रम में जाँचें: सत्र स्थापित, प्रीफ़िक्स प्राप्त, VPC रूट तालिका में मार्ग मौजूद, और सेवा पते तक वास्तविक प्रवाह। जबरन फ़ेलओवर के बाद दोहराएँ, क्योंकि फिर से स्थापित सत्र भिन्न मार्ग समुच्चय के साथ लौट सकता है। यदि डिज़ाइन सेकंड से कम अभिसरण पर निर्भर है, तो मानने के बजाय उसे मापें।

परिवर्तन रिकॉर्ड के साथ सेवा अनुबंध रखें। जब बाद में कोई पूछे कि टनल OSPF क्यों नहीं चला सकती, तो उत्तर प्रोटोकॉल सीमा नहीं, उत्पाद सीमा है, और रिकॉर्ड में यह लिखा होना चाहिए।