Cloud VPN zahtijeva BGP: zašto drugi protokoli usmjeravanja ne rade

IPsec sigurnosna asocijacija je aktivna, brojači tunela se kreću, a promet prema cloud prefiksu nestaje. Operater zatim pokušava omogućiti OSPF na usmjerivaču korisnika, očekujući da će se susjed uspostaviti, i ništa se ne događa. Tunel nikada nije bio dio koji nedostaje: upravljani cloud VPN izlaže definirani ugovor o usmjeravanju, a na velikim platformama taj ugovor je BGP. Dok ne postoji sesija i prefiks ne bude prihvaćen, tunel je samo šifrirana staza bez odredišta iza sebe.

Tunel je aktivan, a ruta nedostaje

Završetak faze 1 i faze 2 dokazuje da se strane slažu o zaštiti, a ne da bilo koja strana zna kamo poslati promet. To su odvojena stanja s odvojenim načinima kvara.

Postavite tri pitanja po redu: je li prefiks objavljen, je li ga susjed prihvatio i je li instaliran za prosljeđivanje? Prefiks koji je objavljen i filtriran problem je politike. Prefiks koji nikada nije objavljen problem je sesije ili konfiguracije. Prefiks koji je prihvaćen ali nije instaliran problem je odabira rute, i svaki odgovor upućuje na drugi dio konfiguracije.

Što vam pružatelj zapravo daje

Upravljani VPN gateway nije neograničen usmjerivač. Pružatelj vam daje gateway s podržanim adresama susjeda, postavkom autonomnog sustava, ograničenjima prefiksa i definiranim ponašanjem pri kvaru. Ta površina je proizvod.

Google Cloud dokumentira dinamičko BGP usmjeravanje za HA VPN, pri čemu Cloud Router uči rute susjeda i dostavlja podobne prilagođene dinamičke rute u VPC. AWS Site-to-Site VPN dokumentira izbor između statičkog i dinamičkog usmjeravanja i opisuje BGP provjere živosti kao korisne za prebacivanje tunela, uz podršku i za zdravstvene provjere na uređajima bez BGP-a. Ponašanje jedne platforme ne treba izvoditi iz naziva proizvoda druge.

Praktična posljedica je da prvo odaberete upravljani način, a zatim čitate podržane parametre. Dizajn koji pretpostavlja tip susjedstva koji usluga ne nudi nije konfiguracijski problem koji se rješava na usmjerivaču korisnika.

Zaštita tunela i dostupnost odvojeni su poslovi

IPsec štiti promet odabran za tunel. BGP daje informacije o dostupnosti koje prefiks čine podobnim. Ispravan tunel ne dokazuje da je očekivani prefiks objavljen, prihvaćen ili instaliran.

Zamislite podružnicu koja objavljuje 10.42.0.0/16 kroz dva podobna puta tunela. Uklonite jedan ispravan put i odabir rute može se promijeniti bez toga da itko uređuje rutu svakog radnog opterećenja. Otkrivanje, odabir rute i oporavak aplikacije nisu trenutni i nisu identični među implementacijama, pa test prebacivanja mora promatrati cijeli slijed, a ne prvi paket koji prođe.

Kada je cloud prefiks nedostupan, provjerite stanje sesije i naučene rute prije nego dirate kriptografiju. Aktivna SA bez rute iza sebe najčešći je oblik ovog simptoma.

Gdje se ruše pretpostavke o OSPF-u

OSPF, IS-IS ili drugi protokol unutar IPsec tunela potpuno je moguć na samoupravljanom uređaju, gdje posjedujete oba kraja i dizajn prosljeđivanja. Ta činjenica ne govori ništa o upravljanoj usluzi koja nudi samo BGP kao način dinamičkog usmjeravanja.

Ako predloženi dizajn zahtijeva susjedstvo koje usluga ne podržava, svjesno promijenite arhitekturu. Opcije uključuju samoupravljani uređaj u VPC-u, statičko usmjeravanje gdje ga usluga podržava ili drugi proizvod za povezivanje. Konfiguriranje protokola samo na usmjerivaču korisnika ne može dodati susjeda na strani cloudu koji ne postoji i neće učiniti da se prefiks pojavi.

Ne prenosite odgovor jednog dobavljača na gateway drugog. Iste riječi, poput dinamičkog usmjeravanja ili prebacivanja tunela, mogu opisivati različite mehanizme i različita ograničenja.

Pročitajte zahtjev usluge, zatim projektirajte

Prije prve linije konfiguracije zapišite adrese susjeda, brojeve autonomnih sustava, prefikse koje ćete objavljivati i prihvaćati, ograničenja ruta i očekivano ponašanje kada tunel zakaže. Tih pet stavki ugovor je prema kojem projektirate.

Zatim provjerite istim redom: sesija uspostavljena, prefiks primljen, ruta prisutna u VPC tablici ruta i stvarni tok prema adresi usluge. Ponovite nakon prisilnog prebacivanja, jer sesija koja se ponovno uspostavi može se vratiti s drugim skupom ruta. Ako dizajn ovisi o konvergenciji ispod sekunde, izmjerite je umjesto da je pretpostavljate.

Držite ugovor o usluzi uz zapis o promjeni. Kada kasnije netko pita zašto tunel ne može pokretati OSPF, odgovor je granica proizvoda, a ne ograničenje protokola, i zapis bi to trebao reći.