L3VPN primopredaja: privatne rute, podrazumijevana ruta ili puna tablica?

Vaš krug radi, VRF je konfiguriran, a pružatelj usluga postavlja kratko pitanje koje određuje ostatak dizajna: što treba primiti korisnički rub? Tri su odgovora uobičajena i nijedan ne proizlazi iz činjenice da postoji snop oznaka. To su odluke o usluzi: gdje promet napušta podružnicu.

Prolazak kroz primopredaju po redu najjeftiniji je način da se to učini ispravno. Počinjete od onoga što se događa s prometom koji se ni s čim ne podudara, zatim zapisujete privatne prefikse i njihovo ponašanje pri kvaru, a tek onda govorite o tome koliki tok ste spremni nositi.

Počnite s prometom koji nitko nije planirao

Postavite jedno pitanje prije nego što se pojavi bilo koji popis prefiksa: kada paket ne odgovara nijednoj privatnoj ruti, kamo treba ići? Podružnica s vlastitim internetskim krugom obično drži lokalnu podrazumijevanu rutu, pa obični web promet izlazi kroz lokalni vatrozid i nikada ne dodiruje pružatelja usluga. U tom dizajnu VPN nosi samo udaljene privatne lokacije, a specifičniji prefiksi obavljaju odabir.

Podružnica koja treba koristiti središnji izlaz je suprotan slučaj. Ondje podrazumijevana ruta pokazuje u uslugu, a pružatelj usluga ili središnja lokacija posjeduje prosljeđivanje, povratno usmjeravanje i svako prevođenje. Reći "podrazumijevano na VPN" bez tog vlasnika daje podružnicu koja razrješava imena i ne dolazi ni do čega.

Dva se dizajna razlikuju po tome kako izgleda kvar usmjeravanja, i zato je nagađanje skupo. Uz lokalnu podrazumijevanu rutu, izgubljena privatna ruta šalje taj promet na internet, gdje ga vatrozid odbacuje ili, još gore, odgovara nešto što niste namjeravali. Uz središnju podrazumijevanu rutu, isti gubitak potpuno uklanja internetski pristup i zahtjev stiže kao "cijela podružnica je pala". Nijedan kvar sam po sebi nije pogrešan, ali samo jedan odgovara usluzi koju ste prodali, a sama BGP konfiguracija neće vam reći koji ste izgradili.

Zapišite privatne prefikse zajedno sa slučajem kvara

Navedite prefikse do kojih podružnica mora doći i zabilježite koji su sažeti. Agregat koji je jedan bit preširok uvlači nepoznate destinacije u VPN, što je u redu samo ako daleka strana njima zaista upravlja i prosljeđuje ih.

Zatim opišite namjeravano ponašanje kada privatna usluga zakaže. Zadržana ruta za odbacivanje drži promet izvan neovlaštene putanje i daje čist, očekivan prekid. Plutajuća podrazumijevana ruta može sačuvati dostupnost prelaskom na rezervnu putanju, ali samo ako rezervna putanja ima ovlaštenje nositi taj promet.

Držite dostupnost i dopušteni povratak kao dva odvojena zahtjeva u dokumentu primopredaje. Timovi koji ih spoje na kraju raspravljaju o tome je li podružnica trebala pasti, umjesto da provjere je li dogovorena politika primijenjena.

Provjerite što je CE zaista instalirao

Namjera konfiguracije i stanje prosljeđivanja razilaze se dovoljno često da provjera pripada primopredaji, a ne pregledu incidenta. Na IOS-XE korisničkom rubu tri naredbe ispod odgovaraju na tri različita pitanja: što je ponuđeno, što je prihvaćeno i što se zaista koristi.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Pokrenite sve tri na dan primopredaje, a ne mjesec dana kasnije, dok se još netko sjeća što je dogovoreno. Prvi izlaz zavisi od soft-reconfiguration inbound ili od spremljenog osvježavanja ruta; bez ijednog od toga CE vam ne može pokazati što je odbio. Drugi prikazuje prihvaćene i najbolje putanje nakon politike. Treći vam kaže kamo podrazumijevana ruta zaista ide, a to je najkorisniji red u cijeloj primopredaji.

Pokrenite iste provjere na drugom CE ako lokacija ima dva priključka. Asimetrično prihvaćanje između dvaju rubova čest je uzrok "radi s jednog poslužitelja, a s drugog ne", i nevidljivo je u razlici konfiguracije koja izgleda simetrično.

Kvalificirajte veći tok umjesto da ga pretpostavljate

Ponekad korisnik zaista treba informacije o internetskim putanjama unutar VRF-a, za usmjeravanje po politici ili za središnji izlaz koji usmjerava po prefiksu. To je zahtjev koji treba navesti, ograničiti i naplatiti, a ne skrivena podrazumijevana ruta. Dolazi s memorijom za RIB i FIB, procesorom za ažuriranja, održavanjem filtara i vlasnikom rezultirajuće tablice.

Argumenti o kapacitetu griješe u oba smjera. Puna tablica nije zabranjena unutar VRF-a, a nije ni besplatna. Isto tako, današnji trošak ne možete izvesti iz starog broja ruta, a manja dodjela oznaka ne uklanja trošak čuvanja ruta.

Specifikacija BGP/MPLS IP VPN razmatra nekoliko rasporeda internetskog pristupa uz samu VPN uslugu i ne proglašava punu tablicu ili podrazumijevanu rutu obveznom za svakog korisnika; to je odjeljak koji vrijedi pokazati kada se pojavi tvrdnja o "standardnoj praksi": RFC 4364.

Zatvorite primopredaju tako što ćete uz dogovorenu izlaznu politiku zabilježiti objavljeni skup, primljeni skup i odabrani skup, i što ćete testirati jednu privatnu destinaciju, jednu namjeravanu javnu destinaciju i jedan slučaj gubitka rute. Potpisan zapis tih triju testova rješava više rasprava od bilo koje tvrdnje o tome što većina mreža radi.