BGP dan MPLS dalam VPN: bagian mana yang membawa paket

Menanyakan apakah VPN berjalan di atas BGP atau MPLS mencampur dua lapisan menjadi satu keputusan. BGP mendistribusikan keterjangkauan dan kebijakan. MPLS meneruskan paket menggunakan status label yang terpasang. Dalam VPN BGP/MPLS keduanya bekerja sama, dan menghapus salah satunya tidak menyisakan layanan sama sekali. Pemeriksaan di bawah ini membawa prefiks yang sama melewati kedua lapisan, sehingga Anda melihat persis di mana prefiks Anda berhenti.

Pemeriksaan 1: apakah prefiks berada di VRF yang tepat

Mulailah di tepi masuk penyedia dan tanyakan ke VRF mana prefiks pelanggan itu milik. Tumpang tindih alamat pelanggan normal dalam desain ini, jadi VRF adalah konteks yang menjaga dua pelanggan yang keduanya memakai 10.0.0.0/8 tetap terpisah.

Jika prefiks tidak ada di sana, tidak ada yang berikutnya bisa benar, dan pemeriksaan sisanya adalah usaha yang sia-sia.

Pemeriksaan 2: apakah rute VPN sudah didistribusikan dan diimpor

Penyedia mendistribusikan rute pelanggan dengan MP-BGP. Setiap rute membawa pembeda rute, yang membuat prefiks yang sebenarnya identik menjadi unik, dan target rute, yang menentukan VRF mana yang mengimpor rute tersebut. Rute yang datang tetapi tidak diimpor membuat VRF penerima kosong untuk prefiks itu. Periksa kebijakan impor sebelum menyalahkan ujung yang jauh.

Pemilihan rute juga penting: jalur pilihan melalui tepi penyedia lain menggantikan jalur yang Anda harapkan terlihat.

Pemeriksaan 3: apa yang dilakukan tepi masuk terhadap paket

Ketika paket datang, tepi masuk melakukan pencarian IP di dalam VRF lalu melampirkan label untuk jalur yang dipilih. Tumpukan memiliki dua peran logis meskipun tangkapan menunjukkan jumlah label yang berbeda.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Spesifikasi VPN BGP/MPLS menjelaskan susunan itu. Pelepasan label pada hop kedua dari terakhir dapat menghapus label transport sebelum hop terakhir, jadi tangkapan dua label yang diambil di tengah jaringan bukan bukti adanya gangguan.

Pemeriksaan 4: apakah jaringan dasar meneruskan label tersebut

Router transit melakukan switching berdasarkan entri label yang terpasang. Mereka tidak membaca pembaruan BGP untuk memutuskan apa yang terjadi pada paket individual Anda. Karena itulah rute pelanggan bisa ada sementara penerusan tetap gagal: hop berikutnya yang sudah diresolusi atau label transport dapat rusak secara mandiri. Mempelajari prefiks VPN tidak memperbaiki jaringan dasar di bawahnya.

Periksa pengikatan label menuju tepi keluar, bukan hanya keberadaan rute.

Pemeriksaan 5: aksi keluar dan jalur kembali

Di sisi keluar label layanan mengidentifikasi aksi penerusan, paket didekapsulasi, dan berlanjut menuju tujuan pelanggan. Dari sana jalur kembali juga harus bekerja, termasuk kebijakan akses sisi pelanggan pada antarmuka itu.

Keberhasilan satu arah biasanya berupa rute kembali atau filter, bukan tumpukan label.

Bacalah gejala Anda ke dalam salah satu pemeriksaan itu

Rute yang tidak ada di VRF penerima berarti pengumuman, kebijakan impor, atau pemilihan rute. Rute yang ada tetapi paket gagal berarti hop berikutnya yang sudah diresolusi, penerusan label, atau jalur kembali di sisi pelanggan. Paket yang datang ke tujuan yang salah biasanya berarti Anda memeriksa VRF yang salah. Tidak satu pun dari itu alasan untuk mengubah protokol routing.

Satu hal lagi perlu dikatakan terus terang: desain ini memisahkan pelanggan dan meneruskan trafik mereka secara efisien. Desain ini tidak mengenkripsi, dan memperlakukannya sebagai layanan kerahasiaan adalah kesalahan tersendiri.