BGP e MPLS in una VPN: quale parte trasporta il pacchetto

Chiedersi se una VPN funzioni su BGP o su MPLS mescola due strati in un'unica decisione. BGP distribuisce raggiungibilità e politica. MPLS inoltra i pacchetti usando lo stato delle etichette installate. In una VPN BGP/MPLS i due collaborano e rimuovere uno dei due non lascia alcun servizio. I controlli seguenti fanno passare lo stesso prefisso attraverso entrambi gli strati, così vede esattamente dove si è fermato il suo.

Controllo 1: il prefisso è nella VRF giusta

Parta dal bordo di ingresso del provider e chieda a quale VRF appartiene il prefisso del cliente. La sovrapposizione degli indirizzi dei clienti è normale in questo progetto, quindi la VRF è il contesto che tiene separati due clienti che usano entrambi 10.0.0.0/8.

Se il prefisso manca lì, nulla di successivo può essere corretto e i controlli rimanenti sono sforzo sprecato.

Controllo 2: la rotta VPN è stata distribuita e importata

Il provider distribuisce le rotte dei clienti con MP-BGP. Ogni rotta porta un distinguitore di rotta, che rende unici prefissi altrimenti identici, e target di rotta, che decidono quali VRF importano la rotta. Una rotta che arriva ma non viene importata lascia la VRF ricevente vuota per quel prefisso. Controlli la politica di importazione prima di dare la colpa all'estremità remota.

Anche la selezione della rotta conta: un percorso preferito attraverso un altro bordo del provider sostituisce quello che si aspettava di vedere.

Controllo 3: cosa fa il bordo di ingresso con il pacchetto

Quando arriva un pacchetto, il bordo di ingresso esegue una ricerca IP nella VRF e poi allega le etichette per il percorso scelto. Lo stack ha due ruoli logici anche quando una cattura mostra un numero diverso di etichette.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

La specifica delle VPN BGP/MPLS descrive questa disposizione. La rimozione dell'etichetta al penultimo salto può eliminare l'etichetta di trasporto prima dell'ultimo salto, quindi una cattura con due etichette presa al centro della rete non è prova di un guasto.

Controllo 4: la rete sottostante inoltra quelle etichette

I router di transito commutano in base alle voci di etichetta installate. Non leggono gli aggiornamenti BGP per decidere cosa accade al suo singolo pacchetto. Per questo una rotta del cliente può essere presente mentre l'inoltro continua a fallire: il salto successivo risolto o l'etichetta di trasporto possono rompersi in modo indipendente. Imparare un prefisso VPN non ripara la rete sottostante al di sotto.

Controlli il binding dell'etichetta verso il bordo di uscita, non solo la presenza della rotta.

Controllo 5: l'azione di uscita e il percorso di ritorno

In uscita l'etichetta di servizio identifica l'azione di inoltro, il pacchetto viene decapsulato e procede verso la destinazione del cliente. Da lì deve funzionare anche il percorso di ritorno, compresa la politica di accesso lato cliente su quell'interfaccia.

Un successo in una sola direzione è di solito una rotta di ritorno o un filtro, non lo stack di etichette.

Legga il suo sintomo dentro uno di questi controlli

Una rotta assente dalla VRF ricevente significa annuncio, politica di importazione o selezione della rotta. Una rotta presente con pacchetti che falliscono significa salto successivo risolto, inoltro delle etichette o percorso di ritorno lato cliente. Pacchetti che arrivano alla destinazione sbagliata di solito significano che sta ispezionando la VRF sbagliata. Nessuna di queste cose è un motivo per cambiare il protocollo di routing.

Un'ultima cosa va detta chiaramente: questo progetto separa i clienti e inoltra il loro traffico in modo efficiente. Non cifra, e trattarlo come un servizio di riservatezza è un errore a parte.