MPLSブランチルーティング：CEは何を、誰から学ぶのか

一方の拠点のホストがもう一方の拠点のサーバーへ接続を開くと、両拠点は同じ管理されたMPLSレイヤー3 VPNの背後にあります。ホストは自分のデフォルトゲートウェイだけを知っていてそれ以外は何も知りませんが、これは正しい姿です。重要なのは、ローカルのカスタマーエッジがパケットをプロバイダーエッジへ渡し、プロバイダーのVPNルーティング状態がそれを宛先プレフィックスを持つ拠点へ届けることです。

経路を一つのパケットでたどることが、どこが顧客の責任でどこがサービス側なのかを見る最短の方法です。

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

各ホップの仕事が終わる場所

CE-A には、遠隔LANへのルートをローカルのプロバイダー接続に向けて設定する必要があり、遠隔拠点のWANアドレスに向けてはいけません。その後プロバイダーはVPNルーティング状態を使ってパケットを自社コア経由で運び、CE-B がそれを宛先LANへ届けます。どの時点でも、ホストがラベルやVRF、相手側のインターネット回線を理解する必要はありません。

チケットで繰り返し現れる誤りは、拠点Aで拠点BのWANアドレスをネクストホップに設定してしまうことです。両拠点は同じサービスを購入しているので隣同士であるべきに思えますが、そうではありません。ネクストホップは実際に持っているルーティング設計を通じて到達できなければならず、遠隔のCEは通常、管理していない機器の先のはるか何ホップも向こうにあります。この前提で組んだスタティックルートは有効として表示されながら何にも解決されませんが、テーブル上は正しく見えるため、ルートが無いより悪い状態です。

RFC 4364 は、顧客エッジとプロバイダーエッジの間の交換と、プロバイダーによるVPNルートの配布を分けており、これがまさに本稿が扱う境界です。顧客の仕事は、自分のエッジに何を届けられるかを伝え、サービスが返してくる到達性を受け入れることです。

受け渡しで合意すべきこと

仕組みはプロバイダーと一緒に選び、プロバイダーの外側で決めないことです。スタティックルート、BGP、CEとPEの間のルーティングプロトコルの取り決めはいずれも正当で、OSPFにはこの受け渡しのためのMPLS VPNモデルが定義されています。どれも、指定されていないプロバイダーコアを越えて二つの遠隔顧客エッジ間にOSPF隣接を張る理由にはならず、それはプロバイダーが同意しておらず支えられない設計だからです。

新しいLANを稼働させる前に、プレフィックス、CE側のローカルな先のルート、プロバイダーが受け入れる広告、プロバイダーが返すルートの四つを書き出します。契約が課すフィルタリング、プレフィックス上限、サイト間の制限も加えます。健全な隣接は情報を交換する経路であり、特定のプレフィックスが受け入れられた証拠ではありませんが、セッションが上がったまま新しいサブネットがフィルターの中にあることもあります。

次に応答を追いかけます。拠点BにはソースLANへの戻りルートが必要で、受信側のホストには自分のゲートウェイと自分のサービス権限が必要です。CE-A に現れるルートは往復の半分を成立させるだけであり、その半分が、pingテストの片方向だけが健全に見えてアプリケーションが失敗し続ける理由です。

検収の前に両方の受け渡しを検証する

両方の顧客エッジでルーティング状態を集め、意図したLANプレフィックスがVPNに受け入れられたことをプロバイダーと確認し、そのうえで各方向に許可されたアプリケーションを一つずつ試験します。ルートテーブルだけではアプリケーションが動く証拠にならず、アプリケーション試験だけでは動かないときにどの制御プレーンが失敗したかは分かりません。

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

三つの出力を一緒に読みます。一つ目はエッジが何を信じているか、二つ目は何をどのピアから学んだか、三つ目は実際に何を転送するかです。それらが食い違うのは、多くの場合、広告の欠落ではなくポリシーや再帰の問題であり、プロバイダーに調査を依頼する前に解決する価値があります。これら三つの出力をキャリアとの通話に持っていくと、サポートエンジニアが尋ねるはずの質問のほとんどに答えられます。

サービスが提供しないものを知る

これはレイヤー3のルーティングアクセスです。 拠点間にブロードキャストを広げるレイヤー2回線ではありませんそのため、ディスカバリプロトコル、ブロードキャストに依存するアプリケーション、共有セグメントの前提は一緒に運ばれません。印刷、名前の参照、ローカルセグメントに依存するものには独自の設計が必要です。

VPNの分離は暗号化でもありません。ラベルスイッチングはプロバイダーネットワーク内で顧客を分けたままにしますが、契約が機密性を求める場合にペイロードを機密にするわけではありません。それが重要な場面では、アプリケーションかオーバーレイが提供する必要があります。

最後に、サービスモデルをサイトのルーティング設定のそばに書き留めておきます。次にサブネットを追加するエンジニアが読むべきは、どのプレフィックスが広告され、誰が受け入れ、期待される戻り経路は何か、そして BGP/MPLS IP VPN の仕様 がすべての背後にあるモデルの参照先である、という点です。