VPN をまたぐ OSPF ルートタイプ：常に外部とは限らない

顧客プレフィックスは BGP VPN ルートとしてプロバイダーのクラウドを横断し、OSPF の外部ルートのように見えて遠端サイトに到着しますが、これは多くのエンジニアが予想することであり、唯一の可能な結果ではありません。遠端の CE が何を見るかは、プレフィックスがどの OSPF ドメインから来たかと元のルートタイプによって決まり、そのどちらも VPN ルートとともに運ばれます。再配布されたすべてのプレフィックスがタイプ 5 になると仮定すると、機能しない優先度の変更につながります。最初に比較すべきはドメイン識別子であり、管理距離ではありません。

PE-CE モデルは、受信側 PE が OSPF 広告を捏造するのではなく再構築できるだけのコンテキストを運びます。

ルートとともに運ばれるもの

RFC 4577 は、VPN ルートに付随する OSPF 属性としてドメイン識別子、メトリック、そして発信サイトのルートタイプを定義しています。受信側 PE はこれらを使って、対象となるプレフィックスがローカルの OSPF プロセスにどう見えるべきかを決めます。これらの属性がなければ、遠端の PE は外部再配布以外に何の根拠も持てません。だからこそ、BGP が途中で運んだとしても、ルートはエリア間 LSA として到着することがあります。

エリアの種類も重要です。スタブまたは NSSA エリアは入れる LSA を制限するため、同じ VPN ルートでも受信側 OSPF インスタンスの場所によって提示のされ方が変わります。設定されたエクスポートポリシーが既定の提示を上書きすることもあり、これは副作用ではなく意図的な選択です。

同じドメイン、異なる提示

同じドメインからのエリア内またはエリア間ルートは、通常はエリア間ルート、つまりタイプ 3 の LSA として遠端サイトに到着します。別ドメインのプレフィックス、OSPF を話したことのない起点、あるいは当初から外部だった OSPF 広告は代わりに外部の規則に従い、そこにタイプ 5 とその NSSA 相当が現れます。どちらの動作も正しく、入力が異なるだけです。優先度の値に触れる前に、ドメイン識別子と広告された属性を比較してください。

管理距離は単一のルーター上で情報源を選びます。LSA タイプを書き換えたり、欠けているドメイン関係を作り出したりはしません。

シャムリンクが正解となる場合

同じエリア内の二つのサイトが直接のバックドアリンクで結ばれている状況を想像してください。OSPF は、設定されたコストによってプロバイダー経由の経路が魅力的になっても、プロバイダーが提供するエリア間経路ではなくそのエリア内経路を保持します。シャムリンクは VPN をまたぐエリア内関係を表し、コストが判断に参加できるようにします。これはその特定の経路選択の問題のために存在し、同じドメインのすべてのルートを内部に見せるためのものではありません。

シャムリンクには到達可能な端点と両方の PE での相互設定が必要です。片側だけで設定すると決して形成されない関係が生まれ、ルーティングテーブルは以前の優先度を保つため、機能が何もしていないように見えます。

ループ保護を壊さない

PE-CE モデルは配布するルートに DN ビットを設定し、プレフィックスが別の CE を通って戻り二度目の再配布を受けることを防ぎます。その保護が、OSPF ドメインを共有するサイト間でプレフィックスがループするのを防いでいます。ルートを内部に見せるためにこれを外したり無視したりすると、まさに防ぐために設計されたループを作りかねません。プレフィックスがおかしいときは、DN ビットを障害物ではなく情報として扱ってください。

同じ注意はコミュニティを剥がす再配布フィルターやルートマップにも当てはまります。どれも遠端が必要とするコンテキストを削り、結果として得られる広告は誤りでありながらもっともらしく見えます。一度に一つの属性だけを変え、遠端の CE が実際に何をインストールするかを確認してください。

そして遠端サイトから、LSA タイプ、広告ルーター、そして選んだ経路を検証します。その証拠がチケットの問いに答えます。