Бұлттық VPN-ге BGP қажет: басқа маршруттау протоколдары неге сәтсіз

IPsec қауіпсіздік ассоциациясы қосулы, туннель есептегіштері қозғалып жатыр, ал бұлттық префикске трафик жоғалады. Содан кейін оператор клиент маршрутизаторында OSPF-ті қосуға тырысады, көрші қалыптасады деп күтеді, бірақ ештеңе болмайды. Туннель ешқашан жетіспейтін бөлік болған емес: басқарылатын бұлттық VPN айқын маршруттау келісімін ұсынады, ал үлкен платформаларда бұл келісім — BGP. Сессия пайда болып, префикс қабылданғанша, туннель тек артында мақсаттары жоқ шифрланған жол.

Туннель қосулы, ал маршрут жоқ

1-ші және 2-ші фазаның аяқталуы тараптардың қорғаныс туралы келіскенін дәлелдейді, бірақ трафикті қайда жіберу керегін білетінін емес. Бұлар жеке істен шығу режимдері бар жеке күй машиналары.

Кезекпен үш сұрақ қойыңыз: префикс жарияланды ма, көрші оны қабылдады ма, және ол қайта бағыттауға орнатылды ма? Жарияланып, сүзілген префикс — саясат мәселесі. Ешқашан жарияланбаған префикс — сессия немесе конфигурация мәселесі. Қабылданып, бірақ орнатылмаған префикс — маршрут таңдау мәселесі, және әр жауап конфигурацияның басқа бөлігін нұсқайды.

Провайдер шын мәнінде не береді

Басқарылатын VPN шлюзі шексіз маршрутизатор емес. Провайдер сізге қолдау көрсетілетін көрші мекенжайлары, автономды жүйе параметрі, префикс шектеулері және айқын істен шығу тәртібі бар шлюз береді. Сол бет — өнім.

Google Cloud HA VPN үшін динамикалық BGP маршруттауын құжаттайды, онда Cloud Router көрші маршруттарын үйреніп, VPC-ге сай келетін теңшелдірілген динамикалық маршруттарды жеткізеді. AWS Site-to-Site VPN статикалық және динамикалық маршруттау арасындағы таңдауды құжаттайды және BGP тіршілік тексерулерін туннельді ауыстыру үшін пайдалы деп сипаттайды, сонымен қатар BGP жоқ құрылғылар үшін денсаулық тексерулерін қолдайды. Бір платформаның мінез-құлқын екіншісінің өнім атауынан шығаруға болмайды.

Практикалық салдар — сіз алдымен басқарылатын режимді таңдайсыз, содан кейін қолдау көрсетілетін параметрлерді оқисыз. Қызмет ұсынбайтын көршілестік түрін болжайтын жоба — клиент маршрутизаторында шешілетін конфигурация мәселесі емес.

Туннель қорғанысы мен қолжетімділік — бөлек жұмыстар

IPsec туннель үшін таңдалған трафикті қорғайды. BGP префиксті сай ететін қолжетімділік ақпаратын береді. Жұмыс істеп тұрған туннель күтілетін префикстің жарияланғанын, қабылданғанын немесе орнатылғанын дәлелдемейді.

Екі сай туннель жолы арқылы 10.42.0.0/16 жариялайтын филиалды елестетіңіз. Бір жарамды жолды алып тастаңыз, және әр жұмыс жүктемесінің маршрутын ешкім өңдемесе де маршрут таңдауы өзгеруі мүмкін. Анықтау, маршрут таңдау және қолданбаны қалпына келтіру лездік емес және орналастырулар бойынша бірдей емес, сондықтан ауыстыру сынағы өткен бірінші пакетті емес, бүкіл ретті бақылауы керек.

Бұлттық префикс қолжетімсіз болғанда, криптографияға тиіспес бұрын сессия күйі мен үйренген маршруттарды тексеріңіз. Артында маршруты жоқ қосулы SA — бұл симптомның ең көп тараған түрі.

OSPF болжамдары қайда бұзылады

IPsec туннелінің ішінде OSPF, IS-IS немесе басқа протокол өзін-өзі басқаратын құрылғыда толық мүмкін, онда екі ұшы да, қайта бағыттау жобасы да сіздікі. Бұл факт динамикалық маршруттау режимі ретінде тек BGP ұсынатын басқарылатын қызмет туралы ештеңе айтпайды.

Егер ұсынылған жоба қызмет қолдамайтын көршілестікті қажет етсе, сәулетті әдейі өзгертіңіз. Нұсқаларға VPC-дегі өзін-өзі басқаратын құрылғы, қызмет қолдайтын жерде статикалық маршруттау немесе басқа байланыс өнімі кіреді. Протоколды тек клиент маршрутизаторында конфигурациялау бұлт жағында жоқ көршіні қоса алмайды және префикстің пайда болуына әкелмейді.

Бір өнім берушінің жауабын екіншісінің шлюзіне көшірмеңіз. Бірдей сөздер, мысалы динамикалық маршруттау немесе туннельді ауыстыру, түрлі механизмдер мен түрлі шектеулерді сипаттауы мүмкін.

Қызмет талабын оқыңыз, содан кейін жобалаңыз

Бірінші конфигурация жолының алдында көрші мекенжайларын, автономды жүйе нөмірлерін, жариялайтын және қабылдайтын префикстерді, маршрут шектеулерін және туннель істен шыққанда күтілетін тәртіпті жазып қойыңыз. Осы бес тармақ — сіз жобалайтын келісім.

Содан кейін сол ретпен тексеріңіз: сессия орнатылды, префикс алынды, маршрут VPC маршрут кестесінде бар және қызмет мекенжайына нақты ағын бар. Мәжбүрлі ауыстырудан кейін қайталаңыз, өйткені қайта орнатылатын сессия басқа маршрут жиынтығымен оралуы мүмкін. Егер жоба секундтан аз конвергенцияға тәуелді болса, болжаудың орнына өлшеңіз.

Қызмет келісімін өзгеріс жазбасымен бірге сақтаңыз. Кейінірек біреу туннель неге OSPF іске қоса алмайды деп сұраса, жауап — протокол шектеуі емес, өнім шекарасы, және жазба солай айтуы керек.