L3VPN тапсыру: жеке маршруттар, әдепкі маршрут немесе толық кесте?

CE қандай ақпарат алатыны сәйкессіз трафиктің қайдан шығатынына байланысты. Тапсыруды ретімен қарап шығып, ақау жағдайын келісіп, содан кейін ғана кесте өлшемін талқылаңыз.

Сіздің арнаңыз қосылған, VRF конфигурацияланған, ал провайдер дизайнның қалғанын анықтайтын қысқа сұрақ қояды: клиенттік шет (CE) қандай ақпарат алуы керек? Үш жауап жиі кездеседі және олардың ешқайсысы белгілер стекінің болуынан туындамайды. Бұлар — трафиктің филиалдан қайдан шығатыны туралы қызмет шешімдері.

Тапсыруды ретімен қарау мұны дұрыс жасаудың ең арзан жолы. Ештеңеге сәйкес келмейтін трафикке не болатынынан бастайсыз, содан кейін жеке префикстерді және олардың ақау кезіндегі әрекетін жазасыз, содан кейін ғана қаншалықты үлкен ағынды көтеруге дайын екеніңізді талқылайсыз.

Ешкім жоспарламаған трафиктен бастаңыз

Префикстер тізімі пайда болмас бұрын бір сұрақ қойыңыз: пакет ешбір жеке маршрутқа сәйкес келмесе, ол қайда баруы керек? Өз интернет арнасы бар филиал әдетте жергілікті әдепкі маршрутты ұстайды, сондықтан қарапайым веб-трафик жергілікті брандмауэр арқылы шығып, провайдерге мүлде тимейді. Бұл дизайнда VPN тек қашықтағы жеке сайттарды тасымалдайды, ал нақтырақ префикстер таңдауды жүргізеді.

Орталық шығысты пайдалануға арналған филиал — кері жағдай. Онда әдепкі маршрут қызметтің ішін нұсқайды, ал провайдер немесе орталық сайт бағыттауды, кері маршруттауды және кез келген трансляцияны иеленеді. "VPN-ге әдепкі" деп айту сол иеленуші болмаса, атауларды шешетін, бірақ ештеңеге жетпейтін филиал береді.

Екі дизайн маршруттау ақауының қалай көрінетінімен ерекшеленеді, сондықтан болжау қымбат. Жергілікті әдепкі маршрутпен жоғалған жеке маршрут бұл трафикті интернетке жібереді, онда оны брандмауэр тастайды немесе, одан жаманы, сіз күтпеген нәрсе жауап береді. Орталық әдепкі маршрутпен сол жоғалту интернетке қолжетімділікті толығымен жояды және билет "бүкіл филиал істен шықты" деп келеді. Екі ақаудың ешқайсысы өзінен-өзі қате емес, бірақ тек біреуі ғана сіз сатқан қызметке сәйкес келеді, ал BGP конфигурациясы ғана қайсысын құрғаныңызды айтпайды.

Жеке префикстерді ақау жағдайымен бірге жазыңыз

Филиал жетуі тиіс префикстерді тізіп, олардың қайсысы жинақталғанын белгілеңіз. Бір битке тым кең агрегат белгісіз тағайындалуларды VPN-ге тартады, бұл тек алыс жақ оларды шын мәнінде иеленіп, бағыттаса ғана жарамды.

Содан кейін жеке қызмет істен шыққандағы күтілетін әрекетті сипаттаңыз. Сақталған тастау маршруты трафикті рұқсат етілмеген жолдан аулақ ұстайды және таза, күтілетін үзіліс береді. Қалқымалы әдепкі маршрут резервтік жолға ауысу арқылы қолжетімділікті сақтай алады, бірақ тек резервтік жолға сол трафикті тасымалдауға рұқсат болса ғана.

Қолжетімділік пен рұқсат етілген резервтік жолды тапсыру құжатында екі бөлек талап ретінде ұстаңыз. Оларды біріктіретін топтар келісілген саясаттың орындалғанын тексерудің орнына филиалдың істен шығуы керек пе деп талқылайды.

CE шын мәнінде не орнатқанын тексеріңіз

Конфигурация ниеті мен бағыттау күйі жиі ажырайтындықтан, тексеру оқиғаны қарауға емес, тапсыруға тиесілі. IOS-XE клиенттік шетінде төмендегі үш команда үш түрлі сұраққа жауап береді: не ұсынылды, не қабылданды және шын мәнінде не қолданылады.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Үшеуін де тапсыру күні, бір айдан кейін емес, әлі біреу келісілгенді есте сақтап тұрғанда іске қосыңыз. Бірінші шығыс soft-reconfiguration inbound немесе сақталған route refresh параметріне байланысты; екеуі де болмаса, CE неден бас тартқанын көрсете алмайды. Екіншісі саясаттан кейінгі қабылданған және ең жақсы маршруттарды көрсетеді. Үшіншісі әдепкі маршруттың шын мәнінде қайда кететінін айтады, және бұл бүкіл тапсырудағы ең пайдалы жол.

Сайт екі арнаға қосылған болса, сол тексерулерді екінші CE-де де орындаңыз. Екі шет арасындағы асимметриялық қабылдау "бір серверден жұмыс істейді, екіншісінен істемейді" дегеннің жиі себебі, және ол симметриялы көрінетін конфигурация diff-інде көрінбейді.

Үлкенірек ағынды болжамай, оны негіздеңіз

Кейде тұтынушыға VRF ішінде интернет маршруттары туралы ақпарат шынымен қажет — саясаттық маршруттау үшін немесе префикс бойынша бағыттайтын орталық шығыс үшін. Бұл — жариялануы, шектелуі және бағалануы тиіс талап, жасырын әдепкі маршрут емес. Онымен RIB мен FIB үшін жады, жаңартулар үшін CPU, сүзгілерге қызмет көрсету және пайда болған кестенің иесі бірге жүреді.

Сыйымдылық туралы дәлелдер екі бағытта да қателеседі. Толық кесте VRF ішінде тыйым салынбаған, әрі тегін де емес. Сол сияқты, бүгінгі құнды ескі маршрут санынан шығаруға болмайды, ал кішірек белгі бөлу маршруттарды сақтау құнын жоймайды.

BGP/MPLS IP VPN спецификациясы VPN қызметінің қасында интернетке қатынаудың бірнеше схемасын қарастырады және әр тұтынушы үшін толық кесте немесе әдепкі маршрутты міндетті деп жарияламайды, және "стандартты тәжірибе" туралы мәлімдеме пайда болғанда сілтеуге тұрарлық бөлім де сол: RFC 4364.

Тапсыруды жарияланған жиынды, қабылданған жиынды және таңдалған жиынды келісілген шығыс саясатының қасына жазумен, сондай-ақ бір жеке тағайындалуды, бір жоспарланған жария тағайындалуды және маршрут жоғалтудың бір жағдайын сынаумен аяқтаңыз. Осы үш тестің қол қойылған жазбасы көптеген желілердің не істейтіні туралы кез келген мәлімдемеден де көбірек дауды шешеді.

Қатысты мақалалар