VPN에서 BGP와 MPLS: 패킷을 나르는 부분은 어디인가

VPN이 BGP 위에서 도는지 MPLS 위에서 도는지 묻는 것은 두 계층을 하나의 결정으로 섞는 일입니다. BGP는 도달 가능성과 정책을 배포합니다. MPLS는 설치된 레이블 상태를 이용해 패킷을 전달합니다. BGP/MPLS VPN에서는 이 둘이 협력하며, 어느 하나를 없애면 서비스가 전혀 남지 않습니다. 아래 점검은 같은 프리픽스를 두 계층에 모두 통과시키므로, 여러분의 프리픽스가 어디서 멈췄는지 정확히 볼 수 있습니다.

점검 1: 프리픽스가 올바른 VRF에 있는가

제공자 진입 에지에서 시작해 고객 프리픽스가 어느 VRF에 속하는지 물어보십시오. 이 설계에서 고객 주소의 중복은 정상이므로, VRF는 10.0.0.0/8을 함께 쓰는 두 고객을 분리해 두는 문맥입니다.

프리픽스가 그곳에 없다면 이후의 어떤 것도 올바를 수 없고, 나머지 점검은 헛수고입니다.

점검 2: VPN 경로가 배포되고 임포트되었는가

제공자는 MP-BGP로 고객 경로를 배포합니다. 각 경로는 그렇지 않으면 동일한 프리픽스를 고유하게 만드는 경로 구분자와, 어느 VRF가 경로를 임포트할지 정하는 경로 대상을 함께 나릅니다. 도착했지만 임포트되지 않은 경로는 수신 VRF를 그 프리픽스에 대해 비워 둡니다. 먼 쪽을 탓하기 전에 임포트 정책을 확인하십시오.

경로 선택도 중요합니다. 다른 제공자 에지를 거치는 우선 경로가 기대했던 경로를 대체할 수 있습니다.

점검 3: 진입 에지가 패킷에 무엇을 하는가

패킷이 도착하면 진입 에지는 VRF 안에서 IP 조회를 수행한 뒤 선택된 경로에 대한 레이블을 붙입니다. 캡처에 다른 수의 레이블이 보여도 스택에는 두 가지 논리적 역할이 있습니다.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

BGP/MPLS VPN 명세는 이 배치를 설명합니다. 끝에서 두 번째 홉에서 레이블을 팝하면 마지막 홉 전에 전송 레이블이 제거될 수 있으므로, 네트워크 중간에서 찍은 레이블 두 개짜리 캡처는 결함의 증거가 아닙니다.

점검 4: 하부 네트워크가 그 레이블을 전달하는가

트랜짓 라우터는 설치된 레이블 항목에 따라 스위칭합니다. 개별 패킷에 무슨 일이 생기는지 결정하기 위해 BGP 업데이트를 읽지는 않습니다. 그래서 고객 경로가 있어도 전달이 실패할 수 있습니다. 해석된 다음 홉이나 전송 레이블이 독립적으로 깨질 수 있기 때문입니다. VPN 프리픽스를 학습한다고 그 아래의 하부 네트워크가 복구되지는 않습니다.

경로의 존재만이 아니라 출구 에지 방향의 레이블 바인딩을 확인하십시오.

점검 5: 출구 동작과 되돌아오는 경로

출구에서 서비스 레이블이 전달 동작을 지정하고, 패킷은 캡슐이 벗겨져 고객 목적지로 나아갑니다. 거기서부터 되돌아오는 경로도 동작해야 하며, 해당 인터페이스의 고객 측 접근 정책도 포함됩니다.

단방향 성공은 보통 되돌아오는 경로나 필터의 문제이며, 레이블 스택이 아닙니다.

증상을 이 점검들 중 하나에 대입해 읽으십시오

수신 VRF에 경로가 없는 것은 광고, 임포트 정책 또는 경로 선택을 뜻합니다. 경로는 있는데 패킷이 실패하는 것은 해석된 다음 홉, 레이블 전달 또는 고객 측 되돌아오는 경로를 뜻합니다. 잘못된 목적지로 패킷이 도착하는 것은 보통 잘못된 VRF를 보고 있다는 뜻입니다. 이 중 어느 것도 라우팅 프로토콜을 바꿀 이유가 아닙니다.

한 가지는 분명히 말할 만합니다. 이 설계는 고객을 분리하고 그들의 트래픽을 효율적으로 전달합니다. 암호화하지는 않으며, 이를 기밀성 서비스로 취급하는 것은 별개의 실수입니다.