MPLS филиал маршруттоо: CE эмнени жана кимден үйрөнөт

Бир филиалдын хосту башка филиалдын серверине туташуу ачат, жана эки аянтча тең бир башкарылуучу MPLS 3-катмар VPNдин артында турат. Хост өзүнүн демейки шлюзун гана билет жана башка эч нерсе билбейт, бул туура. Маанилүүсү — жергиликтүү кардардын чети пакетти өзүнүн провайдеринин четине өткөрүп берет, ал эми провайдердин VPN маршруттоо абалы аны максаттуу префикске ээ филиалга жеткирет.

Бир пакетти жол бою ээрчүү — кайсы бөлүгү кардардын жоопкерчилиги, кайсы бөлүгү кызматка таандык экенин көрүүнүн эң тез жолу.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Ар бир хоптун иши кайда бүтөт

CE-Aга алыскы LANга маршрут керек, ал өзүнүн жергиликтүү провайдер туташуусуна багытталышы керек, алыскы филиалдын WAN дарегине эмес. Андан кийин провайдер пакетти VPN маршруттоо абалын колдонуп өзүнүн өзөгү аркылуу алып өтөт, ал эми CE-B аны максаттуу LANга жеткирет. Эч бир учурда хостко белгилерди, VRFтерди же каршы тараптын интернет линиясын түшүнүү талап кылынбайт.

Тикеттерде кайра-кайра кездешүүчү ката — A филиалында B филиалынын WAN дарегин кийинки хоп катары конфигурациялоо. Эки филиал тең бир кызматты сатып алган, ошондуктан алар кошуна болушу керектей сезилет. Бирок андай эмес: кийинки хоп чындыгында бар маршруттоо дизайны аркылуу жеткиликтүү болушу керек, ал эми алыскы CE адатта сиз башкарбаган жабдуулардын артында көптөгөн хоп алыстыкта болот. Ушул божомолго курулган статикалык маршрут активдүү көрүнөт жана эч нерсеге чечилбейт, бул жок маршруттан да жаман, анткени таблицада ал туура көрүнөт.

RFC 4364 кардар менен провайдердин четтеринин ортосундагы алмашууну провайдердин VPN маршруттарын таратуусунан бөлөт, жана бул ушул колдонмо сүйлөшкөн чек. Кардардын милдети — өз четине эмнени жеткире аларын айтуу жана кызмат сунуш кылган жеткиликтүүлүктү кабыл алуу.

Өткөрүү эмне боюнча макулдашуусу керек

Механизмди провайдер менен бирге тандаңыз, анын айланасында эмес. Статикалык маршруттар, BGP же CE менен PEнин ортосундагы маршруттоо протоколу боюнча макулдашуу — баары мыйзамдуу, жана OSPFтин ушундай өткөрүү үчүн аныкталган MPLS VPN модели бар. Алардын эч бири эки алыскы кардар четинин ортосунда аныкталбаган провайдер өзөгү аркылуу OSPF кошуналыгын курууга себеп эмес, анткени бул провайдер макулдашпаган жана колдой албаган дизайн.

Жаңы LAN ишке киргизилерден мурун төрт нерсени жазып алыңыз: префикс, CEдеги жергиликтүү кийинки маршрут, провайдер кабыл ала турган жарыялоо жана провайдер кайтара турган маршруттар. Келишим талап кылган ар кандай фильтрлөө, префикс чеги же аянтчалардын ортосундагы чектөөнү кошуңуз. Ден соолугу жакшы кошуналык — маалымат алмашуунун каналы, жана ал белгилүү бир префикстин кабыл алынганына далил эмес; сессия күйүп турганда жаңы субтармагыңыз фильтрде отурушу мүмкүн.

Андан кийин жоопту ээрчиңиз. B филиалына баштапкы LANга кайтуучу маршрут керек, ал эми кабыл алуучу тараптагы хостко өзүнүн шлюзу жана өзүнүн кызмат уруксаттары керек. CE-Aда пайда болгон маршрут айлануунун жарымын гана орнотот, ал эми жарым айлануу — ping сынагынын бир багыты соо көрүнүп, колдонмо дагы эле ишке ашпай жатканынын себеби.

Тапшыруунун алдында эки өткөрүүнү тең текшериңиз

Эки кардар чети боюнча маршруттоо абалын чогултуңуз, провайдер менен көздөлгөн LAN префикстери VPNге кабыл алынганын ырастаңыз, андан кийин ар бир багытта бир уруксат берилген колдонмону сынап көрүңүз. Маршрут таблицалары гана колдонмонун иштешин далилдебейт, ал эми колдонмо сынагы гана иштебегенде кайсы башкаруу тегиздиги ишке ашпаганын айтпайт.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Үч чыгарылышты бирге окуңуз. Биринчиси чети эмнеге ишенерин, экинчиси эмнени жана кайсы өнөктөштөн үйрөнгөнүн, үчүнчүсү чындыгында эмнени жөнөтөрүн айтат. Алардын ортосундагы дал келбестик адатта жок жарыялоо эмес, саясат же рекурсия маселеси, жана провайдерден иликтөө сураштан мурун аны чечүү керек. Бул үч чыгарылышты оператор менен сүйлөшүүгө ала барыңыз, анткени алар колдоо инженери болбосо сурай турган суроолордун көбүнө жооп берет.

Кызмат эмнени бербей турганын билиңиз

Бул — 3-катмардын маршрутталган жеткиликтүүлүгү. Бул кеңселердин ортосунда трансляцияны кеңейтүүчү 2-катмардын линиясы эмес, ошондуктан аныктоо протоколдору, трансляцияга көз каранды колдонмолор жана жалпы сегмент тууралуу божомолдор аны менен бирге жүрбөйт. Басып чыгаруу, аттарды карап чыгуу жана жергиликтүү сегментке көз каранды болгон нерселер өз дизайнын талап кылат.

VPNди бөлүү да шифрлөө эмес. Белгилерди которуу кардарларды провайдердин тармагынын ичинде өзүнчө кармайт, жана келишим купуялуулукту талап кылса, ал жүктөмдү купуя кылбайт. Бул маанилүү жерде аны колдонмо же катмар үстүндөгү катмар камсыз кылышы керек.

Акырында, кызмат модели аянтчанын маршруттоо конфигурациясынын жанында жазылып турсун. Кийинки субтармакты кошкон инженер кайсы префикстер жарыяланышын, аларды ким кабыл аларын жана күтүлгөн кайтуу жолу кандай экенин окуй алышы керек: BGP/MPLS IP VPN спецификациясы ушунун баарынын артындагы модель үчүн шилтеме болуп саналат.