Cloud-VPN brauch BGP: firwat aner Routingprotokollen aussernee falen

D'IPsec-Sécherheetsassociatioun ass op, d'Tunnelzähler beweegen sech, an den Trafik zum Cloud-Prefix verschwënnt. Den Operateur probéiert dann OSPF um Client-Router ze aktivéieren, a waart datt den Noper sech formt, an et geschitt näischt. Den Tunnel war ni dat feelt Deel: eng gestioun Cloud-VPN weist en definéierte Routingkontrakt, an op de grousse Plattformen ass dee Kontrakt BGP. Bis eng Sessioun existéiert an e Prefix ugeholl gëtt, ass den Tunnel just en encadréierte Wee ouni Destinatiounen hannendrun.

Den Tunnel ass op an de Wee feelt

Datt d'Phase 1 an d'Phase 2 fäerdeg ginn, beweist datt sech d'Partyen iwwer de Schutz eens sinn, net datt eng Säit weess wouhin den Trafik soll. Dat sinn getrennt Zoustandsmachine mat getrennte Fehlermodusen.

Stellt dräi Froen an der Rei: gouf de Prefix ugekënnegt, gouf en vum Noper ugeholl, a gouf en fir d'Weiderleedung installéiert? En ugekënnegten a gefilterten Prefix ass e Politiksproblem. En ni ugekënnegten Prefix ass e Sessiouns- oder Konfiguratiounsproblem. En ugehollenen awer net installéierte Prefix ass e Weewahlproblem, an all Äntwert weist op en aneren Deel vun der Konfiguratioun.

Wat de Provider Iech tatsächlech gëtt

Eng gestioun VPN-Gateway ass keen onbeschränkte Router. De Provider gëtt Iech eng Gateway mat ënnerstëtzten Noperadressen, enger Astellung fir autonoom System, Prefixlimiten an engem definéierte Fehlerverhalen. Dës Uewerfläch ass d'Produkt.

Google Cloud dokumentéiert dynamesch BGP-Routing fir HA VPN, wou de Cloud Router Noperwege léiert a passend eege dynamesch Weeër un d'VPC liwwert. AWS Site-to-Site VPN dokumentéiert eng Wiel tëscht stateschem an dynameschem Routing a beschreift BGP-Liewegkeetspréifunge als nëtzlech fir den Tunnel-Failover, wärend och Gesondheetspréifunge fir Apparater ouni BGP ënnerstëtzt ginn. D'Verhalen vun enger Plattform soll net aus dem Produktnumm vun der anerer ofgeleet ginn.

D'praktesch Konsequenz ass, datt Dir d'éischt de gestiounen Modus wielt an duerno déi ënnerstëtzt Parameter liest. En Design, deen eng Noperschaftsform ugeet, déi de Service net ubitt, ass kee Konfiguratiounsproblem dee mam Client-Router geléist gëtt.

Tunnelschutz an Erreechbarkeet sinn getrennt Aufgaben

IPsec schützt den Trafik dee fir den Tunnel ausgewielt ass. BGP liwwert d'Erreechbarkeetsinformatioun déi e Prefix passend mécht. En funktionéierenden Tunnel beweist net datt dee erwaarten Prefix ugekënnegt, ugeholl oder installéiert gouf.

Stellt Iech eng Filial vir déi 10.42.0.0/16 iwwer zwou passend Tunnelweeer ugekënnegt. Huelt ee benotzbare Wee ewech an d'Weewiel kann sech änneren ouni datt een de Wee vun all Aarbechtslaascht ännert. Detektioun, Weewiel an d'Erhuelung vun der Applikatioun sinn net onmëttelbar an net identesch tëscht Deployementer, dofir muss den Failover-Test déi ganz Rei observéieren an net dat éischt Pak dat duerchkënnt.

Wann e Cloud-Prefix net erreechbar ass, préift de Sessiounszoustand an déi geléiert Weeër ier Dir d'Kryptografie beréiert. Eng SA déi op ass ouni Wee hannendrun ass déi heefegst Form vun dësem Symptom.

Wou d'OSPF-Unahmen zeideelen

OSPF, IS-IS oder en anert Protokoll an engem IPsec-Tunnel ass ganz méiglech op engem selvgestiounen Apparat, wou Dir béid Enden an den Design vun der Weiderleedung besëtzt. Dee Fakt seet näischt iwwer e gestiounen Service dee just BGP als dynamesche Routingmodus ubitt.

Wann en Design eng Noperschaft brauch déi de Service net ënnerstëtzt, ännert d'Architektur bewosst. Optiounen sinn en selvgestiount Apparat an der VPC, statescht Routing wou de Service et ënnerstëtzt, oder en anert Konnektivitéitsprodukt. D'Protokoll just um Client-Router konfiguréieren kann keen Noper op der Cloudsäit dobäisetzen deen net existéiert, an et wäert de Prefix net erschéngen loossen.

Drot net d'Äntwert vun engem Hiersteller op d'Gateway vun engem aneren. Déi selwecht Wierder, wéi dynamescht Routing oder Tunnel-Failover, kënnen ënnerschiddlech Mechanisme mat ënnerschiddlechen Grenzen beschreiwen.

Liest d'Fuerderung vum Service, da designt

Ier déi éischt Konfiguratiounszeil, schreift d'Noperadressen, d'Nummeren vun den autonome Systemer, d'Prefixen déi Dir ugekënnegt an unhuele wäert, d'Weelimitë an dat erwaart Verhalen wann en Tunnel fehlschléit op. Dee fënnef Punkten sinn de Kontrakt géint deen Dir designt.

Da préift an der selwechter Rei: Sessioun opgebaut, Prefix ugeholl, Wee an der Weetabell vun der VPC, an e richtege Floss zu enger Serviceadress. Widderhëlt et no engem forcéierten Failover, well eng Sessioun déi sech nei opbaut mat engem aneren Weeset zeréckkomme kann. Wann den Design vun enger Konvergenz ënner enger Sekonn ofhänkt, moosst se amplaz se unzehuelen.

Behält de Servicekontrakt mat dem Ännerungsregistre. Wann een duerno frot firwat den Tunnel keen OSPF ka bedreiwen, ass d'Äntwert eng Produktgrenz, net eng Protokollbeschränkung, an de Registre sollt dat soen.