L3VPN-Iwwergab: privat Routen, eng Default oder eng voll Tabell?

Äre Circuit ass um, d'VRF ass konfiguréiert, an de Provider stellt eng kuerz Fro, déi de Rescht vum Design entscheet: wat de Customer Edge kréie soll? Dräi Äntwerten si verbreet, an keng dovun ergëtt sech aus der Tatsaach, datt et e Label-Stack gëtt. Et si Servicedecisiounen driwwer, wou den Trafic d'Filial verléisst.

D'Iwwergab der Rei no duerchzegoen ass dee bëllegste Wee, fir dat richteg ze maachen. Dir fänkt do un, wat mat Trafic geschitt, deen op näischt passt, schreift duerno d'privat Prefixen an hire Fehlerverhalen op, an eréischt duerno diskutéiert Dir, wéi grouss e Feed Dir bereet sidd ze droen.

Fänkt mam Trafic un, deen keen geplangt huet

Stellt eng Fro, ier eng Prefixlëscht erschéngt: wouhin soll e Paket goen, wann et op keng privat Route passt? Eng Filial mat engem eegenen Internetcircuit behält meeschtens en lokalen Default, sou datt normale Webtrafic duerch d'lokal Firewall erausgeet an de Provider ni beréiert. An deem Design drot d'VPN nëmmen déi wäit ewech geleeën privat Sitten, an déi méi spezifesch Prefixen iwwerhuelen d'Auswiel.

Eng Filial, déi en zentrale Sortie benotze soll, ass de Géigefall. Do weist den Default an de Service, an de Provider oder de zentrale Site besëtzt d'Weiderleedung, de Réckroutung an all Iwwersetzung. "Default an d'VPN" ze soen, ouni datt deen Owner do ass, ergëtt eng Filial, déi Nimm opléist an näischt erreecht.

Déi zwou Designe ënnerscheede sech doran, wéi e Routingfehler ausgesäit, an dowéinst ass roden deier. Mat engem lokalen Default schéckt eng verluer privat Route deen Trafic an d'Internet, wou en vun der Firewall verkaaft gëtt oder, nach schlëmmer, vun eppes beäntwert gëtt, dat Dir net gemengt hutt. Mat engem zentralen Default hëlt dee selwechte Verloscht den Internetzougang komplett ewech an den Ticket kënnt als "déi ganz Filial ass erof". Kee vun deenen zwee Feeler ass fir sech falsch, awer nëmmen ee passt zum Service, deen Dir verkaaft hutt, an eng BGP-Konfiguratioun eleng seet Iech net, wéien Dir gebaut hutt.

Schreift d'privat Prefixen mat hirem Fehlerfall op

Lëscht d'Prefixen op, déi d'Filial erreeche muss, a notéiert, wéi eng dovun zesummegefaasst sinn. En Aggregat, dat ee Bit ze breet ass, zitt onbekannt Destinatiounen an d'VPN, wat nëmme geet, wann déi wäit Säit se wierklech besëtzt a weiderleet.

Beschreift duerno dat gewënschte Verhalen, wann de private Service feelt. Eng behalen Discard-Route hält den Trafic vun engem onerlaabte Wee ewech an ergëtt eng propper, erwaarde Stéierung. En schwiewenden Default kann d'Disponibilitéit halen, andeems en op e Backup-Wee wiesselt, awer nëmme wann dee Backup-Wee berechtegt ass, deen Trafic ze droen.

Hält Disponibilitéit an erlaabte Fallback als zwee getrennt Ufuerderungen am Iwwergabsdokument. Ekippen, déi se vermëschen, diskutéieren um Enn, ob d'Filial hätt solle feelen, amplaz ze préiwen, ob déi averhaante Politik ëmgesat gouf.

Préift, wat den CE wierklech installéiert huet

Konfiguratiounsabsicht an Weiderleedungszoustand divergéiere genuch, datt d'Preiwung an d'Iwwergab gehéiert an net an de Incident Review. Op engem IOS-XE Customer Edge beäntwerten déi dräi Kommanden hei drënner dräi verschidde Froe: wat ugebueden gouf, wat akzeptéiert gouf a wat tatsächlech benotzt gëtt.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Loosst all dräi um Dag vun der Iwwergab lafen an net ee Mount méi spéit, wärend nach een drun erënnert, wat averhaant gouf. Déi éischt Ausgab hänkt vun soft-reconfiguration inbound oder engem gespäicherte Route Refresh of; ouni dat een oder dat anert kann den CE Iech net weisen, wat en ofgelehnt huet. Déi zweet weist akzeptéiert a bescht Routen no der Politik. Déi drëtt seet Iech, wou den Default wierklech higeet, an dat ass déi eenzeg nëtzlechst Zeil an der ganzer Iwwergab.

Loosst déiselwecht Kontrollen op engem zweete CE lafen, wann de Site dual-homed ass. Eng asymmetresch Akzeptanz tëscht zwee Edges ass eng heefeg Ursaach fir "et geet vun engem Server an net vum aneren", an se ass onsiichtbar an engem Konfiguratiounsdiff, dee symmetresch ausgesäit.

Qualifizéiert e grousse Feed, amplaz en unzehuelen

Heiansdo brauch de Client wierklech Internet-Routeinformatiounen an der VRF, fir Policy Routing oder fir en zentrale Sortie, dee no Prefix steiert. Dat ass eng Ufuerderung, déi een ausdrécke, ofgrenzen a bepreise muss, keen verstoppte Default. Et kënnt mat Erënnerung fir RIB a FIB, CPU fir Updates, Filterentretien an engem Owner fir déi resultéierend Tabell.

Kapazitéitsargumenter gi béid Richtungen falsch. Eng voll Tabell ass an enger VRF net verbueden, an se ass och net gratis. Genee sou wéineg kënnt Dir déi haiteg Käschten aus enger aler Routezuel ofleeden, an eng méi kleng Labelallokatioun hëlt d'Käschte vum Späichere vu Routen net ewech.

D'Spezifikatioun BGP/MPLS IP VPN diskutéiert verschidden Internet-Zougangsarrangementer nieft dem VPN-Service selwer an erkläert weder eng voll Tabell nach en Default fir all Client als obligatoresch, an dat ass dee Sektioun, op deen een deele soll, wann eng Behaaptung iwwer "Standardpraxis" opkënnt: RFC 4364.

Maacht d'Iwwergab zou, andeems Dir dee annoncéierten Set, dee kritt Set an dee gewielten Set nieft der averhaanter Sortiepolitik festhält, an een privat Destinatioun, eng gewënscht ëffentlech Destinatioun an ee Fall vum Routeverloscht testt. En ënnerschriwwent Protokoll vun deenen dräi Tester schlichte méi Argumenter wéi all Ausso driwwer, wat déi meescht Netzwierker maachen.