MPLS-Filialrouting: wat d'CE léiert a vu wiem

En Host an enger Filial mécht eng Verbindung op e Server an enger anerer op, an déi zwou Plazen stinn hannert dem selwechte verwalteten MPLS VPN vum Layer 3. Den Host kennt nëmmen säin eegene Standardgateway an näischt anescht, wat richteg ass. Wichteg ass, datt d'lokal Clientskant de Paket op seng Providerskant iwwergëtt an datt de VPN-Routingzoustand vum Provider en op d'Filial bréngt, déi de Zilpräfix huet.

Ee Paket de Wee dovunner ze verfollegen ass de séiersten Aart a Weis ze gesinn, wéi en Deel d'Verantwortung vum Client ass a wéi en Deel zum Service gehéiert.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Wou d'Aarbecht vun all Hop ophalen

D'CE-A brauch eng Route fir de wäite LAN, déi op seng lokal Providerverbindung weist, net op d'WAN-Adress vun der wäiter Filial. Duerno dréit de Provider de Paket duerch säin eegene Kär mam VPN-Routingzoustand, an d'CE-B liwwert en op de Zil-LAN. Zu kengem Zäitpunkt muss en Host Etiketten, VRFen oder den Internetcircuit vun der anerer Säit verstoen.

De Feeler, dee séier erëm a Leit komme, ass d'WAN-Adress vun der Filial B als nächsten Hop an der Filial A ze konfiguréieren. Déi zwou Filiale huen dee selwechte Service kaaft, dofir fillt et sech un, wéi wa se Nopere missten sinn. Si sinn et net: en nächsten Hop muss iwwer de Routingdesign erreechbar sinn, deen Dir tatsächlech hutt, an d'wäit CE ass normalerweis vill Hoppen ewech hannert Equipement, dat Dir net administréiert. Eng statesch Route, déi op där Viraussetzung opgebaut ass, erschéngt als aktiv a léist sech a näischt op, wat méi schlëmm ass wéi eng feelend Route, well se an der Tabell richteg ausgesäit.

D'RFC 4364 trennt den Austausch tëschent Clients- a Providerskant vun der Verdeelung vun den VPN-Rutten duerch de Provider, an dat ass genee déi Grenz, ëm déi et an dësem Guide geet. D'Aarbecht vum Client ass senger Kant ze soen, wat se liwwere kann, an d'Erreechbarkeet unzehuelen, déi de Service zréck ubitt.

Op wat d'Iwwergab sech muss eenegen

Wielt de Mechanismus mam Provider, net ronderëm hien. Statesch Rutten, BGP oder eng Routingprotokollofmachung tëschent CE a PE sinn all legitim, an OSPF huet e definéierte MPLS VPN-Modell fir déi Iwwergab. Keen dovun ass e Grond fir eng OSPF-Nopeschschaft tëschent zwou wäiten Clientkanten iwwer e net spezifizéierte Providerkär ze bauen, well dat en Design ass, deem de Provider net zougestëmmt huet an deen en net ënnerstëtze kann.

Ier en neie LAN a Betrib geet, schreift véier Saachen op: de Präfix, déi lokal nächst Route op der CE, d'Ukënnegung, déi de Provider akzeptéiert, an d'Rutten, déi de Provider zréckgëtt. Füügt all Filterung, Präfixlimiten oder Aschränkungen tëschent Plazen derbäi, déi de Kontrakt opzwéngt. Eng gesond Nopeschschaft ass e Kanal fir Informatiounen auszetauschen, an et ass keen Beweis, datt e bestëmmte Präfix akzeptéiert gouf; d'Sessioun ka stoen, wärend Ären neien Subnetz an engem Filter sëtzt.

Duerno verfollegt d'Äntwert. D'Filial B brauch eng Route zréck op de Quell-LAN, an den Host op der Empfangssäit brauch säin eegene Gateway a seng eegen Serviceberechtegungen. Eng Route, déi op der CE-A erschéngt, stellt eng hallef Rees op, an déi hallef Rees ass de Grond, firwat eng Richtung vun engem Ping-Test gesond ausgesäit, wärend d'Uwendung nach ëmmer feelt.

Iwwerpréift béid Iwwergaben virun der Ofhuele

Sammelt de Routingzoustand op deenen zwou Clientkanten, bestätegt mam Provider, datt déi virgesinn LAN-Präfixe mam VPN akzeptéiert goufen, a testet dann eng erlaabten Uwendung an all Richtung. Just Routingtabellen beweise net, datt d'Uwendung funktionéiert, an en Uwendungstest eleng seet Iech net, wéi eng Kontrollfläch versot huet, wann se net funktionéiert.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Liest déi dräi Ausgaben zesummen. Déi éischt seet, wat d'Kant gleeft, déi zweet seet, wat se geléiert huet a vu wiem, an déi drëtt seet, wat se tatsächlech viruleet. Den Ënnerscheed tëschent hinne ass meeschtens e Politik- oder Rekursiounsproblem an net eng feelend Ukënnegung, an et lount sech dat ze léisen, ier de Provider ëm eng Enquête gefrot gëtt. Bréngt déi dräi Ausgaben zu der Call mam Bedreiwer, well se déi meescht Froen beäntwerten, déi en Supporter Iech soss géif stellen.

Wësst, wat de Service net bitt

Dëst ass gerouteten Zougang vum Layer 3. Dëst ass keen Circuit vum Layer 2, deen d'Emissiounen tëschent Büroe verbreet, dofir reesen Entdeckungsprotokoller, emissiounsopräfteg Uwendungen an Unhuele vun engem gedeelte Segment net mat. Drécken, Nummenduerchsich an alles, wat vun engem lokale Segment ofhänkt, brauche säin eegenen Design.

D'VPN-Trennung ass och net Verschlësselung. Labelkommutatioun hält d'Clienten innerhalb vum Netzwierk vum Provider auserneen, an se mécht d'Notzlaascht net vertraulech, wann de Kontrakt Vertraulechkeet verlaangt. Wou dat wichteg ass, muss d'Uwendung oder eng Iwwerlag et liwweren.

Zum Schluss hält de Servicemodell niewent der Routingkonfiguratioun vum Site schrëftlech. Den nächsten Ingenieur, deen en Subnetz derbäisetzt, sollt liesen kënnen, wéi eng Präfixen ugekënnegt ginn, wien se akzeptéiert a wéi dee erwaarten Zréckwee ass: d'BGP/MPLS IP VPN-Spezifikatioun ass de Referenz fir de Modell hannert allem.