Firwat BGP iwwer eng VPN deinen Underlay-Pad net kontrolléiert

Zwee Standorten peer BGP iwwer en IPsec-Tunnel, léieren d’Präfixe vuneneen, an den Diagramm gëtt als Padkontroll ëmbenannt. Genau dëse Label ass den Ufank vun der Verwirrung. D’Sessioun tauscht wierklech Erreechbarkeet aus an applikéiert wierklech Politik, awer si huet näischt ze soen, wéi en Ubber, Kabel oder Router déi verschlësselt Pakete bréngt. Ech hunn en Team en funktionéierende Tunnel nei baue gesinn, well et erwaart huet, datt eng BGP-Routeännerung de Verkéier op en anere Glasfaaserpad verréckele géif, op deen d’Sessioun ni hätt kënnen Afloss huelen.

Wat d’Leit unhuelen, datt eng Sessioun kaaft

De gréissten Deel vun der Erwaardung kënnt dohier, wéi eng Routeännerung am Labor ausgesäit. Dir annoncéiert e Präfix iwwer den Tunnel, déi wäit Säit installéiert en, an de Verkéier beweegt sech. Déiselwecht Reihenfolg geschitt op engem Router, deen tatsächlech Knäpp fir Traffic-Engineering huet, also ginn déi zwee verwiesselt. Am Labor deelen déi zwou Standorten normalerweis eng eenzeg Access-Link, an genau dofir weist sech den Ënnerscheed do ni.

BGP ass en Erreechbarkeetsprotokoll. Et seet engem Peer, datt Dir Pakete fir e Präfix liwwere kënnt, an et léisst all Säit d’Ubidde rangéieren, déi se kritt. Dat ass iwwer en Tunnel wierklech nëtzlech: Präfixen erschéngen a verschwannen, wann d’Standorten kommen an goen, an Dir kënnt en Beräich ofleenen, ouni op all Randapparat eng statesch Route ze schreiwen. Wat et net mécht, ass d’Routere vun engem Ubber ënner Ärer Kontroll ze setzen.

Den Underlay dréit den äusseren Header. Ären Tunnelendpunkt schéckt verschlësselt Pakete un eng Peer-Adress, an den Netz tëscht dësen zwou Adressen leet se mat de Routen weider, déi seng Bedreiwer installéiert hunn. Näischt an der BGP-Sessioun ännert dës Entscheedung, ausser dee selwechten Ubber bitt en ënnerstëtzte Service un, deen dat mécht.

Wat d’Sessioun wierklech dréit

De BGP-Speaker mécht eng TCP-Verbindung op Port 179 bei sengem Peer op a benotzt d’Messageformater an d’Padattributer, déi an RFC 4271 definéiert sinn. Wann d’Peer-Adress am Tunnel läit, muss den Tunnel uewen sinn an d’Adress erreechbar, ier d’Sessioun iwwerhaapt ka starten. En ofgeschlossenen IKE-Austausch ass keen BGP-Noper. Routenbaséiert IPsec-Implementéierungen loossen de Verkéier eréischt duer, wann eng passend Tunnelroute existéiert, an déi politikbaséiert brauch d’Peer-Adress am geschützte Selekter. Dëst ëmgedréit ze maachen, erstellt de klassesche Zoustand, wou den Tunnel gréng ass an d’Sessioun idel sëtzt.

Wann d’Sessioun uewen ass, entscheet d’Politik, wat se duerchkräizt. Präfixlëschten, AS-Padfilter, eng iewescht Grenz fir maximal Präfixen an eng explizit Entscheedung iwwer Default-Routen sinn de Minimum, an se gëllen a béid Richtungen. En Peer, deen alles akzeptéiert, wat en kritt, kann Iech eng Default-Route ginn, déi den lokalen Internetzougang roueg ersetzt. Déi zwou Richtunge brauchen getrennt Lëschten, well wat Dir vun engem Peer akzeptéiert an wat Dir him annoncéiert, sinn zwou verschidde Entscheedungen.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Duerno bäisst d’MTU. D’Encapsulation verklengert d’Nutzlaascht, also kann en groussen Update eng Sessioun blockéieren, déi perfekt etabléiert ausgesäit: de Peer bleift uewen, Präfixen kommen ni un, an näischt Opfälleges land am Log. Begrenzt d’TCP-MSS op der Tunnel-Schnittstell, oder setzt eng Tunnel-MTU mat Plaz fir den Overhead, ier Dir d’Filter beschëllegt.

Wou d’äusser Pakete nach ëmmer higinn

Verschlësselt Pakete vun engem Standort op den aneren ginn duerch dat eraus, wat de lokale Router fir d’ëffentlech Adress vum Peer auswielt. Wa béid Standorten Transit beim selwechten Ubber kafen, déiselwecht Metro-Anlag duerchkräizen, oder eng Säit hannert Carrier-Grade-NAT sëtzt, iwwerlieft den Tunnel e Ubber-Ausfall nëmmen zoufälleg. Tunnelikonen an engem Monitoring-Tool ze zielen seet Iech dorop näischt.

Routeauswiel an d’Installatioun vum Forwarding sinn och getrennt Evenementer. E Präfix kann als beschten an der BGP-Tabell sëtzen an awer an der Forwarding-Tabell fehlen, well den nächsten Hop net opléisbar ass oder eng méi spezifesch Route gewënnt. Wann een mëttelt, datt BGP de Präfix geléiert huet, awer de Verkéier net fléisst, ass déi nëtzlech Fro, ob en installéiert ass a op wéi en nächsten Hop en weist.

Déi éierlech Äntwert fir eng Design-Revue ass eng Lëscht vun gedeelte Ofhängegkeeten: Access-Circuit, Upstream-Ubber, Anlag an all stateful Apparat um Réckwee. Eng Sessioun iwwer den Tunnel kann eng Ofhängegkeet net ewechhuelen, iwwer déi se net sëtzt.

Dräi Entscheedungen, déi et wäert sinn ze trennen

Wann en Design dës vermëscht, geet all Ausfallgespréich am Krees. Trennt se fir d’éischt um Pabeier, an duerno kartéiert jiddwereen op den Apparat, deen en tatsächlech ëmsetzt.

All Zeil huet en aneren Eegentemer. Déi éischt ass eng Verhandlung, déi zweet ass Konfiguratioun op Ären Apparaten, déi drëtt ass gréisstendeels dem aneren säin Netz. Eng Ännerungsufro, déi d’Zeil nennt, déi se beréiert, ass vill méi einfach ze genehmegen wéi eng, déi BGP-Problem seet.

Feelmodi, fir déi et wäert ass ze plangen

D’Summary-Route vun engem Peer ze akzeptéieren ass déi heefegst selbst zougefüügt Wonn. Een annoncéiert e kuerzen Aggregat, fir den Austausch ze vereinfachen, déi wäit Säit akzeptéiert en, an de Verkéier fir Beräicher, déi net hannert dem Tunnel sinn, follegt dem Tunnel an stierft. Filtert op déi genau erwaart Präfixen, oder benotzt eng Präfixlëscht mat de richtege Grenzen, a akzeptéiert ni en nackten Aggregat, well en d’Sessioun uerdentlech ausgesäit.

Den Timing vum Réckzuch ass den zweete. D’Detektioun hänkt vun Hold-Timeren of, vu BFD wann Dir en aktivéiert hutt, vun der Dead-Peer-Detektioun vum Tunnel a vun deem, wéi séier déi wäit Säit ophält ze annoncéieren. Bestoend Sessiounen sinn e getrennte Problem: eng nei Route kann nei Verbindungen restauréieren, während etabléiert TCP-Sessiounen nach ëmmer veralt Adressen notzen, an stateful Firewallen oder NAT um Pad kënnen Entréen halen, déi net méi passen. Setzt d’Erhuelung vun der Applikatioun an d’Akzeptanzkriterien, amplaz unzehuelen, datt eng Routeännerung alles reegelt.

Déi drëtt ass d’Asymmetrie vum Réckwee. De Verkéier kann iwwer den Tunnel ukommen an iwwer eng Ubberverbindung zréckgoen, déi ni dofir geduecht war, en ze droen, wat sech als eenrichtung Audio, feelgeschloe Handschlag oder eng Firewall weist, déi Äntwerten erofgeet. Kontrolléiert béid Richtungen getrennt.

Wat an de Kontrakt ze schreiwen, a wéi en ze verifizéieren

Frot d’erlaabt Präfixen schrëftlech: wien autoriséiert ass, all Beräich ze originéieren, ob eng Default-Route erlaabt ass a wéi eng Adressfamilljen den Tunnelservice ënnerstëtzt. RFC 8212 huet eng explizit Import- an Exportpolitik zur Erwaardung fir eBGP an Implementéierungen gemaach, déi et verfollegen, also ass e Peer, deen sech nach op implizit Alles-Akzeptéieren verléisst, eng Fro wäert.

Verifizéiert dann vum Apparat amplaz vum Diagramm. Nëtzlech Kommandoen op FRR-ähnleche Routeren:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Füügt zwou Observatiounen derbäi, déi d’Routentabell Iech net ka ginn. Maacht en Opnam op der äusserer Schnittstell, fir ze bestätegen, wéi eng Adress déi encapsuléiert Pakete wierklech uviséieren, zum Beispill tcpdump -ni eth0 udp port 51820 fir en WireGuard-Tunnel, oder en ESP-Filter fir IPsec. Verfollegt dann Richtung ëffentlech Adress vum Peer a vergläicht d’Hops mat enger Spur am Tunnel; wann béid déiselwecht Ubberkette verfollegen, lieft Är Redundanz an der Routenpolitik an net am Netz.

Testt schlussendlech en Réckzuch bewosst. Huelt den Tunnel an engem Maintenance-Fënster erof, notéiert, wéi laang de Präfix installéiert bleift, wat mat bestoende Sessiounen geschitt, an ob déi wäit Säit op eng Route zréckfällt, déi Dir wierklech akzeptéiere géift. Dës Übung seet méi iwwer den Design wéi all Diagramm.

Eng Route ass keng Autorisatioun. D’Präfixen, déi Dir averstane sidd auszetauschen, soen näischt doriwwer, wéi eng Benotzer wéi ee Service hannert dem Tunnel erreeche kënnen, also loosst Authentifikatioun, erlaabt Servicer a Host-Firewallen genau do, wou se waren. En erreechbare Peer ass och keng Erlaabnes fir onbegrenzten Transit oder fir arbiträr Adressen ze originéieren, an dës Aart Autoritéit gehéiert an de Kontrakt als kommerziell Fro, net an eng BGP-Politikszeil.

• Nennt d’Präfixen, déi all Säit originéiere kann, an déi, déi se ni akzeptéiere soll.
• Begrenzt d’MSS um Tunnel a bestätegt, datt grouss Updaten tatsächlech ukommen.
• Lëscht d’gedeelt Underlay-Ofhängegkeeten op, net d’Zuel vun Tunnelen.
• Miisst en echte Réckzuch a notéiert, wat d’Applikatioun mécht.