BGP ir MPLS VPN tinkle: kuri dalis neša paketą

BGP paskirsto maršrutą, o MPLS persiunčia paketą. Atlikite šiuos penkis patikrinimus iš eilės ir pamatysite, kuriame sluoksnyje sustojo jūsų VPN priešdėlis ar paketas.

Klausimas, ar VPN veikia BGP, ar MPLS, sujungia du sluoksnius į vieną sprendimą. BGP paskirsto pasiekiamumą ir politiką. MPLS persiunčia paketus naudodamas įdiegtą žymių būseną. BGP/MPLS VPN atveju abu bendradarbiauja, o pašalinus bet kurį iš jų paslaugos visai nelieka. Toliau pateikti patikrinimai veda tą patį priešdėlį per abu sluoksnius, kad tiksliai matytumėte, kur sustojo jūsiškis.

1 patikrinimas: ar priešdėlis yra tinkamoje VRF

Pradėkite nuo tiekėjo įėjimo briaunos ir paklauskite, kuriai VRF priklauso kliento priešdėlis. Klientų adresų persidengimas šiame projekte yra normalus, todėl VRF yra kontekstas, kuris atskiria du klientus, abu naudojančius 10.0.0.0/8.

Jei priešdėlio ten nėra, niekas vėliau negali būti teisinga, o likę patikrinimai yra veltui eikvojamos pastangos.

2 patikrinimas: ar VPN maršrutas buvo paskirstytas ir importuotas

Tiekėjas paskirsto klientų maršrutus naudodamas MP-BGP. Kiekvienas maršrutas neša maršruto skiriamąjį požymį, kuris kitu atveju identiškus priešdėlius daro unikalius, ir maršruto tikslus, kurie nusprendžia, kurios VRF importuoja maršrutą. Maršrutas, kuris atvyksta, bet nėra importuojamas, palieka priimančią VRF tuščią tam priešdėliui. Patikrinkite importo politiką prieš kaltindami tolimąjį galą.

Maršruto pasirinkimas taip pat svarbus: pageidaujamas kelias per kitą tiekėjo briauną pakeičia tą, kurį tikėjotės pamatyti.

3 patikrinimas: ką įėjimo briauna daro su paketu

Kai atvyksta paketas, įėjimo briauna atlieka IP paiešką VRF ir tada prideda žymes pasirinktam keliui. Stekas turi du loginius vaidmenis net tada, kai įraše matomas kitas žymių skaičius.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

BGP/MPLS VPN specifikacija aprašo šį išdėstymą. Žymės nuėmimas priešpaskutiniame šuolyje gali pašalinti transporto žymę prieš paskutinį šuolį, todėl tinklo viduryje padarytas dviejų žymių įrašas nėra gedimo įrodymas.

4 patikrinimas: ar pagrindinis tinklas persiunčia tas žymes

Tranzito maršrutizatoriai perjungia pagal savo įdiegtus žymių įrašus. Jie neskaito BGP atnaujinimų, kad nuspręstų, kas nutiks jūsų konkrečiam paketui. Todėl kliento maršrutas gali egzistuoti, nors persiuntimas vis dar nepavyksta: išspręstas kitas šuolis arba transporto žymė gali sugesti nepriklausomai. VPN priešdėlio išmokimas nesutaiso po juo esančio pagrindinio tinklo.

Patikrinkite žymės susiejimą išėjimo briaunos kryptimi, o ne vien maršruto buvimą.

5 patikrinimas: išėjimo veiksmas ir grįžimo kelias

Išėjime paslaugos žymė nustato persiuntimo veiksmą, paketas dekapsuliuojamas ir juda kliento link. Iš ten turi veikti ir grįžimo kelias, įskaitant kliento pusės prieigos politiką tame sąsajame.

Vienkryptė sėkmė dažniausiai yra grįžimo maršrutas arba filtras, o ne žymių stekas.

Perskaitykite savo simptomą viename iš šių patikrinimų

Maršruto nebuvimas priimančioje VRF reiškia skelbimą, importo politiką arba maršruto pasirinkimą. Esamas maršrutas su nepavykstančiais paketais reiškia išspręstą kitą šuolį, žymių persiuntimą arba kliento pusės grįžimo kelią. Paketai, atvykstantys į netinkamą paskirties vietą, dažniausiai reiškia, kad tikrinate ne tą VRF. Nė vienas iš šių dalykų nėra priežastis keisti maršrutizavimo protokolą.

Dar vieną dalyką verta pasakyti tiesiai: šis projektas atskiria klientus ir efektyviai persiunčia jų srautą. Jis neužšifruoja, o traktuoti jį kaip konfidencialumo paslaugą yra atskira klaida.

Susiję straipsniai