BGP un MPLS VPN: kura daļa pārvadā paketi

Jautājums, vai VPN darbojas uz BGP vai MPLS, sajauc divus slāņus vienā lēmumā. BGP izplata sasniedzamību un politiku. MPLS pārsūta paketes, izmantojot instalēto etiķešu stāvokli. BGP/MPLS VPN abi sadarbojas, un jebkura no tiem noņemšana neatstāj nekādu pakalpojumu. Tālākās pārbaudes izved vienu un to pašu prefiksu cauri abiem slāņiem, lai jūs precīzi redzētu, kur apstājās jūsējais.

1. pārbaude: vai prefikss ir pareizajā VRF

Sāciet pie pakalpojumu sniedzēja ieejas malas un pajautājiet, kurai VRF pieder klienta prefikss. Klientu adrešu pārklāšanās šajā dizainā ir normāla, tāpēc VRF ir konteksts, kas šķir divus klientus, kuri abi izmanto 10.0.0.0/8.

Ja prefikss tur nav, nekas tālāk nevar būt pareizi, un pārējās pārbaudes ir veltīgs darbs.

2. pārbaude: vai VPN maršruts tika izplatīts un importēts

Pakalpojumu sniedzējs izplata klientu maršrutus ar MP-BGP. Katrs maršruts nes maršruta atšķirēju, kas citādi identiskus prefiksus padara unikālus, un maršruta mērķus, kas nosaka, kuras VRF importē maršrutu. Maršruts, kas ierodas, bet netiek importēts, atstāj saņēmēju VRF tukšu šim prefiksam. Pārbaudiet importa politiku, pirms vainot tālo galu.

Arī maršruta izvēle ir svarīga: vēlamais ceļš caur citu pakalpojumu sniedzēja malu aizstāj to, ko gaidījāt redzēt.

3. pārbaude: ko ieejas mala dara ar paketi

Kad pakete ierodas, ieejas mala veic IP meklēšanu VRF un pēc tam pievieno etiķetes izvēlētajam ceļam. Stekam ir divas loģiskās lomas arī tad, ja ierakstā redzams cits etiķešu skaits.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

BGP/MPLS VPN specifikācija apraksta šo izvietojumu. Etiķetes noņemšana priekšpēdējā lēcienā var noņemt transporta etiķeti pirms pēdējā lēciena, tāpēc tīkla vidū uzņemts ieraksts ar divām etiķetēm nav bojājuma pierādījums.

4. pārbaude: vai pamattīkls pārsūta šīs etiķetes

Tranzīta maršrutētāji pārslēdzas pēc saviem instalētajiem etiķešu ierakstiem. Tie nelasa BGP atjauninājumus, lai izlemtu, kas notiek ar jūsu konkrēto paketi. Tāpēc klienta maršruts var pastāvēt, kamēr pārsūtīšana joprojām neizdodas: atrisinātais nākamais lēciens vai transporta etiķete var salūzt neatkarīgi. VPN prefiksa apgūšana nesalabo pamattīklu zem tā.

Pārbaudiet etiķetes piesaisti pret izejas malu, nevis tikai maršruta esamību.

5. pārbaude: izejas darbība un atgriešanās ceļš

Izejā pakalpojuma etiķete nosaka pārsūtīšanas darbību, pakete tiek dekapsulēta un tā virzās uz klienta galamērķi. No turienes jādarbojas arī atgriešanās ceļam, tostarp klienta puses piekļuves politikai šajā saskarnē.

Vienvirziena panākums parasti ir atgriešanās maršruts vai filtrs, nevis etiķešu steks.

Lasiet savu simptomu kādā no šīm pārbaudēm

Maršruta trūkums saņēmējā VRF nozīmē paziņojumu, importa politiku vai maršruta izvēli. Esošs maršruts ar neizdevušām paketēm nozīmē atrisināto nākamo lēcienu, etiķešu pārsūtīšanu vai klienta puses atgriešanās ceļu. Paketes, kas ierodas nepareizā galamērķī, parasti nozīmē, ka pārbaudāt nepareizo VRF. Neviens no šiem nav iemesls mainīt maršrutēšanas protokolu.

Vēl vienu lietu ir vērts pateikt tieši: šis dizains šķir klientus un efektīvi pārsūta viņu satiksmi. Tas nešifrē, un uzskatīt to par konfidencialitātes pakalpojumu ir atsevišķa kļūda.