Mākoņa VPN ir vajadzīgs BGP: kāpēc citi maršrutēšanas protokoli nespēj darboties

IPsec drošības asociācija ir aktīva, tuneļa skaitītāji kustas, un trafiks uz mākoņa prefiksu pazūd. Tad operators mēģina iespējot OSPF klienta maršrutētājā, cerot, ka izveidosies kaimiņš, un nekas nenotiek. Tunelis nekad nebija trūkstošā daļa: pārvaldīts mākoņa VPN piedāvā definētu maršrutēšanas līgumu, un lielajās platformās šis līgums ir BGP. Kamēr nav sesijas un nav pieņemts prefikss, tunelis ir tikai šifrēts ceļš bez galamērķiem aiz tā.

Tunelis ir aktīvs, bet maršruts trūkst

1. un 2. fāzes pabeigšana pierāda, ka puses vienojas par aizsardzību, nevis to, ka kāda puse zina, kur sūtīt trafiku. Tās ir atsevišķas stāvokļa mašīnas ar atsevišķiem atteices režīmiem.

Uzdodiet trīs jautājumus pēc kārtas: vai prefikss tika paziņots, vai kaimiņš to pieņēma un vai tas tika instalēts pāradresācijai? Paziņots un filtrēts prefikss ir politikas problēma. Nekad nepaziņots prefikss ir sesijas vai konfigurācijas problēma. Pieņemts, bet neinstalēts prefikss ir maršruta izvēles problēma, un katra atbilde norāda uz citu konfigurācijas daļu.

Ko pakalpojumu sniedzējs faktiski dod

Pārvaldīta VPN vārteja nav neierobežots maršrutētājs. Pakalpojumu sniedzējs dod vārteju ar atbalstītām kaimiņu adresēm, autonomas sistēmas iestatījumu, prefiksu limitiem un definētu atteices uzvedību. Šī virsma ir produkts.

Google Cloud dokumentē dinamisku BGP maršrutēšanu HA VPN, kur Cloud Router apgūst kaimiņu maršrutus un piegādā piemērotus pielāgotus dinamiskos maršrutus VPC. AWS Site-to-Site VPN dokumentē izvēli starp statisku un dinamisku maršrutēšanu un apraksta BGP dzīvotspējas pārbaudes kā noderīgas tuneļa pārslēgšanai, vienlaikus atbalstot arī veselības pārbaudes ierīcēm bez BGP. Nav jāsecina nevienas platformas uzvedība no otras produkta nosaukuma.

Praktiskās sekas ir tādas, ka vispirms izvēlaties pārvaldīto režīmu un pēc tam lasāt atbalstītos parametrus. Projekts, kas pieņem kaimiņattiecību veidu, ko pakalpojums nepiedāvā, nav konfigurācijas problēma, kas jārisina klienta maršrutētājā.

Tuneļa aizsardzība un sasniedzamība ir atsevišķi darbi

IPsec aizsargā tunelim atlasīto trafiku. BGP piegādā sasniedzamības informāciju, kas padara prefiksu piemērotu. Strādājošs tunelis nepierāda, ka gaidītais prefikss tika paziņots, pieņemts vai instalēts.

Iedomājieties filiāli, kas paziņo 10.42.0.0/16 divos piemērotos tuneļa ceļos. Noņemiet vienu izmantojamu ceļu, un maršruta izvēle var mainīties, nevienam ne Rediģējot katra darba slodzes maršrutu. Noteikšana, maršruta izvēle un lietojumprogrammas atjaunošana nav acumirklīga un nav identiska dažādos izvietojumos, tāpēc pārslēgšanas testam ir jānovēro visa secība, nevis pirmā paka, kas iziet cauri.

Kad mākoņa prefikss nav sasniedzams, pārbaudiet sesijas stāvokli un apgūtos maršrutus pirms kriptogrāfijas aizskaršanas. Aktīva SA bez maršruta aiz tās ir visizplatītākā šī simptoma forma.

Kur OSPF pieņēmumi sabrūk

OSPF, IS-IS vai cits protokols IPsec tuneļa iekšpusē ir pilnīgi iespējams pašpārvaldītā iekārtā, kur abi gali un pāradresācijas projekts pieder jums. Šis fakts neko neizsaka par pārvaldītu pakalpojumu, kas kā dinamiskās maršrutēšanas režīmu piedāvā tikai BGP.

Ja ierosinātais projekts prasa kaimiņattiecības, ko pakalpojums neatbalsta, apzināti mainiet arhitektūru. Iespējas ietver pašpārvaldītu iekārtu VPC, statisku maršrutēšanu tur, kur pakalpojums to atbalsta, vai citu savienojamības produktu. Protokola konfigurēšana tikai klienta maršrutētājā nevar pievienot mākoņa pusē neesošu kaimiņu, un tā neļaus prefiksam parādīties.

Nepārnesiet viena piegādātāja atbildi uz cita piegādātāja vārteju. Tie paši vārdi, piemēram, dinamiskā maršrutēšana vai tuneļa pārslēgšana, var aprakstīt dažādus mehānismus un dažādas robežas.

Izlasiet pakalpojuma prasību un pēc tam projektējiet

Pirms pirmās konfigurācijas rindas pierakstiet kaimiņu adreses, autonomo sistēmu numurus, prefiksus, ko paziņosiet un pieņemsiet, maršrutu limitus un gaidīto uzvedību, kad tunelis sabojājas. Šie pieci punkti ir līgums, pret kuru projektējat.

Pēc tam pārbaudiet tādā pašā secībā: sesija izveidota, prefikss saņemts, maršruts ir VPC maršrutu tabulā un reāla plūsma uz pakalpojuma adresi. Atkārtojiet pēc piespiedu pārslēgšanas, jo sesija, kas izveidojas no jauna, var atgriezties ar citu maršrutu kopu. Ja projekts ir atkarīgs no konverģences zem vienas sekundes, izmēriet to, nevis pieņemiet.

Glabājiet pakalpojuma līgumu kopā ar izmaiņu reģistru. Kad vēlāk kāds jautās, kāpēc tunelis nevar darbināt OSPF, atbilde ir produkta robeža, nevis protokola ierobežojums, un reģistrā tas jānorāda.