L3VPN nodošana: privātie maršruti, noklusējuma maršruts vai pilna tabula?

Jūsu līnija ir ieslēgta, VRF ir konfigurēts, un pakalpojumu sniedzējs uzdod īsu jautājumu, kas nosaka pārējo dizainu: kas jāsaņem klienta malai? Trīs atbildes ir izplatītas, un neviena no tām neizriet no tā, ka pastāv birku steks. Tās ir pakalpojuma lēmumi par to, kur plūsma atstāj filiāli.

Nodošanas izstaigāšana secībā ir lētākais veids, kā to izdarīt pareizi. Jūs sākat ar to, kas notiek ar plūsmu, kas neatbilst nekam, pēc tam pierakstāt privātos prefiksus un to uzvedību atteices laikā, un tikai tad runājat par to, cik lielu plūsmu esat gatavs pārvadāt.

Sāciet ar plūsmu, ko neviens neplānoja

Uzdodiet vienu jautājumu, pirms parādās jebkurš prefiksu saraksts: kad pakete neatbilst nevienam privātajam maršrutam, kur tai jāiet? Filiāle ar savu interneta līniju parasti patur lokālo noklusējumu, tāpēc parastā tīmekļa plūsma iziet caur lokālo ugunsmūri un pakalpojumu sniedzēju nekad neskar. Šajā dizainā VPN pārvadā tikai attālos privātos saitus, un atlasi veic konkrētāki prefiksi.

Filiāle, kurai jāizmanto centrālā izeja, ir pretējais gadījums. Tur noklusējums norāda pakalpojuma iekšienē, un pakalpojumu sniedzējs vai centrālais saits pārvalda pāradresāciju, atgriezenisko maršrutēšanu un jebkuru tulkošanu. Teikt "noklusējums uz VPN" bez šī īpašnieka nozīmē filiāli, kas atrisina vārdus un neko nesasniedz.

Abi dizaini atšķiras ar to, kā izskatās maršrutēšanas atteice, un tāpēc minēšana ir dārga. Ar lokālo noklusējumu zaudēts privātais maršruts aizsūta šo plūsmu uz internetu, kur to izmet ugunsmūris vai, vēl ļaunāk, atbild kaut kas, ko neplānojāt. Ar centrālo noklusējumu tas pats zaudējums pilnībā atņem interneta piekļuvi, un pieteikums pienāk kā "visa filiāle ir kritusi". Neviena atteice pati par sevi nav nepareiza, bet tikai viena atbilst pārdotajam pakalpojumam, un tikai BGP konfigurācija nepateiks, kuru jūs uzbūvējāt.

Pierakstiet privātos prefiksus kopā ar to atteices gadījumu

Uzskaitiet prefiksus, kuri filiālei jāsasniedz, un atzīmējiet, kuri no tiem ir apkopoti. Agregāts, kas ir par vienu bitu pārāk plašs, ievelk nezināmus galamērķus VPN, un tas ir pieņemami tikai tad, ja tālā puse tos tiešām pārvalda un pārsūta.

Pēc tam aprakstiet paredzēto uzvedību, kad privātais pakalpojums sabrūk. Saglabāts atmešanas maršruts notur plūsmu prom no neatļauta ceļa un dod tīru, gaidītu pārtraukumu. Peldošs noklusējums var saglabāt pieejamību, pārejot uz rezerves ceļu, bet tikai tad, ja rezerves ceļam ir atļauts pārvadāt šo plūsmu.

Pieejamību un atļauto rezerves ceļu turiet kā divas atsevišķas prasības nodošanas dokumentā. Komandas, kas tās apvieno, beigās strīdas par to, vai filiālei vajadzēja krist, nevis pārbauda, vai vienotā politika ir ieviesta.

Pārbaudiet, ko CE patiešām uzstādīja

Konfigurācijas nodoms un pāradresācijas stāvoklis atšķiras pietiekami bieži, lai pārbaude piederētu nodošanai, nevis incidenta izskatīšanai. Uz IOS-XE klienta malas trīs zemāk esošās komandas atbild uz trim dažādiem jautājumiem: kas tika piedāvāts, kas pieņemts un kas faktiski tiek izmantots.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Palaidiet visus trīs nodošanas dienā, nevis mēnesi vēlāk, kamēr kāds vēl atceras, par ko vienojās. Pirmā izvade ir atkarīga no soft-reconfiguration inbound vai saglabātas maršrutu atsvaidzināšanas; bez viena vai otra CE nevar parādīt, ko tas noraidīja. Otrā parāda pieņemtos un labākos maršrutus pēc politikas. Trešā pasaka, kur noklusējums patiešām iet, un tā ir visnoderīgākā rinda visā nodošanā.

Palaidiet tās pašas pārbaudes otrajā CE, ja vieta ir pieslēgta ar divām līnijām. Asimetriska pieņemšana starp divām malām ir biežs iemesls "strādā no viena servera, bet ne no otra", un tā nav redzama konfigurācijas diffā, kas izskatās simetrisks.

Novērtējiet lielāku plūsmu, nevis pieņemiet to

Dažkārt klientam patiešām vajag interneta maršrutu informāciju VRF iekšienē, politikas maršrutēšanai vai centrālai izejai, kas virza pēc prefiksa. Tā ir prasība, kas jādeklarē, jāierobežo un jācenš, nevis slēpts noklusējums. Tā nāk ar atmiņu RIB un FIB, CPU atjauninājumiem, filtru uzturēšanu un iegūtās tabulas īpašnieku.

Jaudas argumenti kļūdās abos virzienos. Pilna tabula VRF iekšienē nav aizliegta, un tā arī nav bez maksas. Tāpat jūs nevarat secināt šodienas izmaksas no veca maršrutu skaita, un mazāks birku sadalījums nenovērš maršrutu glabāšanas izmaksas.

BGP/MPLS IP VPN specifikācija apskata vairākus interneta piekļuves risinājumus līdzās pašam VPN pakalpojumam un nepasludina pilnu tabulu vai noklusējumu par obligātu katram klientam, un tieši šī sadaļa ir tā, uz kuru jānorāda, kad parādās apgalvojums par "standarta praksi": RFC 4364.

Noslēdziet nodošanu, pierakstot izziņoto kopu, saņemto kopu un atlasīto kopu līdzās vienotajai izejas politikai, un pārbaudot vienu privātu galamērķi, vienu paredzētu publisku galamērķi un vienu maršruta zuduma gadījumu. Parakstīts šo trīs pārbaužu ieraksts izšķir vairāk strīdu nekā jebkurš apgalvojums par to, ko dara vairums tīklu.