Облачниот VPN бара BGP: зошто другите протоколи за рутирање не успеваат

IPsec безбедносната асоцијација е активна, бројачите на тунелот се движат, а сообраќајот кон облачниот префикс исчезнува. Потоа операторот се обидува да го овозможи OSPF на рутерот на клиентот, очекувајќи соседот да се формира, и ништо не се случува. Тунелот никогаш не бил делот што недостасува: управуван облачен VPN изложува дефиниран договор за рутирање, а на големите платформи тој договор е BGP. Додека не постои сесија и не се прифати префикс, тунелот е само шифрирана патека без дестинации зад него.

Тунелот е активен, а рутата недостасува

Завршувањето на фаза 1 и фаза 2 докажува дека страните се согласуваат за заштитата, а не дека која било страна знае каде да го прати сообраќајот. Тоа се одделни машини на состојби со одделни режими на откажување.

Поставете три прашања по ред: дали префиксот беше објавен, дали соседот го прифати и дали беше инсталиран за препраќање? Префикс што бил објавен и филтриран е проблем со политика. Префикс што никогаш не бил објавен е проблем со сесија или конфигурација. Префикс што бил прифатен, но не инсталиран е проблем со избор на рута, и секој одговор покажува на различен дел од конфигурацијата.

Што всушност ви дава давателот

Управувана VPN порта не е рутер без ограничувања. Давателот ви дава порта со поддржани адреси на соседи, поставка за автономен систем, граници на префиксот и дефинирано однесување при откажување. Таа површина е производот.

Google Cloud документира динамично BGP рутирање за HA VPN, при што Cloud Router ги учи рутите на соседите и доставува соодветни приспособени динамични рути до VPC. AWS Site-to-Site VPN документира избор меѓу статично и динамично рутирање и ги опишува BGP проверките на живост како корисни за префрлање на тунелот, а истовремено поддржува и здравствени проверки за уреди без BGP. Однесувањето на една платформа не смее да се изведува од името на производот на другата.

Практичната последица е дека прво го избирате управуваниот режим, а потоа ги читате поддржаните параметри. Проект што претпоставува тип на соседство што услугата не го нуди не е конфигурациски проблем што треба да се реши на рутерот на клиентот.

Заштитата на тунелот и достапноста се одделни работи

IPsec го штити сообраќајот избран за тунелот. BGP ја доставува информацијата за достапност што го прави префиксот соодветен. Работечки тунел не докажува дека очекуваниот префикс бил објавен, прифатен или инсталиран.

Замислете филијала што објавува 10.42.0.0/16 преку две соодветни патеки на тунелот. Отстранете една употреблива патека и изборот на рута може да се промени без никој да ја уредува рутата на секое работно оптоварување. Откривањето, изборот на рута и закрепнувањето на апликацијата не се моментални и не се идентични меѓу распоредувањата, затоа тестот за префрлање мора да ја набљудува целата низа, а не првиот пакет што ќе помине.

Кога облачен префикс е недостапен, проверете ја состојбата на сесијата и научените рути пред да ја допрете криптографијата. Активна SA без рута зад себе е најчестата форма на овој симптом.

Каде се кршат претпоставките за OSPF

OSPF, IS-IS или друг протокол внатре во IPsec тунел е сосема возможен на самоуправуван уред, каде двата краја и дизајнот на препраќање се ваши. Тој факт не кажува ништо за управувана услуга што како режим на динамично рутирање нуди само BGP.

Ако предложениот проект бара соседство што услугата не го поддржува, смислено сменете ја архитектурата. Опциите вклучуваат самоуправуван уред во VPC, статично рутирање каде услугата го поддржува, или друг производ за поврзување. Конфигурирањето на протоколот само на рутерот на клиентот не може да додаде сосед на страната на облакот што не постои, и нема да го направи префиксот видлив.

Не префрлајте го одговорот на еден добавувач на портата на друг. Истите зборови, како динамично рутирање или префрлање на тунелот, можат да опишат различни механизми и различни граници.

Прочитајте го барањето на услугата, потоа проектирајте

Пред првата конфигурациска линија запишете ги адресите на соседите, броевите на автономните системи, префиксите што ќе ги објавувате и прифаќате, границите на рутите и очекуваното однесување кога тунелот откажува. Тие пет ставки се договорот според кој проектирате.

Потоа проверете во истиот редослед: сесија воспоставена, префикс примен, рута присутна во табелата со рути на VPC и вистински тек кон адреса на услуга. Повторете по присилно префрлање, бидејќи сесија што повторно се воспоставува може да се врати со различен сет на рути. Ако проектот зависи од конвергенција под една секунда, измерете ја наместо да ја претпоставите.

Чувајте го договорот за услугата со записот за промена. Кога подоцна некој ќе праша зошто тунелот не може да извршува OSPF, одговорот е граница на производот, а не ограничување на протоколот, и записот треба тоа да го каже.