Предавање на L3VPN: приватни рути, стандардна рута или целосна табела?

Вашето коло е подигнато, VRF е конфигуриран, а провајдерот поставува кратко прашање што го одредува остатокот од дизајнот: што треба да прими клиентскиот раб? Три одговори се вообичаени и ниту еден не произлегува од фактот дека постои стек од ознаки. Тие се услужни одлуки за тоа каде сообраќајот ја напушта филијалата.

Поминувањето на предавањето по ред е најевтиниот начин тоа да се направи правилно. Започнувате од тоа што се случува со сообраќајот што не се совпаѓа со ништо, потоа ги запишувате приватните префикси и нивното однесување при отказ и само потоа зборувате за тоа колку голем тек сте подготвени да носите.

Започнете со сообраќајот што никој не го испланирал

Поставете едно прашање пред да се појави било кој список на префикси: кога пакетот не се совпаѓа со ниту една приватна рута, каде треба да оди? Филијалата со сопствено интернет коло обично држи локална стандардна рута, така што обичниот веб сообраќај излегува низ локалниот огнен ѕид и никогаш не го допира провајдерот. Во тој дизајн VPN носи само оддалечени приватни локации, а изборот го вршат поспецифичните префикси.

Филијалата што треба да користи централен излез е спротивниот случај. Таму стандардната рута покажува во услугата, а провајдерот или централната локација ги поседува препраќањето, повратното рутирање и секое преведување. Да се каже "стандардно во VPN" без тој сопственик дава филијала што решава имиња и не достигнува ништо.

Двата дизајна се разликуваат по тоа како изгледа рутирачки отказ, и затоа погодувањето е скапо. Со локална стандардна рута, изгубена приватна рута го испраќа тој сообраќај на интернет, каде огнениот ѕид го отфрла или, уште полошо, одговара нешто што не сте го намеравале. Со централна стандардна рута, истиот губиток целосно го одзема интернет пристапот и тикетот пристигнува како "целата филијала е падната". Ниту еден отказ сам по себе не е погрешен, но само еден одговара на продадената услуга, а само BGP конфигурација нема да ви каже кој сте го изградиле.

Запишете ги приватните префикси заедно со нивниот случај на отказ

Наведете ги префиксите што филијалата мора да ги достигне и забележете кои од нив се сумирани. Агрегатот што е еден бит преширок ги вовлекува непознатите одредишта во VPN, и тоа е прифатливо само ако далечната страна навистина ги поседува и препраќа.

Потоа опишете го наменетото однесување кога приватната услуга откажува. Задржана рута за отфрлање го држи сообраќајот подалеку од неовластен пат и дава чист, очекуван прекин. Пловечка стандардна рута може да ја зачува достапноста преминувајќи на резервен пат, но само ако на тој резервен пат му е дозволено да го носи тој сообраќај.

Достапноста и дозволениот резервен пат држете ги како два одделни барања во документот за предавање. Тимовите што ги спојуваат на крајот расправаат дали филијалата требало да падне, наместо да проверат дали договорената политика е спроведена.

Проверете што CE навистина инсталирал

Конфигурациската намера и состојбата на препраќање доволно често се разидуваат, така што верификацијата припаѓа на предавањето, а не на прегледот на инцидентот. На IOS-XE клиентски раб, трите команди подолу одговараат на три различни прашања: што било понудено, што било прифатено и што навистина се користи.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Извршете ги сите три на денот на предавањето, а не месец подоцна, додека некој сѐ уште се сеќава што е договорено. Првиот излез зависи од soft-reconfiguration inbound или зачувано освежување на рути; без едното или другото, CE не може да ви покаже што одбил. Вториот ги покажува прифатените и најдобрите рути по политиката. Третиот ви кажува каде стандардната рута навистина оди, и тоа е најкорисната линија во целото предавање.

Извршете ги истите проверки на втор CE ако локацијата е двојно поврзана. Асиметричното прифаќање меѓу два раба е честа причина за "работи од еден сервер, а не од другиот", и тоа е невидливо во конфигурациски diff што изгледа симетрично.

Квалификувајте поголем тек наместо да го претпоставувате

Понекогаш клиентот навистина бара интернет рутирачки информации внатре во VRF, за политичко рутирање или за централен излез што управува по префикс. Тоа е барање што треба да се изрази, ограничи и цени, а не скриена стандардна рута. Со него доаѓаат меморија за RIB и FIB, CPU за ажурирања, одржување на филтри и сопственик за добиената табела.

Аргументите за капацитет грешат во двете насоки. Целосна табела не е забранета внатре во VRF, а ниту е бесплатна. Исто така, не можете да го заклучите денешниот трошок од стар број на рути, а помалата распределба на ознаки не го отстранува трошокот за чување рути.

Спецификацијата BGP/MPLS IP VPN разгледува неколку решенија за интернет пристап покрај самата VPN услуга и не прогласува целосна табела или стандардна рута за задолжителни за секој клиент, и токму тој дел вреди да се посочи кога ќе се појави тврдење за "стандардна практика": RFC 4364.

Затворете го предавањето со запишување на најавеното множество, прифатеното множество и избраното множество до договорената излезна политика, и со тестирање на едно приватно одредиште, едно наменето јавно одредиште и еден случај на губење рута. Потпишан запис од тие три теста решава повеќе расправии од било која изјава за тоа што прават повеќето мрежи.