MPLS рутирање на филијали: што учи CE и од кого

Домаќин во една филијала отвора врска со сервер во друга, и двете локации стојат зад истата управувана MPLS 3-то ниво VPN. Домаќинот го знае само својот стандарден портал и ништо друго, што е точно. Важно е локалниот раб на клиентот да го предаде пакетот на својот раб на провајдерот, а состојбата за рутирање на VPN кај провајдерот да го достави до филијалата што го поседува префиксот на одредиштето.

Следењето на еден пакет по патот е најбрзиот начин да се види кој дел е одговорност на клиентот и кој дел и припаѓа на услугата.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Каде завршува работата на секој хоп

На CE-A му треба рута за далечната LAN што покажува кон неговото локално поврзување со провајдерот, а не кон WAN адресата на далечната филијала. Потоа провајдерот го пренесува пакетот низ своето јадро користејќи ја состојбата за рутирање на VPN, и CE-B го доставува на целната LAN. Во ниту еден момент домаќинот не треба да разбира етикети, VRF или интернет линијата на другата страна.

Грешката што постојано се појавува во тикетите е поставување на WAN адресата на филијалата B како следен хоп во филијалата A. Двете филијали купиле иста услуга, па изгледа како да треба да бидат соседи. Но не се: следниот хоп мора да биде достапен преку дизајнот за рутирање што навистина го имате, а далечниот CE обично е многу хопови подалеку зад опрема што не ја администрирате. Статичната рута изградена врз таа претпоставка се прикажува како активна и не се разрешува во ништо, што е полошо од рута што недостасува, бидејќи во табелата изгледа исправна.

RFC 4364 ја одвојува размената меѓу рабовите на клиентот и провајдерот од дистрибуцијата на VPN рути од страна на провајдерот, и тоа е точно границата за која е ова упатство. Задачата на клиентот е да му каже на својот раб што може да достави и да ја прифати достапноста што услугата ја нуди за возврат.

За што треба да се договори предавањето

Изберете го механизмот заедно со провајдерот, а не околу него. Статичните рути, BGP или договорот за протокол за рутирање меѓу CE и PE се сите легитимни, а OSPF има дефиниран MPLS VPN модел за такво предавање. Ниту еден од нив не е причина да се изгради OSPF соседство меѓу два далечни клиентски рабови преку неодредено јадро на провајдер, бидејќи тоа е дизајн со кој провајдерот не се согласил и не може да го поддржи.

Пред нова LAN да пушти во работа, запишете четири работи: префиксот, локалната следна рута на CE, огласот што провајдерот ќе го прифати и рутите што провајдерот ќе ги врати. Додајте какво било филтрирање, ограничувања на префикси или ограничувања меѓу локациите што ги наложува договорот. Здравото соседство е канал за размена на информации и не е доказ дека одреден префикс е прифатен; сесијата може да е активна додека вашата нова подмрежа седи во филтер.

Потоа следете го одговорот. На филијалата B ѝ треба рута назад кон изворната LAN, а на домаќинот на страната што прима му требаат свој портал и свои дозволи за услугата. Рутата што се појавува на CE-A воспоставува половина пат напред и назад, и токму половината пат е причината зошто една насока од ping тестот изгледа здрава додека апликацијата сѐ уште не успева.

Проверете ги двете предавања пред прифаќањето

Соберете ја состојбата за рутирање на двата клиентски рабови, потврдете со провајдерот дека предвидените LAN префикси се прифатени во VPN, и потоа тестирајте една дозволена апликација во секоја насока. Самите табели за рутирање не докажуваат дека апликацијата работи, а само тестот на апликацијата не ви кажува која контролна рамнина не успеала кога таа не работи.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Читајте ги трите излези заедно. Првиот кажува во што верува работ, вториот кажува што научил и од кој партнер, а третиот кажува што навистина ќе проследи. Несогласувањето меѓу нив обично е проблем со политика или рекурзија, а не оглас што недостасува, и вреди да се реши пред да се побара од провајдерот да истражи. Донесете ги овие три излези на разговорот со операторот, бидејќи тие одговараат на повеќето прашања што инженерот за поддршка инаку би ви ги поставил.

Знајте што не обезбедува услугата

Ова е рутиран пристап од 3-то ниво. Ова не е линија од 2-ро ниво што ги проширува емитувањата меѓу канцелариите, затоа протоколите за откривање, апликациите зависни од емитување и претпоставките за заеднички сегмент не патуваат со неа. Печатењето, прелистувањето имиња и сѐ што зависи од локален сегмент бараат свој дизајн.

Одвојувањето на VPN исто така не е шифрирање. Комутацијата на етикети ги држи клиентите одвоени во мрежата на провајдерот, и тоа не го прави товарот доверлив ако договорот бара доверливост. Каде што тоа е важно, мора да го обезбеди апликацијата или слојот за преклопување.

На крајот, држете го моделот на услугата запишан до конфигурацијата за рутирање на локацијата. Следниот инженер што ќе додаде подмрежа треба да може да прочита кои префикси се огласуваат, кој ги прифаќа и кој е очекуваниот повратен пат: спецификацијата BGP/MPLS IP VPN е референцата за моделот што стои зад сето ова.