Үүлэн VPN-д BGP хэрэгтэй: бусад чиглүүлэлтийн протоколууд яагаад бүтэлгүйтдэг

IPsec аюулгүй байдлын холбоо ажиллаж, туннелийн тоолуурууд хөдөлж байхад үүлэн угтвар руу чиглэсэн трафик алга болдог. Дараа нь оператор хэрэглэгчийн маршруулагч дээр OSPF-г идэвхжүүлэхийг оролдож, хөрш үүснэ гэж хүлээдэг боловч юу ч болохгүй. Туннель хэзээ ч дутуу хэсэг байгаагүй: удирдлагатай үүлэн VPN тодорхой чиглүүлэлтийн гэрээг санал болгодог бөгөөд том платформууд дээр энэ гэрээ нь BGP юм. Сесс үүсч, угтвар хүлээн авах хүртэл туннель бол ард нь очих газаргүй шифрлэгдсэн зам төдий.

Туннель ажиллаж байна, зам байхгүй

1 ба 2-р үе шат дуусах нь талууд хамгаалалтын талаар санал нэгдэж байгааг нотолж байгаа бөгөөд аль нэг тал трафикийг хаашаа явуулахаа мэдэж байгааг биш. Эдгээр нь тусдаа эвдрэлийн горимтой тусдаа төлөвийн машинууд юм.

Дарааллаар нь гурван асуулт тавь: угтвар зарлагдсан уу, хөрш үүнийг хүлээн авсан уу, дамжуулалтад суулгасан уу? Зарлагдаж шүүгдсэн угтвар бол бодлогын асуудал. Хэзээ ч зарлагдаагүй угтвар бол сесс эсвэл тохиргооны асуудал. Хүлээн авсан боловч суулгаагүй угтвар бол замын сонголтын асуудал бөгөөд хариулт бүр тохиргооны өөр хэсгийг заадаг.

Үйлчилгээ үзүүлэгч танд үнэндээ юу өгдөг

Удирдлагатай VPN гарц бол хязгааргүй маршруулагч биш. Үйлчилгээ үзүүлэгч танд дэмжигдсэн хөршийн хаяг, автономит системийн тохиргоо, угтварын хязгаар, тодорхой эвдрэлийн зан төлөв бүхий гарц өгдөг. Тэр гадаргуу нь бүтээгдэхүүн юм.

Google Cloud нь HA VPN-д зориулсан динамик BGP чиглүүлэлтийг баримтжуулдаг бөгөөд Cloud Router хөршийн замыг сурч, VPC-д тохирох өөрчилсөн динамик замуудыг нийлүүлдэг. AWS Site-to-Site VPN нь статик ба динамик чиглүүлэлтийн хоорондох сонголтыг баримтжуулж, BGP-ийн амьд байдлын шалгалтыг туннель шилжүүлэхэд ашигтай гэж тайлбарлахаас гадна BGPгүй төхөөрөмжүүдэд эрүүл мэндийн шалгалтыг дэмждэг. Аль нэг платформын зан төлөвийг нөгөөгийн бүтээгдэхүүний нэрээс дүгнэж болохгүй.

Практик дүгнэлт нь та эхлээд удирдлагатай горимыг сонгоод дараа нь дэмжигдсэн параметрүүдийг уншдаг. Үйлчилгээний санал болгодоггүй хөршийн төрлийг таамагласан загвар нь хэрэглэгчийн маршруулагч дээр шийдэх тохиргооны асуудал биш юм.

Туннелийн хамгаалалт ба хүртээмж нь тусдаа ажил

IPsec нь туннельд сонгогдсон трафикийг хамгаалдаг. BGP нь угтварыг тохирох болгодог хүртээмжийн мэдээллийг нийлүүлдэг. Ажиллаж буй туннель нь хүлээгдэж буй угтвар зарлагдсан, хүлээн авсан эсвэл суулгасан гэдгийг нотолдоггүй.

Хоёр тохирох туннелийн замаар 10.42.0.0/16-г зарладаг салбарыг төсөөлөөд үз. Нэг ашиглах боломжтой замыг хасвал ажлын ачаалал бүрийн замыг хэн ч засахгүйгээр замын сонголт өөрчлөгдөж болно. Илрүүлэх, замын сонголт, аппликейшнийг сэргээх нь агшин зуурын биш бөгөөд байршуулалт бүрт ижил биш тул шилжүүлэлтийн туршилт нь эхний дамжсан пакетыг биш, бүх дарааллыг ажиглах ёстой.

Үүлэн угтвар хүртээмжгүй үед криптографид хүрэхээс өмнө сессийн төлөв болон сурсан замуудыг шалгана уу. Ард нь замгүй ажиллаж буй SA нь энэ шинж тэмдгийн хамгийн түгээмэл хэлбэр юм.

OSPF-ийн таамаглал хаана эвдэрдэг

IPsec туннелийн дотор OSPF, IS-IS эсвэл өөр протокол ажиллуулах нь хоёр үзүүр болон дамжуулалтын загварыг өөрөө эзэмшдэг өөрөө удирддаг төхөөрөмж дээр бүрэн боломжтой. Энэ баримт нь динамик чиглүүлэлтийн горим болгон зөвхөн BGP санал болгодог удирдлагатай үйлчилгээний талаар юу ч хэлэхгүй.

Хэрэв санал болгож буй загварт үйлчилгээний дэмждэггүй хөршийн холбоо шаардлагатай бол архитектурыг санаатайгаар өөрчил. Сонголтууд нь VPC дэх өөрөө удирддаг төхөөрөмж, үйлчилгээ дэмждэг газарт статик чиглүүлэлт, эсвэл өөр холболтын бүтээгдэхүүн юм. Протоколыг зөвхөн хэрэглэгчийн маршруулагч дээр тохируулах нь үүлэн талд байхгүй хөршийг нэмж чадахгүй бөгөөд угтварыг гаргаж ирэхгүй.

Нэг нийлүүлэгчийн хариултыг нөгөөгийн гарц руу зөөж болохгүй. Динамик чиглүүлэлт эсвэл туннель шилжүүлэлт гэх мэт ижил үгс өөр механизм, өөр хязгаарыг тодорхойлж болно.

Үйлчилгээний шаардлагыг уншаад дараа нь загвар зохио

Эхний тохиргооны мөрөөс өмнө хөршийн хаяг, автономит системийн дугаар, зарлаж хүлээн авах угтвар, замын хязгаар, туннель эвдэрсэн үед хүлээгдэх зан төлөвийг бичиж аваарай. Тэр таван зүйл нь таны загвар зохиож буй гэрээ юм.

Дараа нь ижил дарааллаар шалга: сесс тогтсон, угтвар хүлээн авсан, зам VPC-ийн замын хүснэгтэд байгаа, үйлчилгээний хаяг руу бодит урсгал байна. Албадсан шилжүүлэлтийн дараа давтана уу, учир нь дахин тогтсон сесс өөр замын багцтай буцаж ирж болно. Хэрэв загвар секундээс бага нэгдэлд найдаж байвал таамаглахын оронд хэмжинэ.

Үйлчилгээний гэрээг өөрчлөлтийн бүртгэлтэй хамт хадгал. Дараа нь хэн нэгэн туннель яагаад OSPF ажиллуулж чадахгүй гэж асуувал хариулт нь протоколын хязгаарлалт биш, бүтээгдэхүүний хил хязгаар бөгөөд бүртгэлд үүнийг бичсэн байх ёстой.