VPN awan memerlukan BGP: mengapa protokol penghalaan lain gagal

Persatuan keselamatan IPsec aktif, pembilang terowong bergerak, dan trafik ke awalan awan hilang. Pengendali kemudian cuba mengaktifkan OSPF pada penghala pelanggan, mengharapkan jiran terbentuk, dan tiada apa berlaku. Terowong tidak pernah menjadi bahagian yang hilang: VPN awan terurus menawarkan kontrak penghalaan yang ditentukan, dan pada platform besar kontrak itu ialah BGP. Sehingga sesi wujud dan awalan diterima, terowong hanyalah laluan tersulit tanpa destinasi di belakangnya.

Terowong aktif dan laluan tiada

Pelengkapan fasa 1 dan fasa 2 membuktikan kedua-dua pihak bersetuju tentang perlindungan, bukan bahawa mana-mana pihak tahu ke mana trafik perlu dihantar. Ini mesin keadaan berasingan dengan mod kegagalan berasingan.

Tanya tiga soalan mengikut urutan: adakah awalan diumumkan, adakah ia diterima oleh jiran, dan adakah ia dipasang untuk penghantaran? Awalan yang diumumkan lalu ditapis ialah masalah dasar. Awalan yang tidak pernah diumumkan ialah masalah sesi atau konfigurasi. Awalan yang diterima tetapi tidak dipasang ialah masalah pemilihan laluan, dan setiap jawapan menunjuk bahagian konfigurasi yang berbeza.

Apa yang penyedia sebenarnya berikan

Gerbang VPN terurus bukan penghala tanpa had. Penyedia memberikan gerbang dengan alamat jiran yang disokong, tetapan sistem autonomi, had awalan, dan tingkah laku kegagalan yang ditentukan. Permukaan itulah produknya.

Google Cloud mendokumenkan penghalaan BGP dinamik untuk HA VPN, dengan Cloud Router mempelajari laluan jiran dan membekalkan laluan dinamik tersuai yang layak ke VPC. AWS Site-to-Site VPN mendokumenkan pilihan antara penghalaan statik dan dinamik, dan menerangkan pemeriksaan hayat BGP sebagai berguna untuk kegagalan alih terowong sambil turut menyokong pemeriksaan kesihatan untuk peranti tanpa BGP. Tingkah laku mana-mana platform tidak boleh disimpulkan daripada nama produk platform yang lain.

Akibat praktikalnya, anda memilih mod terurus dahulu, kemudian membaca parameter yang disokong. Reka bentuk yang menganggap jenis kejiranan yang perkhidmatan tidak tawarkan bukan masalah konfigurasi untuk diselesaikan pada penghala pelanggan.

Perlindungan terowong dan kebolehsampaian ialah tugas berasingan

IPsec melindungi trafik yang dipilih untuk terowong. BGP membekalkan maklumat kebolehsampaian yang menjadikan awalan layak. Terowong yang berfungsi tidak membuktikan awalan yang dijangka telah diumumkan, diterima, atau dipasang.

Bayangkan cawangan yang mengumumkan 10.42.0.0/16 melalui dua laluan terowong yang layak. Buang satu laluan yang boleh digunakan dan pilihan laluan boleh berubah tanpa sesiapa menyunting laluan setiap beban kerja. Pengesanan, pemilihan laluan, dan pemulihan aplikasi tidak serta-merta, dan tidak serupa antara penggunaan, jadi ujian kegagalan alih mesti memerhati keseluruhan jujukan, bukan paket pertama yang melepasi.

Apabila awalan awan tidak dapat dicapai, semak keadaan sesi dan laluan yang dipelajari sebelum menyentuh kriptografi. SA yang aktif tanpa laluan di belakangnya ialah bentuk paling biasa gejala ini.

Di mana andaian OSPF runtuh

OSPF, IS-IS atau protokol lain di dalam terowong IPsec amat mungkin pada perkakas terurus sendiri, di mana anda memiliki kedua-dua hujung dan reka bentuk penghantaran. Fakta itu tidak berkata apa-apa tentang perkhidmatan terurus yang hanya menawarkan BGP sebagai mod penghalaan dinamik.

Jika reka bentuk yang dicadangkan memerlukan kejiranan yang perkhidmatan tidak sokong, ubah seni bina dengan sengaja. Pilihan termasuk perkakas terurus sendiri dalam VPC, penghalaan statik di tempat perkhidmatan menyokongnya, atau produk kesambungan yang berbeza. Mengkonfigurasi protokol hanya pada penghala pelanggan tidak boleh menambah jiran di sebelah awan yang tidak wujud, dan ia tidak akan membuatkan awalan muncul.

Jangan bawa jawapan seorang vendor ke gerbang vendor lain. Perkataan yang sama, seperti penghalaan dinamik atau kegagalan alih terowong, boleh menerangkan mekanisme dan had yang berbeza.

Baca keperluan perkhidmatan, kemudian reka bentuk

Sebelum baris konfigurasi pertama, tuliskan alamat jiran, nombor sistem autonomi, awalan yang akan anda umumkan dan terima, had laluan, dan tingkah laku yang dijangka apabila terowong gagal. Kelima-lima perkara itu ialah kontrak yang menjadi asas reka bentuk anda.

Kemudian sahkan mengikut urutan yang sama: sesi terbentuk, awalan diterima, laluan hadir dalam jadual laluan VPC, dan aliran sebenar ke alamat perkhidmatan. Ulang selepas kegagalan alih paksa, kerana sesi yang terbentuk semula boleh kembali dengan set laluan yang berbeza. Jika reka bentuk bergantung pada penumpuan di bawah satu saat, ukurlah dan jangan anggap.

Simpan kontrak perkhidmatan bersama rekod perubahan. Apabila seseorang bertanya kemudian mengapa terowong tidak boleh menjalankan OSPF, jawapannya ialah sempadan produk, bukan had protokol, dan rekod itu patut menyatakannya.