Penyerahan L3VPN: laluan persendirian, lalai, atau suapan penuh?

Litar anda sudah naik, VRF sudah dikonfigurasikan, dan pembekal bertanya satu soalan pendek yang menentukan baki reka bentuk: apa yang patut diterima oleh tepi pelanggan? Tiga jawapan biasa dan tiada satu pun berpunca daripada kewujudan tindanan label. Semuanya keputusan perkhidmatan tentang tempat trafik keluar dari cawangan.

Menelusuri penyerahan mengikut urutan ialah cara paling murah untuk melakukannya dengan betul. Anda bermula dengan apa yang berlaku kepada trafik yang tidak sepadan dengan apa-apa, kemudian menulis awalan persendirian dan tingkah laku kegagalannya, dan hanya selepas itu berbincang tentang berapa besar suapan yang sanggup anda bawa.

Mulakan dengan trafik yang tiada siapa rancang

Tanya satu soalan sebelum sebarang senarai awalan muncul: apabila paket tidak sepadan dengan mana-mana laluan persendirian, ke mana ia patut pergi? Cawangan yang mempunyai litar internet sendiri biasanya menyimpan lalai tempatan, jadi trafik web biasa keluar melalui firewall tempatan dan tidak pernah menyentuh pembekal. Dalam reka bentuk itu VPN hanya membawa tapak persendirian jauh, dan awalan yang lebih khusus membuat pemilihan.

Cawangan yang bertujuan menggunakan jalan keluar pusat ialah kes sebaliknya. Di situ lalai menunjuk ke dalam perkhidmatan, dan pembekal atau tapak pusat memiliki penghantaran, penghalaan balik dan sebarang terjemahan. Menyatakan "lalai ke VPN" tanpa pemilik itu menghasilkan cawangan yang menyelesaikan nama tetapi tidak sampai ke mana-mana.

Kedua-dua reka bentuk berbeza dari segi rupa kegagalan penghalaan, sebab itu meneka itu mahal. Dengan lalai tempatan, laluan persendirian yang hilang menghantar trafik itu ke internet, di mana firewall membuangnya atau, lebih teruk, sesuatu yang tidak anda maksudkan menjawabnya. Dengan lalai pusat, kehilangan yang sama menghapuskan akses internet sepenuhnya dan tiket masuk sebagai "seluruh cawangan mati". Tiada satu pun kegagalan itu salah dengan sendirinya, tetapi hanya satu yang sepadan dengan perkhidmatan yang anda jual, dan konfigurasi BGP semata-mata tidak akan memberitahu yang mana anda bina.

Tulis awalan persendirian bersama kes kegagalannya

Senaraikan awalan yang mesti dicapai oleh cawangan dan catat yang mana satu diringkaskan. Agregat yang terlalu luas satu bit menarik destinasi tidak diketahui masuk ke VPN, dan itu hanya wajar jika pihak jauh benar-benar memilikinya dan menghantarnya.

Kemudian huraikan tingkah laku yang dimaksudkan apabila perkhidmatan persendirian gagal. Laluan buang yang dikekalkan menjauhkan trafik daripada laluan tidak dibenarkan dan menghasilkan gangguan yang bersih dan dijangka. Lalai terapung boleh mengekalkan ketersediaan dengan beralih ke laluan sandaran, tetapi hanya jika laluan sandaran itu dibenarkan membawa trafik tersebut.

Kekalkan ketersediaan dan sandaran yang dibenarkan sebagai dua keperluan berasingan dalam dokumen penyerahan. Pasukan yang menggabungkannya akhirnya berbahas sama ada cawangan itu sepatutnya gagal, bukannya menyemak sama ada dasar yang dipersetujui telah dilaksanakan.

Semak apa yang sebenarnya dipasang oleh CE

Niat konfigurasi dan keadaan penghantaran cukup kerap menyimpang sehingga pengesahan tergolong dalam penyerahan, bukan dalam semakan insiden. Pada tepi pelanggan IOS-XE, tiga arahan di bawah menjawab tiga soalan berbeza: apa yang ditawarkan, apa yang diterima dan apa yang benar-benar digunakan.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Jalankan ketiga-tiganya pada hari penyerahan, bukan sebulan kemudian, semasa seseorang masih ingat apa yang dipersetujui. Output pertama bergantung pada soft-reconfiguration inbound atau route refresh yang disimpan; tanpa salah satu, CE tidak dapat menunjukkan apa yang ditolaknya. Yang kedua menunjukkan laluan diterima dan terbaik selepas dasar. Yang ketiga memberitahu ke mana lalai benar-benar pergi, dan itulah baris paling berguna dalam seluruh penyerahan.

Jalankan semakan yang sama pada CE kedua jika tapak itu mempunyai dua pautan. Penerimaan tidak simetri antara dua tepi ialah punca biasa "ia berfungsi dari satu pelayan tetapi tidak dari yang lain", dan ia tidak kelihatan dalam diff konfigurasi yang kelihatan simetri.

Layakkan suapan yang lebih besar dan jangan menganggapnya

Kadang-kadang pelanggan benar-benar memerlukan maklumat laluan internet di dalam VRF, untuk penghalaan dasar atau untuk jalan keluar pusat yang mengemudi mengikut awalan. Itu keperluan yang mesti dinyatakan, dibatasi dan diberi harga, bukan lalai tersembunyi. Ia datang dengan memori untuk RIB dan FIB, CPU untuk kemas kini, penyelenggaraan penapis dan pemilik bagi jadual yang terhasil.

Hujah kapasiti tersasar pada kedua-dua arah. Jadual penuh tidak dilarang di dalam VRF, dan ia juga tidak percuma. Begitu juga, anda tidak boleh menyimpulkan kos hari ini daripada bilangan laluan lama, dan peruntukan label yang lebih kecil tidak menghapuskan kos menyimpan laluan.

Spesifikasi BGP/MPLS IP VPN membincangkan beberapa susunan akses internet di samping perkhidmatan VPN itu sendiri dan tidak mengisytiharkan jadual penuh atau lalai sebagai wajib bagi setiap pelanggan, dan itulah bahagian yang wajar ditunjuk apabila dakwaan tentang "amalan standard" muncul: RFC 4364.

Tutup penyerahan dengan merekod set yang diiklankan, set yang diterima dan set yang dipilih di samping dasar keluar yang dipersetujui, dan dengan menguji satu destinasi persendirian, satu destinasi awam yang dimaksudkan dan satu kes kehilangan laluan. Rekod bertandatangan bagi ketiga-tiga ujian itu menyelesaikan lebih banyak pertikaian daripada mana-mana kenyataan tentang apa yang dilakukan oleh kebanyakan rangkaian.