Penghalaan cawangan MPLS: apa yang dipelajari CE, dan daripada siapa

Satu hos di satu cawangan membuka sambungan ke pelayan di cawangan lain, dan kedua-dua tapak berada di belakang VPN MPLS lapisan 3 terurus yang sama. Hos hanya mengetahui get laluan lalainya sendiri dan tiada yang lain, yang betul. Yang penting ialah hujung pelanggan setempat menyerahkan paket kepada hujung penyedianya, dan keadaan penghalaan VPN penyedia menghantarnya ke cawangan yang memiliki awalan destinasi.

Mengikuti satu paket sepanjang laluan ialah cara terpantas untuk melihat bahagian mana yang menjadi tanggungjawab pelanggan dan bahagian mana milik perkhidmatan.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Di mana kerja setiap hop berakhir

CE-A memerlukan laluan ke LAN jauh yang menunjuk ke sambungan penyedia setempatnya, bukan ke alamat WAN cawangan jauh. Penyedia kemudian membawa paket melalui terasnya sendiri menggunakan keadaan penghalaan VPN, dan CE-B menghantarnya ke LAN destinasi. Pada bila-bila masa hos tidak perlu memahami label, VRF atau litar internet sebelah sana.

Kesilapan yang berulang dalam tiket ialah mengkonfigurasi alamat WAN cawangan B sebagai hop seterusnya di cawangan A. Kedua-dua cawangan membeli perkhidmatan yang sama, jadi terasa seolah-olah mereka sepatutnya berjiran. Hakikatnya tidak: hop seterusnya mesti boleh dicapai melalui reka bentuk penghalaan yang benar-benar anda miliki, dan CE jauh biasanya banyak hop jauhnya di belakang peralatan yang anda tidak uruskan. Laluan statik yang dibina atas andaian itu muncul sebagai aktif dan tidak menyelesaikan ke apa-apa, yang lebih buruk daripada laluan yang hilang kerana dalam jadual ia kelihatan betul.

RFC 4364 memisahkan pertukaran antara hujung pelanggan dan hujung penyedia daripada pengedaran laluan VPN oleh penyedia, dan itulah tepat sempadan yang dibincangkan panduan ini. Tugas pelanggan ialah memberitahu hujungnya apa yang boleh dihantar dan menerima kebolehcapaian yang ditawarkan balik oleh perkhidmatan.

Apa yang perlu dipersetujui oleh penyerahan

Pilih mekanisme bersama penyedia, bukan di sekeliling mereka. Laluan statik, BGP atau persetujuan protokol penghalaan antara CE dan PE semuanya sah, dan OSPF mempunyai model MPLS VPN yang ditakrifkan untuk penyerahan itu. Tiada satu pun daripada itu menjadi alasan untuk membina kejiranan OSPF antara dua hujung pelanggan jauh merentasi teras penyedia yang tidak dinyatakan, kerana itu reka bentuk yang tidak dipersetujui oleh penyedia dan tidak dapat disokongnya.

Sebelum LAN baharu beroperasi, tuliskan empat perkara: awalan, laluan setempat seterusnya pada CE, pengumuman yang akan diterima oleh penyedia, dan laluan yang akan dikembalikan oleh penyedia. Tambah apa-apa penapisan, had awalan atau sekatan antara tapak yang dikenakan oleh kontrak. Kejiranan yang sihat ialah saluran pertukaran maklumat, dan ia bukan bukti bahawa awalan tertentu telah diterima; sesi boleh hidup sementara subrangkaian baharu anda berada di dalam penapis.

Kemudian ikuti balasannya. Cawangan B memerlukan laluan balik ke LAN sumber, dan hos di sebelah penerima memerlukan get laluan serta kebenaran perkhidmatannya sendiri. Laluan yang muncul di CE-A hanya menetapkan separuh perjalanan pergi balik, dan separuh perjalanan itulah sebabnya satu arah ujian ping kelihatan sihat sementara aplikasi masih gagal.

Sahkan kedua-dua penyerahan sebelum penerimaan

Kumpulkan keadaan penghalaan di kedua-dua hujung pelanggan, sahkan dengan penyedia bahawa awalan LAN yang dimaksudkan telah diterima ke dalam VPN, kemudian uji satu aplikasi yang dibenarkan dalam setiap arah. Jadual laluan sahaja tidak membuktikan aplikasi berfungsi, dan ujian aplikasi sahaja tidak memberitahu anda satah kawalan mana yang gagal apabila ia tidak berfungsi.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Baca ketiga-tiga output bersama-sama. Yang pertama menyatakan apa yang dipercayai oleh hujung, yang kedua menyatakan apa yang dipelajari dan daripada rakan mana, dan yang ketiga menyatakan apa yang sebenarnya akan dihantarnya. Percanggahan antara mereka biasanya masalah dasar atau rekursi dan bukan pengumuman yang hilang, dan ia wajar diselesaikan sebelum penyedia diminta menyiasat. Bawa ketiga-tiga output itu ke panggilan dengan pengendali, kerana ia menjawab kebanyakan soalan yang akan ditanya oleh jurutera sokongan kepada anda.

Ketahui apa yang tidak disediakan oleh perkhidmatan

Ini ialah akses yang dihalakan pada lapisan 3. Ini bukan litar lapisan 2 yang melanjutkan siaran antara pejabat, jadi protokol penemuan, aplikasi yang bergantung pada siaran dan andaian segmen dikongsi tidak bergerak bersamanya. Pencetakan, pelayaran nama dan apa-apa yang bergantung pada segmen setempat memerlukan reka bentuknya sendiri.

Pemisahan VPN juga bukan penyulitan. Pensuisan label memisahkan pelanggan di dalam rangkaian penyedia, dan ia tidak menjadikan muatan sulit jika kontrak memerlukan kerahsiaan. Di tempat yang penting, aplikasi atau lapisan atas perlu menyediakannya.

Akhir sekali, simpan model perkhidmatan secara bertulis di sebelah konfigurasi penghalaan tapak. Jurutera seterusnya yang menambah subrangkaian sepatutnya boleh membaca awalan mana yang diumumkan, siapa yang menerimanya dan apakah laluan balik yang dijangka: spesifikasi BGP/MPLS IP VPN ialah rujukan untuk model di sebalik semua ini.