Il-VPN fil-cloud jeħtieġ BGP: għaliex il-protokolli l-oħra tar-routing jonqsu

L-assoċjazzjoni tas-sigurtà IPsec hija attiva, il-kontaturi tal-mina jiċċaqilqu, u t-traffiku lejn il-prefiss tal-cloud jisparixxi. L-operatur imbagħad jipprova jattiva OSPF fuq ir-router tal-klijent, jistenna li l-ġar jifforma, u xejn ma jiġri. Il-mina qatt ma kienet il-biċċa nieqsa: VPN fil-cloud ġestit jesponi kuntratt tar-routing definit, u fuq il-pjattaformi l-kbar dak il-kuntratt huwa BGP. Sakemm teħles sessjoni u jiġi aċċettat prefiss, il-mina hija biss mogħdija kriptata mingħajr destinazzjonijiet warajha.

Il-mina hija attiva u r-rotta hija nieqsa

It-tlestija tal-fażi 1 u tal-fażi 2 tipprova li l-partijiet jaqblu dwar il-protezzjoni, mhux li xi naħa taf fejn tibgħat it-traffiku. Dawn huma magni tal-istat separati b'modi ta' ħsara separati.

Staqsi tliet mistoqsijiet fl-ordni: il-prefiss ġie mħabbar, ġie aċċettat mill-ġar, u ġie installat għall-iblukkar? Prefiss imħabbar u ffiltrat huwa problema ta' politika. Prefiss li qatt ma ġie mħabbar huwa problema ta' sessjoni jew konfigurazzjoni. Prefiss aċċettat iżda mhux installat hija problema ta' għażla ta' rotta, u kull tweġiba tindika parti differenti tal-konfigurazzjoni.

X'inhuma fil-fatt jagħtik il-fornitur

Gateway tal-VPN ġestit mhuwiex router bla limiti. Il-fornitur jagħtik gateway b'indirizzi tal-ġar appoġġati, setting tas-sistema awtonoma, limiti tal-prefiss, u mġiba ta' ħsara definita. Dik il-wiċċ hija l-prodott.

Google Cloud jiddokumenta routing dinamiku BGP għall-HA VPN, bil-Cloud Router jitgħallem ir-rotot tal-ġar u jforni rotot dinamiċi personalizzati eliġibbli lill-VPC. AWS Site-to-Site VPN jiddokumenta għażla bejn routing statiku u dinamiku, u jiddeskrivi l-verifiki tal-ħajja tal-BGP bħala utli għall-fallover tal-mina filwaqt li jappoġġa wkoll verifiki tas-saħħa għal apparati mingħajr BGP. L-imġiba ta' ebda pjattaforma m'għandha tiġi dedotta mill-isem tal-prodott tal-oħra.

Il-konsegwenza prattika hija li inti tagħżel l-ewwel il-modalità ġestita, imbagħad taqra l-parametri appoġġati. Disinn li jassumi tip ta' adjaċenza li s-servizz ma joffrix mhuwiex problema ta' konfigurazzjoni li għandha tissolva fuq ir-router tal-klijent.

Il-protezzjoni tal-mina u l-aċċessibbiltà huma xogħlijiet separati

IPsec jipproteġi t-traffiku magħżul għall-mina. BGP jforni l-informazzjoni tal-aċċessibbiltà li tagħmel prefiss eliġibbli. Mina li taħdem ma tipprovax li l-prefiss mistenni ġie mħabbar, aċċettat jew installat.

Immaġina fergħa li tħabbar 10.42.0.0/16 permezz ta' żewġ mogħdijiet tal-mina eliġibbli. Neħħi mogħdija waħda użabbli u l-għażla tar-rotta tista' tinbidel mingħajr ma ħadd jeditja r-rotta ta' kull tagħbija tax-xogħol. Is-sejbien, l-għażla tar-rotta u l-irkupru tal-applikazzjoni mhumiex immedjati, u mhumiex identiċi bejn il-varar, għalhekk it-test tal-fallover irid josserva s-sekwenza kollha u mhux l-ewwel pakkett li jgħaddi.

Meta prefiss tal-cloud ma jkunx jista' jintlaħaq, iċċekkja l-istat tas-sessjoni u r-rotot mitgħallma qabel ma tmiss il-kriptografija. SA attiva mingħajr rotta warajha hija l-aktar forma komuni ta' dan is-sintomu.

Fejn il-preżunzjonijiet tal-OSPF jinkisru

OSPF, IS-IS jew protokoll ieħor ġewwa mina IPsec huwa kompletament possibbli fuq appliance awtoġestit, fejn inti tippossjedi ż-żewġ trufijiet u d-disinn tal-iblukkar. Dan il-fatt ma jgħid xejn dwar servizz ġestit li joffri biss BGP bħala l-modalità tiegħu ta' routing dinamiku.

Jekk disinn propost jeħtieġ adjaċenza li s-servizz ma jappoġġax, ibdel l-arkitettura b'mod deliberat. L-għażliet jinkludu appliance awtoġestit fil-VPC, routing statiku fejn is-servizz jappoġġah, jew prodott ta' konnettività differenti. Il-konfigurazzjoni tal-protokoll biss fuq ir-router tal-klijent ma tistax iżżid ġar fin-naħa tal-cloud li ma jeżistix, u mhux se tagħmel il-prefiss jidher.

Tittrasferix l-risposta ta' fornitur wieħed għall-gateway ta' ieħor. L-istess kliem, bħal routing dinamiku jew fallover tal-mina, jistgħu jiddeskrivu mekkaniżmi u limiti differenti.

Aqra r-rekwiżit tas-servizz, imbagħad iddisinja

Qabel l-ewwel linja ta' konfigurazzjoni, ikteb l-indirizzi tal-ġirien, in-numri tas-sistema awtonoma, il-prefissi li se tħabbar u taċċetta, il-limiti tar-rotot, u l-imġiba mistennija meta mina tonqos. Dawk il-ħames punti huma l-kuntratt li qed tiddisinja kontrih.

Imbagħad ivverifika fl-istess ordni: sessjoni stabbilita, prefiss riċevut, rotta preżenti fit-tabella tar-rotot tal-VPC, u fluss reali lejn indirizz tas-servizz. Errepeti wara fallover sfurzat, għax sessjoni li terġa' tiġi stabbilita tista' terġa' lura b'sett ta' rotot differenti. Jekk id-disinn jiddependi minn konverġenza taħt is-sekonda, kejlu minflok ma tassumih.

Żomm il-kuntratt tas-servizz mar-rekord tal-bidla. Meta xi ħadd jistaqsi aktar tard għaliex il-mina ma tistax tmexxi OSPF, it-tweġiba hija konfini tal-prodott, mhux limitazzjoni tal-protokoll, u r-rekord għandu jgħid hekk.