Għaliex BGP fuq VPN ma jikkontrollax il-passaġġ tal-livell t'isfel tiegħek

Żewġ siti jagħmlu peering BGP permezz ta' tunnel IPsec, jitgħallmu l-prefissi ta' xulxin, u d-dijagramma terġa' tiġi mmarkata bħala kontroll tal-passaġġ. Dak il-marka huwa fejn tibda l-konfużjoni. Is-sessjoni tiskambja l-aċċessibilità u tapplika politika, iżda m'għandhiex vuċi dwar liema fornitur, kejbil jew router iġorr il-pakketti kriptati. Rajt tim jerġa' jibni tunnel li kien jaħdem għax kien qed jistenna li bidla fil-passaġġ BGP iċċaqlaq it-traffiku għal passaġġ tal-fibra ieħor li s-sessjoni qatt ma setgħet tinfluwenza.

X'jaħsbu n-nies li tixtri sessjoni

Il-biċċa l-kbira tal-aspettativa tiġi minn kif tidher bidla fil-passaġġ fil-laboratorju. Tħabbar prefiss fuq it-tunnel, in-naħa l-bogħida tinstallah, u t-traffiku jiċċaqlaq. L-istess sekwenza tiġri fuq router li tassew għandu l-kontrolli tal-inġinerija tat-traffiku, allura t-tnejn jiġu konfużi. Fil-laboratorju ż-żewġ siti normalment jaqsmu konnessjoni waħda ta' aċċess, u huwa eżattament għalhekk li d-differenza qatt ma tidher hemmhekk.

BGP huwa protokoll ta' aċċessibilità. Jgħid lil peer li tista' twassal pakketti għal prefiss u jħalli kull naħa tordna l-offerti li tirċievi. Dan huwa tassew utli permezz ta' tunnel: il-prefissi jidhru u jisparixxu hekk kif is-siti jiġu u jmorru, u tista' tirrifjuta medda mingħajr ma tikteb passaġġ statiku fuq kull apparat tal-ġenb. Ma jagħmilx hu li jqiegħed ir-routers tal-fornitur taħt il-kontroll tiegħek.

Il-livell t'isfel iġorr l-intestatura ta' barra. Il-punt tat-tarf tat-tunnel tiegħek jibgħat pakketti kriptati lejn indirizz tal-peer, u n-netwerk bejn dawk iż-żewġ indirizzi jgħaddihom bl-passaġġi li installaw l-operaturi tiegħu. Xejn fis-sessjoni BGP ma jbiddel dik id-deċiżjoni, sakemm l-istess fornitur ma joffrix servizz appoġġjat li jagħmel dan.

X'ġġorr tassew is-sessjoni

Il-kelliem BGP jiftaħ konnessjoni TCP għall-port 179 tal-peer tiegħu, billi juża l-formati tal-messaġġi u l-attributi tal-passaġġ definiti f' RFC 4271. Meta l-indirizz tal-peer jinsab ġewwa t-tunnel, it-tunnel irid ikun 'il fuq u dak l-indirizz aċċessibbli qabel ma s-sessjoni tista' tibda. Skambju IKE komplut mhuwiex ġar BGP. L-implimentazzjonijiet IPsec ibbażati fuq il-passaġġi jgħaddu traffiku biss meta jkun hemm passaġġ tat-tunnel li jaqbel, u dak ibbażat fuq il-politika jeħtieġ l-indirizz tal-peer ġewwa s-selettur protett. Dan maqlub jagħmel l-istat klassiku fejn it-tunnel huwa aħdar u s-sessjoni qiegħda vojta.

Ladarba s-sessjoni tkun 'il fuq, il-politika tiddeċiedi x'jgħaddi minnha. Listi tal-prefissi, filtri AS-path, limitu massimu tal-prefissi u deċiżjoni espliċita dwar il-passaġġi default huma l-minimu, u japplikaw fiż-żewġ direzzjonijiet. Peer li jaċċetta kull ma jirċievi jista' jagħtik passaġġ default li bil-kwiet jissostitwixxi l-aċċess lokali għall-internet. Iż-żewġ direzzjonijiet jeħtieġu listi separati, għax dak li taċċetta minn peer u dak li tħabbar lilu huma żewġ deċiżjonijiet differenti.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Imbagħad tigdim l-MTU. L-inkapsulament jgħarraq il-piż utli, allura aġġornament kbir jista' jwaqqaf sessjoni li tidher stabbilita perfettament: il-peer jibqa' 'il fuq, il-prefissi qatt ma jaslu, u xejn ovvju ma jaqa' fil-log. Illimita l-MSS TCP fuq l-interface tat-tunnel, jew issettja MTU tat-tunnel bi spazju għall-overhead, qabel ma tagħti l-ħtija lill-filtri.

Fejn xorta jmorru l-pakketti ta' barra

Il-pakketti kriptati minn sit għall-ieħor joħorġu minn dak li r-router lokali jagħżel għall-indirizz pubbliku tal-peer. Jekk iż-żewġ siti jixtru t-transitu mingħand l-istess fornitur, jaqsmu l-istess faċilità metro, jew naħa waħda tkun wara NAT tal-livell tal-operatur, it-tunnel jgħix minn falliment tal-fornitur biss b'aċċident. Li tgħodd l-ikoni tat-tunnels fi għodda ta' monitoraġġ ma tgħidlek xejn dwar dan.

L-għażla tal-passaġġ u l-installazzjoni tal-ipproċessar huma wkoll avvenimenti separati. Prefiss jista' joqgħod fit-tabella BGP bħala l-aħjar u xorta jkun nieqes mit-tabella tal-ipproċessar, għax il-hop li jmiss ma jistax jiġi riżolt jew jirbaħ passaġġ aktar speċifiku. Meta xi ħadd jirrapporta li BGP tgħallem il-prefiss iżda t-traffiku ma jiċċirkolax, il-mistoqsija utli hija jekk huwiex installat u lejn liema hop li jmiss huwa jindika.

It-tweġiba onesta għal reviżjoni tad-disinn hija lista ta' dipendenzi maqsuma: ċirkwit tal-aċċess, fornitur upstream, faċilità u kwalunkwe apparat tal-istat fil-passaġġ tar-ritorn. Sessjoni permezz tat-tunnel ma tistax tneħħi dipendenza li m'hijiex bilqiegħda fuqha.

Tliet deċiżjonijiet li jistħoqqilhom jiġu separati

Meta disinn iħallat dawn, kull diskussjoni dwar ħsara ddur fiċ-ċrieki. Ifridhom l-ewwel fuq il-karta, imbagħad ippjana kull waħda għall-apparat li tassew jinfurzaha.

Kull ringiela għandha sid differenti. L-ewwel hija negozjar, it-tieni hija konfigurazzjoni fuq l-apparati tiegħek, it-tielet hija l-biċċa l-kbira netwerk ta' ħaddieħor. Talba għal bidla li ssemmi r-ringiela li tmiss hija ħafna aktar faċli tiġi approvata minn waħda li tgħid problema BGP.

Modi ta' falliment li jistħoqqilhom l-ippjanar

Li taċċetta l-passaġġ sommarju ta' peer hija l-aktar ferita komuni li tagħmel lilek innifsek. Xi ħadd iħabbar aggregat qasir biex jissimplifika l-iskambju, in-naħa l-bogħida taċċettah, u t-traffiku għal meded li mhumiex wara t-tunnel isegwi t-tunnel u jmut. Iffiltra fuq il-prefissi eżatt mistennija, jew uża lista tal-prefissi bil-limiti t-tajba, u qatt ma taċċetta aggregat għeri għax jagħmel is-sessjoni tidher pulita.

Il-ħin tal-irtirar huwa t-tieni. Id-detezzjoni tiddependi mill-timers tal-istennija, mill-BFD jekk attivajtuh, mid-detezzjoni tal-peer mejjet tat-tunnel u minn kemm malajr in-naħa l-bogħida tieqaf tħabbar. Is-sessjonijiet eżistenti huma problema separata: passaġġ ġdid jista' jġib lura konnessjonijiet ġodda waqt li s-sessjonijiet TCP stabbiliti jkomplu jużaw indirizzi skaduti, u firewalls tal-istat jew NAT fil-passaġġ jistgħu jżommu entrati li ma għadhomx jaqblu. Qiegħed l-irkupru tal-applikazzjoni fil-kriterji tal-aċċettazzjoni minflok ma tassumi li bidla fil-passaġġ issolvi kollox.

It-tielet hija l-asimmetrija tal-passaġġ tar-ritorn. It-traffiku jista' jasal mit-tunnel u jirritorna minn konnessjoni tal-fornitur li qatt ma kienet maħsuba biex iġġorru, li tidher bħala awdjo f'direzzjoni waħda, handshakes falluti jew firewall li jwarrab it-tweġibiet. Iċċekkja ż-żewġ direzzjonijiet separatament.

X'għandu jinkiteb fil-kuntratt, u kif jiġi vverifikat

Itlob il-prefissi permessi bil-miktub: min hu awtorizzat joħroġ kull medda, jekk passaġġ default huwiex permess, u liema familji tal-indirizzi s-servizz tat-tunnel jappoġġja. RFC 8212 għamlet il-politika espliċita tal-import u l-esportazzjoni l-aspettativa għall-eBGP fl-implimentazzjonijiet li jsegwuha, allura peer li għadu jiddependi fuq imġiba impliċita li taċċetta kollox jistħoqqlu mistoqsija.

Imbagħad ivverifika mill-apparat minflok mid-dijagramma. Kmamar utli fuq routers stil FRR:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Żid żewġ osservazzjonijiet li t-tabella tal-passaġġi ma tistax tagħtik. Aqbad fuq l-interface ta' barra biex tikkonferma liema indirizz il-pakketti inkapsulati tassew jimmiraw, pereżempju tcpdump -ni eth0 udp port 51820 għal tunnel WireGuard, jew filtru ESP għall-IPsec. Imbagħad traċċa lejn l-indirizz pubbliku tal-peer u qabbel il-hops ma' traċċa ġewwa t-tunnel; jekk it-tnejn isegwu l-istess katina tal-fornitur, ir-redundanza tiegħek tgħix fil-politika tal-passaġġi u mhux fin-netwerk.

Fl-aħħar, ipprova rtirar apposta. Niżżel it-tunnel waqt tieqa tal-manutenzjoni, innota kemm idum il-prefiss installat, x'jiġri mis-sessjonijiet eżistenti u jekk in-naħa l-bogħida taqax lura għal passaġġ li tassew taċċetta. Dak l-eżerċizzju jgħid aktar dwar id-disinn minn kwalunkwe dijagramma.

Passaġġ mhuwiex awtorizzazzjoni. Il-prefissi li taqbel li tiskambja ma jgħidu xejn dwar liema utenti jistgħu jaslu għal liema servizz wara t-tunnel, allura żomm l-awtentikazzjoni, is-servizzi permessi u l-firewalls tal-hosts eżatt fejn kienu. Peer aċċessibbli lanqas mhuwa permess għal transitu bla limitu jew biex joħroġ indirizzi arbitrarji, u dak it-tip ta' awtorità jappartjeni lill-kuntratt bħala kwistjoni kummerċjali, mhux lill-linja tal-politika BGP.

• Semmi l-prefissi li kull naħa tista' toħroġ, u dawk li qatt m'għandha taċċetta.
• Illimita l-MSS fuq it-tunnel u kkonferma li aġġornamenti kbar tassew jaslu.
• Elenca d-dipendenzi maqsuma tal-livell t'isfel, mhux l-għadd tat-tunnels.
• Kejjel rtirar reali u nnota x'jagħmel l-applikazzjoni.