BGP og MPLS i en VPN: hvilken del bærer pakken

BGP fordeler ruten, og MPLS videresender pakken. Utfør disse fem kontrollene i rekkefølge for å se på hvilket lag VPN-prefikset eller pakken din stoppet.

Spørsmålet om en VPN kjører på BGP eller MPLS blander to lag i én beslutning. BGP fordeler tilgjengelighet og policy. MPLS videresender pakker ved hjelp av installert etikettilstand. I en BGP/MPLS-VPN samarbeider de to, og fjerner man én av dem, står ingen tjeneste igjen i det hele tatt. Kontrollene nedenfor sender samme prefiks gjennom begge lag, slik at du ser nøyaktig hvor ditt stoppet.

Kontroll 1: er prefikset i riktig VRF

Start ved inngangskanten hos tilbyderen og spør hvilken VRF kundeprefikset hører til. Overlappende kundeadresser er normalt i dette designet, så VRF-en er konteksten som holder to kunder som begge bruker 10.0.0.0/8 adskilt.

Mangler prefikset der, kan ingenting senere være riktig, og de resterende kontrollene er bortkastet arbeid.

Kontroll 2: ble VPN-ruten fordelt og importert

Tilbyderen fordeler kunderuter med MP-BGP. Hver rute bærer en routediskriminator, som gjør ellers identiske prefikser unike, og rutemål, som avgjør hvilke VRF-er som importerer ruten. En rute som ankommer men ikke importeres, lar den mottakende VRF-en stå tom for det prefikset. Sjekk importpolicyen før du gir den fjerne enden skylden.

Rutevalg betyr også noe: en foretrukket vei gjennom en annen tilbyderkant erstatter den du forventet å se.

Kontroll 3: hva inngangskanten gjør med pakken

Når en pakke ankommer, gjør inngangskanten et IP-oppslag i VRF-en og fester deretter etiketter for den valgte veien. Stakken har to logiske roller selv når en opptak viser et annet antall etiketter.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Spesifikasjonen for BGP/MPLS-VPN beskriver denne ordningen. Popping av etiketten på nest siste hopp kan fjerne transportetiketten før det siste hoppet, så et opptak med to etiketter tatt midt i nettverket er ikke bevis på en feil.

Kontroll 4: videresender underlaget disse etikettene

Transitrutere svitsjer etter sine installerte etikettinnføringer. De leser ikke BGP-oppdateringer for å avgjøre hva som skjer med din enkelte pakke. Derfor kan en kunderute være til stede mens videresendingen fortsatt feiler: det oppløste neste hoppet eller transportetiketten kan bryte sammen uavhengig. Å lære et VPN-prefiks reparerer ikke underlaget under det.

Sjekk etikettbindingen mot utgangskanten, ikke bare om ruten finnes.

Kontroll 5: handlingen ved utgangen og returveien

Ved utgangen identifiserer tjenesteetiketten videresendingshandlingen, pakken dekapsles, og den går videre mot kundens destinasjon. Derfra må returveien også virke, inkludert tilgangspolicyen på kundesiden på det grensesnittet.

Envegs suksess er vanligvis en returrute eller et filter, ikke etikettstakken.

Les symptomet ditt inn i en av disse kontrollene

En rute som mangler i den mottakende VRF-en betyr annonsering, importpolicy eller rutevalg. En rute som finnes mens pakker feiler betyr det oppløste neste hoppet, etikettvideresendingen eller returveien på kundesiden. Pakker som ankommer feil destinasjon betyr vanligvis at du undersøker feil VRF. Ingenting av dette er grunn til å endre rutingprotokollen.

Én ting til er verdt å si rett ut: dette designet skiller kunder og videresender trafikken deres effektivt. Det krypterer ikke, og å behandle det som en fortrolighetstjeneste er en egen feil.

Relaterte artikler