Statiske ruter eller ein ruteprotokoll over ein site-til-site VPN?

Båe alternativa ber pakkar mellom lokasjonar, så avgjerda handlar ikkje om kva protokoll som er nyast, og storleiken på tunnelen avgjer ho heller ikkje. Tre tilhøve avgjer ho: kor mange prefiks som blir endra og kor ofte, om designet treng automatisk failover mellom stiar, og kor mykje kontrollplansmaskineri teamet klarar å drifte klokka tre om natta. Svar ærleg på det, og valet tek seg som regel sjølv. Resten av denne teksten er kva kvart svar kostar.

Tre tilhøve avgjer det

Det første tilhøvet er endringstakt. Ein handfull stabile subnett med tydeleg eigarskap kan vedlikehaldast manuelt i årevis, og kvar rute blir verande ei line nokon kan lese og kontrollere. Titals prefiks som flyttar seg når prosjekt kjem og går, er eit anna problem, fordi kvar flytting må nå kvar eining som framleis hugsar den gamle stien.

Det andre er feilåtferd. Når ein reservestig må bli aktiv utan at eit menneske legg merke til det, må noko oppdage feilen og trekkje ruta tilbake. Statisk ruting kan berre gjere det via sporing eller vilkårsbasert installasjon, og berre for feila du har tenkt gjennom på førehand.

Det tredje er appetitt på eit andre kontrollplan. Ein ruteprotokoll legg til sesjonar, autentisering, filter og seleksjonspolicy, og kvar av desse krev overvaking og ein endringsprosess. Det er ein permanent driftskostnad, ikkje ei eingongsoppgåve med konfigurasjon.

Tabellen under tredje avsnittet er kortversjonen, og dei tre delane etter han forklarer kvifor kvar rad står der ho står. Les radene mot ditt eige tal på lokasjonar før du vel, fordi ei avgjerd som ignorerer driftskostnaden berre er ei halv avgjerd.

Kva statisk ruting faktisk kostar

Ei statisk rute må vere korrekt på båe sider av tunnelen. Å leggje til eit subnett tyder å redigere den eksterne gatewayen, den lokale gatewayen og vanlegvis returvegen, og å gløyme ein av dei gir ein einvegsk feil som ser ut som ein feil i applikasjonen. Applikasjonsteamet ser tidsavbrot medan nettverksteamet ser ei rute som finst og tilsynelatande er sunn. Ingen av teama tek feil, og difor tek denne feilen så lang tid å plassere.

Ei statisk oppføring blir også verande installert etter at stien under henne forsvinn. Med mindre plattformen leverer sporing, peikar ruta vidare mot eit neste hopp som ikkje lenger videresender, og trafikken forsvinn i staden for å svitsje over. Den stilla er kostnaden du godtek når du vel det enkle alternativet.

Skriv sporingsmetoden ved sida av kvar rute, noter kva feil han dekkjer, og hald lista saman med tunnelkonfigurasjonen. Elles blir neste avbrot oppdaga av ein brukar i staden for av nettverket, noko som alltid er den dyrare oppdaginga.

Kva dynamisk ruting faktisk kostar

Ein protokoll annonserer nye prefiks, trekkjer tilbake dei som ikkje kan nåast og uttrykkjer preferanse mellom stiar. Det er verkeleg nyttig når fleire lokasjonar eller overflødige tunnelar elles ville krevje koordinerte endringar ved kvar endring. Det er også grunnen til at protokollen kan overraske deg på det verste tidspunktet. Kvar av desse handlingane er ei tilstandsendring du ikkje sjølv har gjort.

Han skaper to tilstandar som kan vere usamde. Tunnelen kan vere oppe medan rutingsesjonen er nede, og sesjonen kan vere oppe medan annonseringane hans utelèt subnettet applikasjonen treng. Båe ser ut som eit nettverk som verkar halvvegs, og ingen av dei er synlege frå ei tunnelstatusside.

Filter og policy blir difor ein del av designet i staden for ein ettertanke. Ein protokoll som annonserer alt, vil til slutt annonsere noko gale, og det gale prefikset reiser raskare enn personen som kan rette det. Skriv filtra før første sesjon blir aktivert, slik at den første annonseringa allereie er medvite gjort.

Kontroller kva rutingsesjonen har lov til å seie

Fastset den tillatne prefikslista per peer og handhev henne ved inngang, fordi eit utgåande filter ikkje kan hindre ein peer i å sende deg ei standardrute. Standardruter og aggregat er dei dyre feila her: dei kan stille erstatte urelaterte stiar med éi lært oppføring som ser legitim ut. Avvis dei eksplisitt med mindre designet verkeleg ønskjer dei.

Skriv den eigde lokasjonen ved sida av kvart nettverk før første sesjon kjem opp, fordi den mappinga er kjelda til filterlista og ikkje ein dokumentasjonspynt. Utan henne må den som redigerer eit filter, gjette kva lokasjon som bør annonsere prefikset.

Redistribusjon mellom to protokollar er der løkker startar, og der det same prefikset kjem to gonger med attributt som ikkje blir samanlikna reint. Hald redistribusjon utanfor designet til eit spesifikt krav tvingar det, og om det må finnast, merk og filtrer rutene ved grensa.

Rutebaserte tunnelgrensesnitt gjer dynamisk ruting lettare å representere, fordi tunnelen blir eit grensesnitt med ruter i staden for ein policy som matchar selectorar. Det fjernar ikkje spørsmålet om peer-omfang: IPsec-selectorane må framleis tillate trafikken du har tenkt å rute.

Test feilstien, ikkje den glade stien

Uansett kva du vel, ta ned éin uplink og stadfest at trafikken flyttar seg, eller at han feilar slik du dokumenterte. Eit design som berre er testa med båe stiar sunne, er eit design som ikkje er testa i det heile. Mål deteksjonstida medan du er der, fordi talet du målte er talet brukarane vil oppleve.

Stadfest deretter returvegen sjølvstendig, fordi asymmetrisk ruting over ein VPN er vanleg og usynleg til eit tilstandsmedvite eining droppar svara. Ein flyt som verkar i éi retning, provar berre halve stien.

Arbeidsrekkjefølgje: tel prefiksa, fastset korleis feil skal oppdagast, sjekk kven som kan drifte protokollen, kontroller kva som blir annonsert, og test deretter eitt avbrot frå ende til annan. Kvart steg gir eit faktum som neste steg treng.