BGP i MPLS w VPN: która część niesie pakiet

Pytanie, czy VPN działa na BGP, czy na MPLS, miesza dwie warstwy w jedną decyzję. BGP rozprowadza osiągalność i politykę. MPLS przekazuje pakiety, korzystając z zainstalowanego stanu etykiet. W VPN BGP/MPLS obie współpracują, a usunięcie którejkolwiek z nich nie pozostawia żadnej usługi. Poniższe kontrole przeprowadzają ten sam prefiks przez obie warstwy, więc dokładnie widać, gdzie zatrzymał się twój.

Kontrola 1: czy prefiks jest we właściwej VRF

Zacznij na krawędzi wejściowej dostawcy i zapytaj, do której VRF należy prefiks klienta. Nakładanie się adresów klientów jest w tym projekcie normalne, więc VRF to kontekst, który utrzymuje osobno dwóch klientów używających obu 10.0.0.0/8.

Jeśli prefiksu tam nie ma, nic później nie może być poprawne, a pozostałe kontrole to zmarnowany wysiłek.

Kontrola 2: czy trasa VPN została rozprowadzona i zaimportowana

Dostawca rozprowadza trasy klientów za pomocą MP-BGP. Każda trasa niesie rozróżniacz trasy, który czyni inaczej identyczne prefiksy unikalnymi, oraz cele trasy, które decydują, które VRF importują trasę. Trasa, która dociera, ale nie jest importowana, pozostawia odbierającą VRF pustą dla tego prefiksu. Sprawdź politykę importu, zanim obwinisz odległy koniec.

Wybór trasy też ma znaczenie: preferowana ścieżka przez inną krawędź dostawcy zastępuje tę, której się spodziewałeś.

Kontrola 3: co krawędź wejściowa robi z pakietem

Gdy pakiet przychodzi, krawędź wejściowa wykonuje wyszukiwanie IP w VRF, a następnie dołącza etykiety dla wybranej ścieżki. Stos ma dwie role logiczne nawet wtedy, gdy zrzut pokazuje inną liczbę etykiet.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specyfikacja VPN BGP/MPLS opisuje ten układ. Zdjęcie etykiety na przedostatnim skoku może usunąć etykietę transportową przed ostatnim skokiem, więc zrzut z dwiema etykietami zrobiony w środku sieci nie jest dowodem usterki.

Kontrola 4: czy sieć bazowa przekazuje te etykiety

Routery tranzytowe przełączają na podstawie swoich zainstalowanych wpisów etykiet. Nie czytają aktualizacji BGP, aby zdecydować, co dzieje się z twoim pojedynczym pakietem. Dlatego trasa klienta może istnieć, podczas gdy przekazywanie wciąż zawodzi: rozwiązany następny skok lub etykieta transportowa mogą pęknąć niezależnie. Nauczenie się prefiksu VPN nie naprawia sieci bazowej pod nim.

Sprawdź powiązanie etykiety w stronę krawędzi wyjściowej, a nie tylko istnienie trasy.

Kontrola 5: działanie na wyjściu i droga powrotna

Na wyjściu etykieta usługi wskazuje działanie przekazywania, pakiet jest dekapsulowany i podąża do miejsca docelowego klienta. Stamtąd musi działać także droga powrotna, włącznie z polityką dostępu po stronie klienta na tym interfejsie.

Sukces w jednym kierunku to zwykle trasa powrotna lub filtr, a nie stos etykiet.

Odczytaj swój objaw w jednej z tych kontroli

Brak trasy w odbierającej VRF oznacza ogłoszenie, politykę importu lub wybór trasy. Obecna trasa przy nieudanych pakietach oznacza rozwiązany następny skok, przekazywanie etykiet lub drogę powrotną po stronie klienta. Pakiety docierające do złego celu oznaczają zwykle, że sprawdzasz niewłaściwą VRF. Nic z tego nie jest powodem do zmiany protokołu routingu.

Jeszcze jedna rzecz warta powiedzenia wprost: ten projekt rozdziela klientów i efektywnie przekazuje ich ruch. Nie szyfruje, a traktowanie go jako usługi poufności to osobny błąd.