VPNv4 między AS: czego wymaga umowa przekazywania etykiet

Odczyt etykiety VPNv4 na routerze brzegowym AS mówi niewiele, dopóki nie wiesz, który model między AS realizuje to przekazanie. Etykieta nie jest sama w sobie właściwością trasy; zapisuje umowę o enkapsulacji i dostarczaniu między dwoma routerami. Ustal model, zanim odczytasz wyświetlacz. W przeciwnym razie debugujesz umowę, której nikt nie spisał.

Który model realizuje granica

Układ VRF-do-VRF łączy pasujące VRF przez przyłącza routowane. Każda strona widzi drugą jako sąsiada customer-edge i wymieniają zwykłe trasy IPv4, więc nic na tej granicy nie potrzebuje MPLS.

Drugi układ wymienia trasy VPNv4 z etykietami między samymi routerami brzegowymi. To działa tylko przy spójnej ścieżce przełączanej etykietami przez połączenie oraz przy dystrybucji route-target i modelu zaufania, który akceptują obie strony. Jeśli brakuje któregoś elementu, model nie jest używany, niezależnie od tego, co sugeruje konfiguracja.

Trzeci rozprowadza osiągalność PE z etykietami, podczas gdy trasy VPN podróżują między punktami końcowymi lub reflektorami tras przez AS-y. Każdy z tych trzech zostawia na granicy inną pracę, a mieszanie płaszczyzny sterowania jednego z założeniami interfejsu drugiego to klasyczna awaria. Ta niezgodność zwykle objawia się jako etykieta, która po jednej stronie wygląda dobrze, a po drugiej znika.

Prześledź jeden prefiks od końca do końca

Weź jeden autoryzowany prefiks klienta i przejdź go. Spójrz, co zostało ogłoszone, co dotarło, jaki jest next hop, etykieta i polityka importu, która go dopuściła. Następnie sprawdź jak router wyznacza przekazywanie w stronę tego next hop, bo właśnie tam etykieta zamienia się w pakiet. Pomiń którąkolwiek połowę, a opisujesz płaszczyznę sterowania, która może nie przenosić ruchu. Oba odczyty mają sens tylko razem.

Numer jest lokalny. Znaczy coś tylko w odniesieniu do routera, który go przydzielił, i ścieżki, którą pakiety tam docierają, dlatego ta sama wartość może pojawić się dwa razy i znaczyć dwie różne rzeczy. Porównaj go z tym, co twierdzi strona odbierająca.

Etykieta jest lokalna, podobnie jak obietnica

Zdolność sprawdza się na obu końcach połączenia, nie na jednym. Polecenie na twoim interfejsie nic nie robi z interfejsem sąsiedniego dostawcy, a trasa przyjęta przez BGP sama z siebie nie zobowiązuje sąsiada do przekazywania pakietu z etykietą.

RFC 4364 ogranicza peering VPNv4 z etykietami do zaufanych układów i ostrzega przed przyjmowaniem etykiet, które nigdy nie zostały ogłoszone temu peerowi. To stwierdzenie o bezpieczeństwie w takim samym stopniu jak o protokole. Trzymaj relację routingu publicznego internetu z dala od wymiany prywatnych tras VPN. Jeśli połączenie to zwykłe IP, nie oczekuj, że jakakolwiek etykieta je przetrwa. A tam, gdzie łącze jest etykietowane, potwierdź, że zewnętrzna etykieta transportowa jest poprawnie zamieniana na każdym hopie.

Etykieta, która po jednej stronie wygląda dobrze, a po drugiej znika, to zwykle właśnie ta niezgodność, a nie błąd routingu.

Co zapisać przy odbiorze

Odbiór to test pakietów, a nie przegląd tabeli. Prześledź pakiet klienta do zdalnego VRF i prześledź jego odpowiedź z powrotem, a potem zapisz, który model realizuje przekazanie. Dodaj właścicieli przekazania po obu stronach oraz to, czy granica przenosi zwykłe IP, czy ruch z etykietami.

Ta notatka pozwala następnemu operatorowi poprawnie odczytać ten sam widok etykiet. Bez niej model jest wnioskowany z konfiguracji, a wnioskowane założenia to sposób, w jaki ten sam błąd się powtarza. Sekcja między AS w RFC 4364 jest miejscem, w którym rozstrzyga się, który model był zamierzony.