Routing oddziałów MPLS: czego uczy się CE i od kogo

Host w jednym oddziale otwiera połączenie z serwerem w innym, a obie lokalizacje znajdują się za tą samą zarządzaną siecią MPLS VPN warstwy 3. Host zna tylko własną bramę domyślną i nic więcej, co jest prawidłowe. Najważniejsze jest to, że lokalna krawędź klienta przekazuje pakiet do swojej krawędzi dostawcy, a stan routingu VPN u dostawcy dostarcza go do oddziału, który posiada prefiks docelowy.

Prześledzenie jednego pakietu przez całą trasę to najszybszy sposób, aby zobaczyć, która część jest odpowiedzialnością klienta, a która należy do usługi.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Gdzie kończy się zadanie każdego przeskoku

CE-A potrzebuje trasy do odległej sieci LAN wskazującej na jego lokalne przyłącze dostawcy, a nie na adres WAN odległego oddziału. Następnie dostawca przenosi pakiet przez własny rdzeń, korzystając ze stanu routingu VPN, a CE-B dostarcza go do docelowej sieci LAN. W żadnym momencie host nie musi rozumieć etykiet, VRF ani łącza internetowego drugiej strony.

Błąd, który wciąż pojawia się w zgłoszeniach, to konfigurowanie adresu WAN oddziału B jako następnego przeskoku w oddziale A. Oba oddziały kupiły tę samą usługę, więc wydaje się, że powinny być sąsiadami. Nie są: następny przeskok musi być osiągalny przez projekt routingu, który naprawdę masz, a zdalna CE zwykle znajduje się wiele przeskoków dalej, za sprzętem, którym nie administrujesz. Trasa statyczna zbudowana na tym założeniu pojawia się jako aktywna i nie rozwiązuje się do niczego, co jest gorsze niż brakująca trasa, ponieważ w tabeli wygląda poprawnie.

RFC 4364 oddziela wymianę między krawędzią klienta a krawędzią dostawcy od dystrybucji tras VPN przez dostawcę, i to jest dokładnie ta granica, o której mówi ten przewodnik. Zadaniem klienta jest powiedzieć swojej krawędzi, co może dostarczyć, i zaakceptować osiągalność, którą usługa oferuje z powrotem.

Na czym musi się zgodzić przekazanie

Wybierz mechanizm razem z dostawcą, a nie wokół niego. Trasy statyczne, BGP lub uzgodnienie protokołu routingu między CE i PE są wszystkie uprawnione, a OSPF ma zdefiniowany model MPLS VPN dla takiego przekazania. Żadne z nich nie jest powodem, by budować sąsiedztwo OSPF między dwiema odległymi krawędziami klienta przez nieokreślony rdzeń dostawcy, bo to projekt, na który dostawca się nie zgodził i którego nie może obsłużyć.

Zanim nowa sieć LAN wejdzie do eksploatacji, zapisz cztery rzeczy: prefiks, lokalną trasę dalej na CE, ogłoszenie, które dostawca przyjmie, oraz trasy, które dostawca zwróci. Dodaj wszelkie filtrowanie, limity prefiksów lub ograniczenia między lokalizacjami, jakie narzuca umowa. Zdrowe sąsiedztwo to kanał wymiany informacji i nie jest dowodem na to, że dany prefiks został przyjęty; sesja może być aktywna, podczas gdy nowa podsieć siedzi w filtrze.

Następnie śledź odpowiedź. Oddział B potrzebuje trasy powrotnej do źródłowej sieci LAN, a host po stronie odbiorczej potrzebuje własnej bramy i własnych uprawnień do usługi. Trasa, która pojawia się na CE-A, ustanawia połowę drogi w obie strony, i właśnie połowa drogi jest powodem, dla którego jeden kierunek testu ping wygląda zdrowo, podczas gdy aplikacja nadal zawodzi.

Zweryfikuj oba przekazania przed odbiorem

Zbierz stan routingu na obu krawędziach klienta, potwierdź u dostawcy, że zamierzone prefiksy LAN zostały przyjęte do VPN, a następnie przetestuj jedną dozwoloną aplikację w każdym kierunku. Same tabele tras nie dowodzą, że aplikacja działa, a sam test aplikacji nie mówi, która płaszczyzna sterowania zawiodła, gdy nie działa.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Czytaj trzy wyniki razem. Pierwszy mówi, w co wierzy krawędź, drugi mówi, czego się nauczyła i od którego peera, a trzeci mówi, co rzeczywiście będzie przekazywać. Rozbieżność między nimi jest zwykle problemem polityki lub rekurencji, a nie brakującym ogłoszeniem, i warto ją rozwiązać, zanim poprosi się dostawcę o zbadanie sprawy. Przynieś te trzy wyniki na rozmowę z operatorem, bo odpowiadają na większość pytań, które inżynier wsparcia zadałby ci inaczej.

Wiedz, czego usługa nie zapewnia

To jest routowany dostęp warstwy 3. To nie jest łącze warstwy 2, które rozszerza rozgłaszanie między biurami, więc protokoły wykrywania, aplikacje zależne od rozgłaszania i założenia o współdzielonym segmencie nie podróżują razem z nim. Drukowanie, przeglądanie nazw i wszystko, co zależy od lokalnego segmentu, wymaga własnego projektu.

Oddzielenie VPN to także nie szyfrowanie. Komutacja etykiet utrzymuje klientów osobno w sieci dostawcy i nie czyni ładunku poufnym, jeśli umowa wymaga poufności. Tam, gdzie to ma znaczenie, musi je zapewnić aplikacja lub warstwa nakładkowa.

Na koniec trzymaj model usługi zapisany obok konfiguracji routingu lokalizacji. Następny inżynier, który doda podsieć, powinien móc przeczytać, które prefiksy są ogłaszane, kto je przyjmuje i jaka jest oczekiwana droga powrotna: specyfikacja BGP/MPLS IP VPN jest odniesieniem dla modelu stojącego za tym wszystkim.