BGP e MPLS numa VPN: que parte transporta o pacote

Perguntar se uma VPN funciona com BGP ou com MPLS mistura duas camadas numa única decisão. O BGP distribui alcance e política. O MPLS encaminha pacotes usando o estado de rótulos instalado. Numa VPN BGP/MPLS as duas camadas cooperam, e retirar qualquer uma delas deixa o serviço sem nada. As verificações abaixo levam o mesmo prefixo pelas duas camadas, para que veja exatamente onde o seu parou.

Verificação 1: o prefixo está na VRF correta

Comece na borda de entrada do provedor e pergunte a que VRF pertence o prefixo do cliente. A sobreposição de endereços de clientes é normal neste desenho, portanto a VRF é o contexto que mantém separados dois clientes que usam ambos 10.0.0.0/8.

Se o prefixo faltar ali, nada posterior pode estar correto e as verificações restantes são esforço perdido.

Verificação 2: a rota de VPN foi distribuída e importada

O provedor distribui as rotas dos clientes com MP-BGP. Cada rota carrega um distinguidor de rota, que torna únicos prefixos que de outra forma seriam idênticos, e destinos de rota, que decidem que VRF importam a rota. Uma rota que chega mas não é importada deixa a VRF recetora vazia para esse prefixo. Verifique a política de importação antes de culpar a extremidade remota.

A seleção de rota também importa: um caminho preferido por outra borda do provedor substitui o que esperava ver.

Verificação 3: o que a borda de entrada faz com o pacote

Quando um pacote chega, a borda de entrada faz uma consulta IP na VRF e depois anexa rótulos para o caminho escolhido. A pilha tem duas funções lógicas mesmo quando uma captura mostra um número diferente de rótulos.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

A especificação de VPN BGP/MPLS descreve essa disposição. A remoção do rótulo no penúltimo salto pode eliminar o rótulo de transporte antes do último salto, por isso uma captura de dois rótulos feita a meio da rede não é prova de uma avaria.

Verificação 4: a rede subjacente encaminha esses rótulos

Os routers de trânsito comutam segundo as suas entradas de rótulos instaladas. Não leem atualizações de BGP para decidir o que acontece ao seu pacote individual. É por isso que uma rota de cliente pode existir enquanto o encaminhamento ainda falha: o próximo salto resolvido ou o rótulo de transporte podem quebrar de forma independente. Aprender um prefixo de VPN não repara a rede subjacente por baixo.

Verifique a ligação de rótulos para a borda de saída, não apenas a presença da rota.

Verificação 5: a ação de saída e o caminho de retorno

Na saída, o rótulo de serviço identifica a ação de encaminhamento, o pacote é desencapsulado e segue para o destino do cliente. A partir daí o caminho de retorno também tem de funcionar, incluindo a política de acesso do lado do cliente nessa interface.

Um sucesso num só sentido é habitualmente uma rota de retorno ou um filtro, não a pilha de rótulos.

Leia o seu sintoma dentro de uma dessas verificações

Uma rota ausente da VRF recetora significa anúncio, política de importação ou seleção de rota. Uma rota presente com pacotes a falhar significa o próximo salto resolvido, o encaminhamento de rótulos ou o caminho de retorno do lado do cliente. Pacotes que chegam ao destino errado significam habitualmente que está a inspecionar a VRF errada. Nada disto é motivo para mudar o protocolo de encaminhamento.

Mais uma coisa que vale a pena dizer com clareza: este desenho separa os clientes e encaminha o seu tráfego de forma eficiente. Não cifra, e tratá-lo como um serviço de confidencialidade é um erro à parte.