VPNv4 entre AS: o que o contrato de encaminhamento de rótulos exige

Ler um rótulo VPNv4 num roteador de borda de AS diz pouco até você saber qual modelo entre AS a entrega implementa. O rótulo não é propriedade da rota por si só; ele registra um acordo de encapsulamento e entrega entre dois roteadores. Identifique o modelo antes de ler a saída. Caso contrário, você está depurando um contrato que ninguém escreveu.

Qual modelo a fronteira implementa

O arranjo VRF a VRF une VRFs correspondentes por meio de anexos roteados. Cada lado vê o outro como vizinho de borda do cliente e eles trocam rotas IPv4 comuns, então nada nessa fronteira precisa de MPLS.

Um segundo arranjo troca rotas VPNv4 rotuladas entre os próprios roteadores de borda. Isso só funciona com um caminho comutado por rótulos coerente pelo interconnect e com uma distribuição de route-target mais um modelo de confiança que ambos os lados aceitem. Se faltar qualquer das duas peças, o modelo não está em uso, seja o que for que a configuração sugira.

O terceiro distribui alcançabilidade de PE rotulada enquanto as rotas VPN viajam entre extremidades ou refletores de rota através de ASes. Cada um dos três deixa trabalho diferente na fronteira, e misturar o plano de controle de um com as premissas de interface de outro é a falha clássica. Essa incompatibilidade costuma aparecer como um rótulo que parece certo de um lado e desaparece do outro.

Percorra um prefixo de ponta a ponta

Pegue um único prefixo de cliente autorizado e percorra-o. Veja o que foi anunciado, o que chegou, o próximo salto, o rótulo e a política de importação que o admitiu. Depois veja como o roteador resolve o encaminhamento para esse próximo salto, porque é aí que um rótulo vira pacote. Pule qualquer metade e você está descrevendo um plano de controle que pode não estar movendo tráfego. As duas leituras só significam algo juntas.

O número é local. Ele significa algo em relação ao roteador que o alocou e ao caminho que leva pacotes até lá, e por isso o mesmo valor pode aparecer duas vezes e significar duas coisas diferentes. Compare-o com o que o lado receptor diz ter recebido.

O rótulo é local, e a promessa também

A capacidade é verificada nas duas pontas do interconnect, não em uma. Um comando na sua interface não faz nada na interface do provedor vizinho, e uma rota que o BGP aceitou não compromete o vizinho, por si só, a encaminhar um pacote rotulado.

O RFC 4364 restringe o peering VPNv4 rotulado a arranjos confiáveis e alerta contra aceitar rótulos que nunca foram anunciados àquele par. Trata-se de uma afirmação de segurança tanto quanto de protocolo. Mantenha a relação de roteamento da internet pública longe da troca de rotas privadas da VPN. Se o interconnect for IP puro, não espere que qualquer rótulo sobreviva a ele. E, onde o link é rotulado, confirme que o rótulo de transporte externo é trocado corretamente em cada salto.

Um rótulo que parece certo de um lado e desaparece do outro costuma ser essa incompatibilidade, não um bug de roteamento.

O que registrar na aceitação

A aceitação é um teste de pacote, não uma revisão de tabela. Siga um pacote de cliente até a VRF remota e siga a resposta de volta, então registre qual modelo a entrega implementa. Acrescente os responsáveis pela entrega dos dois lados e se a fronteira carrega IP puro ou tráfego rotulado.

Essa nota é o que permite ao próximo operador ler corretamente a mesma saída de rótulos. Sem ela, o modelo é inferido da configuração, e premissas inferidas são como o mesmo erro se repete. A seção entre AS do RFC 4364 é onde se resolve qual modelo era pretendido.