BGP și MPLS într-o VPN: care parte transportă pachetul

BGP distribuie ruta, iar MPLS redirecționează pachetul. Efectuați aceste cinci verificări în ordine pentru a vedea pe ce strat s-a oprit prefixul sau pachetul VPN.

Întrebarea dacă o VPN rulează pe BGP sau pe MPLS amestecă două straturi într-o singură decizie. BGP distribuie accesibilitatea și politica. MPLS redirecționează pachetele folosind starea etichetelor instalată. Într-o VPN BGP/MPLS cele două colaborează, iar eliminarea oricăreia lasă serviciul fără nimic. Verificările de mai jos trec același prefix prin ambele straturi, astfel încât să vedeți exact unde s-a oprit al dumneavoastră.

Verificarea 1: prefixul este în VRF-ul corect

Începeți la marginea de intrare a furnizorului și întrebați cărei VRF îi aparține prefixul clientului. Suprapunerea adreselor clienților este normală în acest design, așa că VRF-ul este contextul care ține separat doi clienți care folosesc amândoi 10.0.0.0/8.

Dacă prefixul lipsește acolo, nimic ulterior nu poate fi corect, iar verificările rămase sunt efort irosit.

Verificarea 2: ruta VPN a fost distribuită și importată

Furnizorul distribuie rutele clienților cu MP-BGP. Fiecare rută poartă un distingător de rută, care face unice prefixe altfel identice, și ținte de rută, care decid ce VRF-uri importă ruta. O rută care sosește dar nu este importată lasă VRF-ul receptor gol pentru acel prefix. Verificați politica de import înainte de a da vina pe capătul îndepărtat.

Și selecția rutei contează: o cale preferată printr-o altă margine a furnizorului o înlocuiește pe cea pe care vă așteptați să o vedeți.

Verificarea 3: ce face marginea de intrare cu pachetul

Când sosește un pachet, marginea de intrare face o căutare IP în VRF și apoi atașează etichete pentru calea aleasă. Stiva are două roluri logice chiar și atunci când o captură arată un număr diferit de etichete.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specificația VPN BGP/MPLS descrie această aranjare. Eliminarea etichetei la penultimul salt poate scoate eticheta de transport înainte de ultimul salt, deci o captură cu două etichete făcută în mijlocul rețelei nu este dovada unei defecțiuni.

Verificarea 4: rețeaua de bază redirecționează acele etichete

Routerele de tranzit comută pe baza intrărilor de etichete instalate. Nu citesc actualizări BGP pentru a decide ce se întâmplă cu pachetul dumneavoastră individual. De aceea o rută de client poate exista în timp ce redirecționarea încă eșuează: următorul salt rezolvat sau eticheta de transport se pot rupe independent. Învățarea unui prefix VPN nu repară rețeaua de bază de dedesubt.

Verificați legarea etichetei spre marginea de ieșire, nu doar existența rutei.

Verificarea 5: acțiunea de ieșire și calea de întoarcere

La ieșire, eticheta de serviciu identifică acțiunea de redirecționare, pachetul este decapsulat și merge spre destinația clientului. De acolo trebuie să funcționeze și calea de întoarcere, inclusiv politica de acces din partea clientului pe acea interfață.

Un succes într-o singură direcție este de obicei o rută de întoarcere sau un filtru, nu stiva de etichete.

Citiți simptomul în una dintre aceste verificări

O rută absentă din VRF-ul receptor înseamnă anunț, politică de import sau selecție de rută. O rută prezentă cu pachete care eșuează înseamnă următorul salt rezolvat, redirecționarea etichetelor sau calea de întoarcere din partea clientului. Pachetele care ajung la destinația greșită înseamnă de obicei că inspectați VRF-ul greșit. Nimic din toate acestea nu este motiv să schimbați protocolul de rutare.

Încă un lucru merită spus deschis: acest design separă clienții și le redirecționează traficul eficient. Nu criptează, iar tratarea lui ca serviciu de confidențialitate este o greșeală separată.

Articole similare