VPNv4 între AS: ce cere contractul de redirecționare a etichetelor

Citirea unei etichete VPNv4 pe un router de margine AS spune puțin până când știi ce model între AS implementează predarea. Eticheta nu este o proprietate a rutei în sine; ea înregistrează un acord despre încapsulare și livrare între doi routeri. Identifică modelul înainte de a citi afișajul. Altfel depanezi un contract pe care nimeni nu l-a scris.

Ce model implementează granița

Aranjamentul VRF-la-VRF unește VRF-uri corespunzătoare prin atașamente rutate. Fiecare parte îl vede pe celălalt ca vecin customer-edge și fac schimb de rute IPv4 obișnuite, așa că nimic la acea graniță nu are nevoie de MPLS.

Un al doilea aranjament schimbă rute VPNv4 cu etichete între routerele de margine înseși. Aceasta funcționează doar cu o cale comutată pe etichete coerentă peste interconnect și cu o distribuție route-target plus un model de încredere pe care ambele părți îl acceptă. Dacă lipsește oricare dintre cele două piese, modelul nu este în uz, orice ar sugera configurația.

Al treilea distribuie accesibilitatea PE cu etichete în timp ce rutele VPN călătoresc între capete sau reflectoare de rută prin AS-uri. Fiecare dintre cele trei lasă o muncă diferită la graniță, iar amestecarea planului de control al unuia cu ipotezele de interfață ale altuia este eșecul clasic. Această nepotrivire apare de obicei ca o etichetă care arată bine pe o parte și dispare pe cealaltă.

Urmează un prefix de la un capăt la altul

Ia un singur prefix de client autorizat și parcurge-l. Uită-te la ce a fost anunțat, la ce a ajuns, la next hop, la etichetă și la politica de import care l-a admis. Apoi uită-te la cum rezolvă routerul redirecționarea spre acel next hop, pentru că acolo o etichetă devine pachet. Sari peste oricare jumătate și descrii un plan de control care poate nu duce trafic. Cele două citiri au sens doar împreună.

Numărul este local. El înseamnă ceva în raport cu routerul care l-a alocat și cu calea care duce pachetele acolo, motiv pentru care aceeași valoare poate apărea de două ori și poate însemna două lucruri diferite. Compară-l cu ce spune partea receptoare că a primit.

Eticheta este locală, iar promisiunea la fel

Capacitatea se verifică la ambele capete ale interconnect-ului, nu la unul. O comandă pe interfața ta nu face nimic pentru interfața furnizorului vecin, iar o rută acceptată de BGP nu obligă prin ea însăși vecinul să redirecționeze un pachet cu etichetă.

RFC 4364 limitează peering-ul VPNv4 cu etichete la aranjamente de încredere și avertizează împotriva acceptării etichetelor care nu au fost niciodată anunțate acelui peer. Este o afirmație de securitate tot atât cât una de protocol. Ține relația de rutare a internetului public departe de schimbul privat de rute VPN. Dacă interconnect-ul este IP simplu, nu te aștepta ca vreo etichetă să supraviețuiască. Iar acolo unde legătura este etichetată, confirmă că eticheta de transport exterioară este schimbată corect la fiecare hop.

O etichetă care arată bine pe o parte și dispare pe cealaltă este de obicei acea nepotrivire, nu un bug de rutare.

Ce să notezi la acceptare

Acceptarea este un test de pachete, nu o revizuire de tabel. Urmărește un pachet de client în VRF-ul remote și urmărește-i răspunsul înapoi, apoi notează ce model implementează predarea. Adaugă responsabilii predării de ambele părți și dacă granița transportă IP simplu sau trafic cu etichete.

Acea notă este ce îi permite următorului operator să citească corect același afișaj de etichete. Fără ea, modelul este dedus din configurație, iar ipotezele deduse sunt modul în care aceeași greșeală se repetă. Secțiunea inter-AS din RFC 4364 este locul unde se lămurește ce model a fost intenționat.