Dimensionarea unei VPN mari în stea: numărați înainte de a alege BGP

Trei mii de sucursale sună ca o problemă de rutare, dar se comportă ca o problemă de contabilitate. Totalul prefixelor se calculează în zece minute și rareori este numărul care doare. Doare munca pe sesiune, valul de actualizări când cade o componentă comună, și timpul până când redirecționarea se potrivește din nou cu noua topologie.

Așa că parcurgeți aritmetica în ordinea corectă. Numărați relațiile, numărați prefixele și alternativele, apoi numărați ce se întâmplă într-o oră proastă, și abia după aceea comparați protocoale și platforme. În ordinea inversă, exercițiul devine o dezbatere despre limitele de rută pe care nimeni nu o poate închide cu informațiile de pe masă.

Patru bugete, nu unul

Fiecare buget răspunde la altă întrebare, și fiecare poate fi constrângerea limitativă pe o altă platformă. Scrise separat, ele împiedică un singur număr mare de prefixe să țină locul întregului proiect.

Ultimele două sunt cele care se sar la o revizuire de proiect. O rețea care încape confortabil în memorie în regim stabil se poate comporta prost când patru sute de sucursale se reconectează în două minute, pentru că munca sosește mai repede decât o poate scurge planul de control. Notați mărimea valului ca număr, împreună cu cât timp poate rămâne serviciul degradat. Asta transformă o îngrijorare vagă într-un test pe care cineva îl poate rula cu adevărat.

În toate patru se ascunde și o întrebare de platformă: dacă criptarea, redirecționarea și rutarea împart un singur procesor sau au căi separate. Două echipamente cu aceeași capacitate de rute se pot comporta foarte diferit sub val, iar fișa tehnică spune rar pe care îl cumpărați.

Faceți aritmetica cu numerele dumneavoastră

Luați un proiect inventat: 3,000 sucursale, trei prefixe fiecare înainte de agregare, și două concentratoare pe sucursală pentru redundanță. Perechea de concentratoare trebuie să țină aproximativ 9,000 de prefixe de sucursală înainte de rezumat, iar proiectul implică 6,000 de sesiuni sucursală-concentrator dacă fiecare sucursală se conectează la ambele.

Acum adăugați părțile care nu sunt prefixe. Fiecare sesiune poartă stare și mesaje periodice chiar și când nimic nu se schimbă. Fiecare concentrator poate ține mai mult de o cale pe prefix dacă se așteaptă o comutare rapidă, așa că numărul alternativelor poate depăși numărul celor selectate. Iar vederea fiecărei ramuri este o decizie de politică separată: a da fiecărei sucursale rutele tuturor celorlalte multiplică munca într-un mod pe care numărătoarea din partea concentratorului nu îl dezvăluie.

Sunt cifre de planificare pentru o discuție de proiect, nu o măsurare a vreunui produs. Rezultatul util al exercițiului este forma curbei, nu o afirmație despre unde cedează un anumit router.

Ce vă dă BGP și ce vă dă un IGP

BGP separă ce a primit un router, ce a selectat și ce anunță, iar fiecare dintre acestea este controlat de politică. Exact de asta are nevoie o rețea de sucursale, pentru că o ramură ar trebui de obicei să vadă o rută implicită, serviciile centrale și foarte puțin altceva. Dacă numărăm doar tabela finală, ascundem alternativele și anunțurile, iar acestea sunt exact părțile care cresc când adăugați redundanță.

Un IGP nu este automat greșit. Când topologia, structura zonelor și modelul de vecinătate se potrivesc serviciului, un protocol de stare a legăturii converge repede și are nevoie de mai puțin schelet de politică. Capcana este să presupunem că poate exprima același control de export pe vecin ca BGP: o zonă OSPF este o graniță de inundare, nu un filtru pe care îl atașați unei sucursale.

În orice caz, decideți mai întâi modelul de vizibilitate. Rute implicite, rezumate pentru serviciile centrale sau detalii complete ale sucursalelor sunt trei produse diferite, iar un rezumat care ascunde o defecțiune mai specifică este o decizie de proiect care trebuie scrisă, nu descoperită în timpul unei întreruperi.

Testați valul, nu regimul stabil

Construiți comparația în jurul defecțiunii pe care o așteptați cu adevărat: un concentrator căzut, un eveniment WAN regional sau o fereastră de mentenanță care scoate offline jumătate dintre locații deodată. Măsurați recuperarea din perspectiva sucursalei, inclusiv aplicația, pentru că un plan de control care converge în secunde înseamnă puțin dacă sesiunea are nevoie de minute pentru a se restabili.

show bgp vpnv4 unicast summary
show ip route vrf BRANCH summary
show processes cpu sorted | include BGP|OSPF

Înregistrați ce face platforma în vârful valului, nu în repaus, și repetați cu funcțiile de securitate activate. O dovadă de concept care arată doar o tabelă liniștită este un test de memorie, iar memoria nu a fost niciodată numărul interesant.