BGP и MPLS в VPN: какая часть несёт пакет

BGP распространяет маршрут, а MPLS пересылает пакет. Выполните эти пять проверок по порядку, чтобы увидеть, на каком уровне остановился ваш префикс или пакет VPN.

Вопрос о том, работает ли VPN на BGP или на MPLS, смешивает два уровня в одном решении. BGP распространяет доступность и политику. MPLS пересылает пакеты, используя установленное состояние меток. В VPN BGP/MPLS эти два уровня взаимодействуют, и удаление любого из них не оставляет сервиса вовсе. Проверки ниже проводят один и тот же префикс через оба уровня, чтобы вы точно видели, где остановился ваш.

Проверка 1: находится ли префикс в правильной VRF

Начните на входном краю провайдера и спросите, к какой VRF относится префикс клиента. Перекрытие адресов клиентов в этой схеме нормально, поэтому VRF — это контекст, который держит отдельно двух клиентов, использующих один и тот же 10.0.0.0/8.

Если префикса там нет, ничего дальше не может быть правильным, а остальные проверки — пустая трата сил.

Проверка 2: был ли маршрут VPN распространён и импортирован

Провайдер распространяет маршруты клиентов через MP-BGP. Каждый маршрут несёт различитель маршрута, который делает иначе одинаковые префиксы уникальными, и цели маршрута, которые определяют, какие VRF импортируют маршрут. Маршрут, который приходит, но не импортируется, оставляет принимающую VRF пустой для этого префикса. Проверьте политику импорта, прежде чем винить дальний край.

Выбор маршрута тоже важен: предпочтительный путь через другой край провайдера заменяет тот, который вы ожидали увидеть.

Проверка 3: что входной край делает с пакетом

Когда пакет приходит, входной край выполняет поиск IP в VRF и затем добавляет метки для выбранного пути. Стек имеет две логические роли, даже когда запись показывает другое число меток.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Спецификация VPN BGP/MPLS описывает такое размещение. Снятие метки на предпоследнем шаге может убрать транспортную метку до последнего шага, поэтому запись с двумя метками, сделанная в середине сети, не является доказательством неисправности.

Проверка 4: передаёт ли базовая сеть эти метки

Транзитные маршрутизаторы коммутируют по своим установленным записям меток. Они не читают обновления BGP, чтобы решить, что произойдёт с вашим отдельным пакетом. Именно поэтому маршрут клиента может существовать, пока пересылка всё ещё не работает: разрешённый следующий шаг или транспортная метка могут сломаться независимо. Изучение префикса VPN не восстанавливает базовую сеть под ним.

Проверьте привязку метки к выходному краю, а не только наличие маршрута.

Проверка 5: действие на выходе и обратный путь

На выходе метка сервиса определяет действие пересылки, пакет декапсулируется и движется к пункту назначения клиента. Оттуда должен работать и обратный путь, включая политику доступа со стороны клиента на этом интерфейсе.

Успех в одну сторону — это обычно обратный маршрут или фильтр, а не стек меток.

Прочитайте свой симптом через одну из этих проверок

Отсутствие маршрута в принимающей VRF означает объявление, политику импорта или выбор маршрута. Наличие маршрута при сбоях пакетов означает разрешённый следующий шаг, пересылку меток или обратный путь со стороны клиента. Пакеты, приходящие не по назначению, обычно означают, что вы смотрите не ту VRF. Ничто из этого не является причиной менять протокол маршрутизации.

Ещё одно стоит сказать прямо: эта схема разделяет клиентов и эффективно пересылает их трафик. Она не шифрует, и относиться к ней как к сервису конфиденциальности — отдельная ошибка.

Похожие статьи