Тип маршрута OSPF через VPN: не всегда внешний

Префикс клиента пересекает облако провайдера как маршрут BGP VPN и прибывает на удалённый сайт, выглядя как внешний маршрут OSPF, чего ожидают многие инженеры и что не является единственным возможным исходом. То, что видит удалённый CE, зависит от домена OSPF, из которого пришёл префикс, и от его исходного типа маршрута, и оба путешествуют вместе с VPN-маршрутом. Предположение, что каждый перераспределённый префикс превращается в тип 5, ведёт к изменениям предпочтения, которые не могут работать. Сначала сравните идентификатор домена, а не административное расстояние.

Модель PE-CE несёт достаточно контекста, чтобы принимающий PE мог восстановить объявление OSPF, а не придумать его.

Что путешествует вместе с маршрутом

RFC 4577 определяет атрибуты OSPF, которые сопровождают VPN-маршрут: идентификатор домена, метрику и тип маршрута исходного сайта. Принимающий PE использует их, чтобы решить, как подходящий префикс должен выглядеть для его локального процесса OSPF. Без этих атрибутов удалённый PE не имел бы основания ни для чего, кроме внешнего перераспределения. Поэтому маршрут может прийти как межзонная LSA, даже если BGP перевозил его между ними.

Тип зоны тоже важен. Зона stub или NSSA ограничивает, какие LSA могут войти, поэтому один и тот же VPN-маршрут может представляться по-разному в зависимости от того, где находится принимающий экземпляр OSPF. Настроенная политика экспорта тоже может переопределить представление по умолчанию, и это осознанный выбор, а не побочный эффект.

Тот же домен, другое представление

Маршрут внутри зоны или между зонами из того же домена обычно прибывает на удалённый сайт как межзонный маршрут, то есть LSA типа 3. Префикс из другого домена, источник, который никогда не говорил по OSPF, или изначально внешнее объявление OSPF вместо этого следуют внешним правилам, и именно там появляются тип 5 и его эквивалент NSSA. Оба поведения верны; различаются входные данные. Сравните идентификаторы домена и объявленные атрибуты, прежде чем трогать значения предпочтения.

Административное расстояние выбирает между источниками на одном маршрутизаторе. Оно не переписывает тип LSA и не создаёт недостающее отношение домена.

Когда sham link — правильный ответ

Представьте два сайта в одной зоне, соединённые прямым резервным каналом. OSPF сохраняет этот внутризональный путь вместо межзонального, предлагаемого провайдером, даже когда настроенные затраты сделали бы путь провайдера привлекательным. Sham link представляет внутризональное отношение через VPN, чтобы затраты могли участвовать в решении. Он существует для этой конкретной проблемы выбора пути, а не для того, чтобы каждый маршрут того же домена выглядел внутренним.

Sham link требует доступных конечных точек и взаимной настройки на обоих PE. Настройка только с одной стороны создаёт отношение, которое никогда не формируется, и таблица маршрутизации сохраняет прежнее предпочтение, что выглядит так, будто функция ничего не сделала.

Не ломайте защиту от петель

Модель PE-CE устанавливает бит DN на маршрутах, которые распространяет, чтобы префикс не мог вернуться через другой CE и быть перераспределён во второй раз. Именно эта защита не даёт префиксу зацикливаться между сайтами, разделяющими домен OSPF. Удаление или игнорирование её, чтобы маршрут выглядел внутренним, может создать ровно ту петлю, для предотвращения которой она предназначена. Когда префикс выглядит неправильно, относитесь к биту DN как к информации, а не как к препятствию.

Та же осторожность относится к фильтрам перераспределения и картам маршрутов, которые удаляют сообщества. Каждый из них удаляет контекст, нужный удалённой стороне, и полученное объявление может выглядеть правдоподобно, будучи неверным. Меняйте по одному атрибуту за раз и проверяйте, что удалённый CE на самом деле устанавливает.

Затем проверьте с удалённого сайта: тип LSA, объявляющий маршрутизатор и выбранный путь. Эти свидетельства отвечают на вопрос, поставленный в заявке.