BGP i MPLS u VPN-u: koji dio nosi paket

Pitanje radi li VPN na BGP-u ili MPLS-u spaja dva sloja u jednu odluku. BGP distribuira dostupnost i politiku. MPLS prosljeđuje pakete koristeći instalirano stanje oznaka. U BGP/MPLS VPN-u njih dvoje surađuju, a uklanjanje bilo kojeg ostavlja uslugu bez ikakvog rada. Provjere ispod vode isti prefiks kroz oba sloja, tako da točno vidite gdje se vaš zaustavio.

Provjera 1: je li prefiks u ispravnom VRF-u

Počnite na ulaznom rubu pružatelja i pitajte kojoj VRF pripada prefiks korisnika. Preklapanje adresa korisnika normalno je u ovom dizajnu, pa je VRF kontekst koji drži odvojeno dva korisnika koji oba koriste 10.0.0.0/8.

Ako prefiks tamo nedostaje, ništa kasnije ne može biti ispravno, a preostale su provjere uzaludan trud.

Provjera 2: je li VPN ruta distribuirana i uvezena

Pružatelj distribuira rute korisnika putem MP-BGP-a. Svaka ruta nosi razlikovnik rute, koji inače identične prefikse čini jedinstvenima, i ciljeve rute, koji odlučuju koje VRF uvoze rutu. Ruta koja stigne ali nije uvezena ostavlja prijemni VRF prazan za taj prefiks. Provjerite politiku uvoza prije nego optužite udaljenu stranu.

Izbor rute također je važan: preferirani put kroz drugi rub pružatelja zamjenjuje onaj koji ste očekivali vidjeti.

Provjera 3: što ulazni rub radi s paketom

Kada paket stigne, ulazni rub obavlja IP pretragu u VRF-u i zatim dodaje oznake za odabrani put. Stog ima dvije logičke uloge čak i kada snimka pokazuje drugačiji broj oznaka.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specifikacija BGP/MPLS VPN-a opisuje taj raspored. Uklanjanje oznake na pretposljednjem skoku može ukloniti transportnu oznaku prije posljednjeg skoka, pa snimka s dvije oznake načinjena u sredini mreže nije dokaz kvara.

Provjera 4: prosljeđuje li osnovna mreža te oznake

Tranzitni usmjerivači prebacuju prema svojim instaliranim zapisima oznaka. Ne čitaju BGP objave da bi odlučili što se događa s vašim pojedinačnim paketom. Zato ruta korisnika može postojati dok prosljeđivanje još ne radi: razriješeni sljedeći skok ili transportna oznaka mogu se pokvariti neovisno. Učenje VPN prefiksa ne popravlja osnovnu mrežu ispod njega.

Provjerite vezivanje oznake prema izlaznom rubu, a ne samo postojanje rute.

Provjera 5: radnja na izlazu i povratni put

Na izlazu oznaka usluge identificira radnju prosljeđivanja, paket se dekapsulira i nastavlja prema odredištu korisnika. Odatle mora raditi i povratni put, uključujući politiku pristupa na strani korisnika na tom sučelju.

Jednosmjerni uspjeh obično je povratna ruta ili filtar, a ne stog oznaka.

Pročitajte svoj simptom kroz jednu od ovih provjera

Ruta koja nedostaje u prijemnom VRF-u znači objavljivanje, politiku uvoza ili izbor rute. Ruta koja postoji uz pakete koji ne prolaze znači razriješeni sljedeći skok, prosljeđivanje oznaka ili povratni put na strani korisnika. Paketi koji dolaze na pogrešno odredište obično znače da pregledavate pogrešan VRF. Ništa od toga nije razlog za promjenu protokola usmjeravanja.

Još nešto vrijedi reći otvoreno: ovaj dizajn razdvaja korisnike i učinkovito prosljeđuje njihov promet. On ne šifrira, a tretirati ga kao uslugu povjerljivosti zasebna je pogreška.