Primopredaja L3VPN: privatne rute, podrazumevana ruta ili puna tabela?

Vaš krug je podignut, VRF je konfigurisan, a provajder postavlja kratko pitanje koje odlučuje ostatak dizajna: šta treba da primi korisnička ivica? Tri odgovora su uobičajena i nijedan ne proizlazi iz činjenice da postoji stack oznaka. To su uslužne odluke o tome odakle saobraćaj napušta filijalu.

Prolazak kroz primopredaju po redu je najjeftiniji način da se ovo uradi ispravno. Počinjete od toga šta se dešava sa saobraćajem koji se ni sa čim ne poklapa, zatim zapisujete privatne prefikse i njihovo ponašanje pri kvaru, i tek onda razgovarate o tome koliko veliki feed ste spremni da nosite.

Počnite saobraćajem koji niko nije planirao

Postavite jedno pitanje pre nego što se pojavi bilo koja lista prefiksa: kada se paket ne poklapa ni sa jednom privatnom rutom, gde treba da ide? Filijala sa sopstvenim internet krugom obično drži lokalnu podrazumevanu rutu, pa običan veb saobraćaj izlazi kroz lokalni firewall i nikada ne dodiruje provajdera. U tom dizajnu VPN nosi samo udaljene privatne lokacije, a selekciju vrše specifičniji prefiksi.

Filijala koja treba da koristi centralni izlaz je suprotan slučaj. Tamo podrazumevana ruta pokazuje unutar usluge, a provajder ili centralna lokacija poseduje prosleđivanje, povratno rutiranje i svako prevođenje. Reći "podrazumevano u VPN" bez tog vlasnika daje filijalu koja rešava imena i ništa ne dostiže.

Dva dizajna se razlikuju po tome kako izgleda kvar rutiranja, i zato je nagađanje skupo. Sa lokalnom podrazumevanom rutom, izgubljena privatna ruta šalje taj saobraćaj na internet, gde ga firewall odbacuje ili, što je gore, odgovara nešto što niste nameravali. Sa centralnom podrazumevanom rutom, isti gubitak potpuno uklanja pristup internetu i tiket dolazi kao "cela filijala je pala". Nijedan kvar nije sam po sebi pogrešan, ali samo jedan odgovara usluzi koju ste prodali, a sama BGP konfiguracija vam neće reći koji ste izgradili.

Zapišite privatne prefikse zajedno sa njihovim slučajem kvara

Navedite prefikse do kojih filijala mora da stigne i zabeležite koji su sažeti. Agregat koji je jedan bit preširok uvlači nepoznate destinacije u VPN, a to je u redu samo ako ih udaljena strana zaista poseduje i prosleđuje.

Zatim opišite nameravano ponašanje kada privatna usluga padne. Zadržana ruta odbacivanja drži saobraćaj van neovlašćene putanje i daje čist, očekivan prekid. Plutajuća podrazumevana ruta može da očuva dostupnost prelaskom na rezervnu putanju, ali samo ako ta rezervna putanja ima ovlašćenje da nosi taj saobraćaj.

Držite dostupnost i dozvoljeni rezervni put kao dva odvojena zahteva u dokumentu primopredaje. Timovi koji ih spoje na kraju raspravljaju da li je filijala trebalo da padne, umesto da provere da li je dogovorena politika sprovedena.

Proverite šta je CE zaista instalirao

Namere konfiguracije i stanje prosleđivanja dovoljno često se razilaze da provera pripada primopredaji, a ne pregledu incidenta. Na IOS-XE korisničkoj ivici, tri komande ispod odgovaraju na tri različita pitanja: šta je ponuđeno, šta je prihvaćeno i šta se zaista koristi.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Pokrenite sve tri na dan primopredaje, a ne mesec dana kasnije, dok se neko još seća šta je dogovoreno. Prvi izlaz zavisi od soft-reconfiguration inbound ili sačuvanog osvežavanja ruta; bez jednog ili drugog, CE ne može da vam pokaže šta je odbio. Drugi prikazuje prihvaćene i najbolje rute posle politike. Treći govori gde podrazumevana ruta zaista ide, i to je najkorisnija linija u celoj primopredaji.

Pokrenite iste provere na drugom CE ako lokacija ima dva priključka. Asimetrično prihvatanje između dve ivice čest je uzrok "radi sa jednog servera a ne sa drugog", i nevidljivo je u razlici konfiguracije koja izgleda simetrično.

Kvalifikujte veći feed umesto da ga pretpostavite

Ponekad klijentu zaista trebaju informacije o internet rutama unutar VRF-a, za rutiranje po politici ili za centralni izlaz koji upravlja po prefiksu. To je zahtev koji treba izjaviti, ograničiti i cenovno obraditi, a ne skrivena podrazumevana ruta. Uz njega idu memorija za RIB i FIB, CPU za ažuriranja, održavanje filtera i vlasnik rezultujuće tabele.

Argumenti o kapacitetu greše u oba smera. Puna tabela nije zabranjena unutar VRF-a, a nije ni besplatna. Isto tako, današnji trošak ne možete zaključiti iz starog broja ruta, a manja dodela oznaka ne uklanja trošak čuvanja ruta.

Specifikacija BGP/MPLS IP VPN razmatra nekoliko rasporeda internet pristupa pored same VPN usluge i ne proglašava punu tabelu ni podrazumevanu rutu obaveznim za svakog klijenta, i upravo je to odeljak koji treba pokazati kada se pojavi tvrdnja o "standardnoj praksi": RFC 4364.

Zatvorite primopredaju tako što ćete zapisati objavljeni skup, primljeni skup i izabrani skup pored dogovorene izlazne politike, i što ćete isprobati jednu privatnu destinaciju, jednu nameravanu javnu destinaciju i jedan slučaj gubitka rute. Potpisani zapis tih tri testa rešava više sporova nego bilo koja izjava o tome šta većina mreža radi.