Cloudová VPN potrebuje BGP: prečo ostatné smerovacie protokoly zlyhávajú

IPsec bezpečnostná asociácia je hore, počítadlá tunela sa hýbu a prevádzka k cloudovému prefixu mizne. Operátor potom skúsi zapnúť OSPF na zákazníckom routeri, očakáva vytvorenie suseda, a nič sa nestane. Tunel nikdy nebol chýbajúci diel: spravovaná cloudová VPN vystavuje definovanú smerovaciu zmluvu a na veľkých platformách je tou zmluvou BGP. Kým neexistuje relácia a nie je prijatý prefix, tunel je len šifrovaná cesta bez cieľov za sebou.

Tunel je hore a trasa chýba

Dokončenie fázy 1 a fázy 2 dokazuje, že sa strany zhodujú na ochrane, nie že niektorá vie, kam posielať prevádzku. Sú to oddelené stavové automaty s oddelenými režimami zlyhania.

Položte tri otázky v poradí: bol prefix oznámený, bol prijatý susedom a bol nainštalovaný na preposielanie? Prefix, ktorý bol oznámený a odfiltrovaný, je problém politiky. Prefix, ktorý nebol nikdy oznámený, je problém relácie alebo konfigurácie. Prefix, ktorý bol prijatý, ale nebol nainštalovaný, je problém výberu trasy, a každá odpoveď ukazuje na inú časť konfigurácie.

Čo vám poskytovateľ skutočne dáva

Spravovaná VPN brána nie je neobmedzený router. Poskytovateľ vám dáva bránu s podporovanými adresami susedov, nastavením autonómneho systému, limitmi prefixov a definovaným správaním pri zlyhaní. Ten povrch je produkt.

Google Cloud dokumentuje dynamické smerovanie BGP pre HA VPN, kde sa Cloud Router učí trasy susedov a dodáva spôsobilé vlastné dynamické trasy do VPC. AWS Site-to-Site VPN dokumentuje voľbu medzi statickým a dynamickým smerovaním a opisuje kontroly životnosti BGP ako užitočné pri prepnutí tunela, zároveň podporuje aj kontroly stavu pre zariadenia bez BGP. Správanie jednej platformy sa nemá odvodzovať z názvu produktu druhej.

Praktickým dôsledkom je, že najprv zvolíte spravovaný režim a potom čítate podporované parametre. Návrh, ktorý predpokladá typ susedstva, ktorý služba neponúka, nie je konfiguračný problém na riešenie na zákazníckom routeri.

Ochrana tunela a dostupnosť sú oddelené úlohy

IPsec chráni prevádzku vybranú pre tunel. BGP dodáva informácie o dostupnosti, ktoré robia prefix spôsobilým. Fungujúci tunel nedokazuje, že očakávaný prefix bol oznámený, prijatý alebo nainštalovaný.

Predstavte si pobočku, ktorá oznamuje 10.42.0.0/16 cez dve spôsobilé cesty tunelom. Odoberte jednu použiteľnú cestu a voľba trasy sa môže zmeniť bez toho, aby niekto upravoval trasu každej záťaže. Detekcia, výber trasy a obnova aplikácie nie sú okamžité a nie sú medzi nasadeniami totožné, preto test prepnutia musí sledovať celú postupnosť, nie prvý paket, ktorý prejde.

Keď je cloudový prefix nedostupný, skontrolujte stav relácie a naučené trasy, skôr než sa dotknete kryptografie. Aktívna SA bez trasy za sebou je najčastejšia podoba tohto symptómu.

Kde sa predpoklady o OSPF lámou

OSPF, IS-IS alebo iný protokol vnútri tunela IPsec je úplne možný na samostatne spravovanom zariadení, kde vlastníte oba konce aj návrh preposielania. Táto skutočnosť nehovorí nič o spravovanej službe, ktorá ako režim dynamického smerovania ponúka iba BGP.

Ak navrhované riešenie potrebuje susedstvo, ktoré služba nepodporuje, zmeňte architektúru zámerne. Možnosti zahŕňajú samostatne spravované zariadenie vo VPC, statické smerovanie tam, kde ho služba podporuje, alebo iný produkt pripojenia. Konfigurácia protokolu iba na zákazníckom routeri nemôže pridať suseda na strane cloudu, ktorý neexistuje, a nedonúti prefix, aby sa objavil.

Neprenášajte odpoveď jedného dodávateľa na bránu iného. Tie isté slová, ako dynamické smerovanie alebo prepnutie tunela, môžu opisovať rôzne mechanizmy a rôzne limity.

Prečítajte si požiadavku služby a potom navrhujte

Pred prvým riadkom konfigurácie zapíšte adresy susedov, čísla autonómnych systémov, prefixy, ktoré budete oznamovať a prijímať, limity trás a očakávané správanie pri zlyhaní tunela. Tých päť položiek je zmluva, proti ktorej navrhujete.

Potom overujte v rovnakom poradí: relácia nadviazaná, prefix prijatý, trasa prítomná v smerovacej tabuľke VPC a skutočný tok na adresu služby. Zopakujte po vynútenom prepnutí, pretože relácia, ktorá sa znovu nadviaže, sa môže vrátiť s inou sadou trás. Ak návrh závisí od konvergencie pod sekundu, zmerajte ju, namiesto toho, aby ste ju predpokladali.

Uchovávajte zmluvu o službe spolu so záznamom o zmene. Keď sa niekto neskôr spýta, prečo tunel nemôže prevádzkovať OSPF, odpoveďou je hranica produktu, nie obmedzenie protokolu, a záznam by to mal uvádzať.