Odovzdanie L3VPN: súkromné trasy, predvolená trasa alebo plná tabuľka?

Čo má CE dostať, vyplýva z toho, kadiaľ vychádza prevádzka bez zhody. Prejdite odovzdanie po poradí, dohodnite prípad zlyhania a až potom sa hádajte o veľkosti tabuľky.

Váš okruh je v prevádzke, VRF je nakonfigurovaná a poskytovateľ kladie krátku otázku, ktorá určuje zvyšok návrhu: čo má dostať klientsky okraj? Tri odpovede sú bežné a ani jedna nevyplýva z toho, že existuje zásobník značiek. Sú to servisné rozhodnutia o tom, kadiaľ prevádzka opúšťa pobočku.

Prejsť odovzdanie po poradí je najlacnejší spôsob, ako to urobiť správne. Začnete tým, čo sa deje s prevádzkou, ktorá nezodpovedá ničomu, potom zapíšete súkromné prefixy a ich správanie pri zlyhaní a až potom hovoríte o tom, aký veľký tok ste ochotný prenášať.

Začnite prevádzkou, ktorú nikto neplánoval

Položte jednu otázku skôr, než sa objaví akýkoľvek zoznam prefixov: keď paket nezodpovedá žiadnej súkromnej trase, kam má ísť? Pobočka s vlastným internetovým okruhom zvyčajne drží lokálnu predvolenú trasu, takže bežná webová prevádzka vychádza cez lokálny firewall a poskytovateľa nikdy nezasiahne. V takom návrhu VPN prenáša iba vzdialené súkromné lokality a výber robia konkrétnejšie prefixy.

Pobočka, ktorá má používať centrálny výstup, je opačný prípad. Tam predvolená trasa ukazuje dovnútra služby a poskytovateľ alebo centrálna lokalita vlastní preposielanie, spätné smerovanie a akýkoľvek preklad. Povedať "predvolene do VPN" bez tohto vlastníka dáva pobočku, ktorá rieši mená a nikam sa nedostane.

Oba návrhy sa líšia tým, ako vyzerá zlyhanie smerovania, a preto je hádanie drahé. Pri lokálnej predvolenej trase stratí sa súkromná trasa a tá prevádzka ide do internetu, kde ju firewall zahodí alebo, horšie, odpovie niečo, čo ste nechceli. Pri centrálnej predvolenej trase tá istá strata úplne odoberie prístup na internet a tiket príde ako "celá pobočka je dole". Žiadne zlyhanie nie je samo osebe nesprávne, ale iba jedno zodpovedá službe, ktorú ste predali, a samotná konfigurácia BGP vám nepovie, ktoré ste postavili.

Zapíšte súkromné prefixy spolu s ich prípadom zlyhania

Uveďte prefixy, ku ktorým sa pobočka musí dostať, a poznamenajte, ktoré sú zhrnuté. Agregát o jeden bit širší ťahá neznáme destinácie do VPN, a to je v poriadku len vtedy, ak ich vzdialená strana skutočne vlastní a preposiela.

Potom opíšte zamýšľané správanie, keď súkromná služba zlyhá. Podržaná trasa zahadzovania drží prevádzku mimo neoprávnenej cesty a dáva čistý, očakávaný výpadok. Plávajúca predvolená trasa môže zachovať dostupnosť presunom na záložnú cestu, ale iba ak má tá záložná cesta oprávnenie prenášať túto prevádzku.

Dostupnosť a povolený záložný režim držte ako dve samostatné požiadavky v dokumente odovzdania. Tímy, ktoré ich spoja, nakoniec diskutujú o tom, či mala pobočka padnúť, namiesto toho, aby overili, či bola dohodnutá politika zavedená.

Skontrolujte, čo CE skutočne nainštaloval

Zámer konfigurácie a stav preposielania sa dosť často rozchádzajú, a preto overenie patrí do odovzdania, nie do prehľadu incidentu. Na klientskom okraji IOS-XE tri príkazy nižšie odpovedajú na tri rôzne otázky: čo bolo ponúknuté, čo bolo prijaté a čo sa skutočne používa.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Spustite všetky tri v deň odovzdania, nie o mesiac neskôr, kým si ešte niekto pamätá, čo sa dohodlo. Prvý výstup závisí od soft-reconfiguration inbound alebo uloženého obnovenia trás; bez jedného alebo druhého CE nemôže ukázať, čo odmietol. Druhý zobrazuje prijaté a najlepšie trasy po politike. Tretí hovorí, kam predvolená trasa skutočne ide, a to je najužitočnejší riadok v celom odovzdaní.

Spustite rovnaké kontroly na druhom CE, ak má lokalita dve pripojenia. Asymetrické prijímanie medzi dvoma okrajmi je častá príčina "funguje z jedného servera a nie z druhého", a je neviditeľné v rozdiele konfigurácie, ktorý vyzerá symetricky.

Kvalifikujte väčší tok namiesto toho, aby ste ho predpokladali

Niekedy klient skutočne potrebuje informácie o internetových trasách vnútri VRF, pre politické smerovanie alebo pre centrálny výstup, ktorý riadi podľa prefixu. Je to požiadavka, ktorú treba vysloviť, ohraničiť a oceniť, nie skrytá predvolená trasa. Prichádza s pamäťou pre RIB a FIB, CPU na aktualizácie, údržbou filtrov a vlastníkom výslednej tabuľky.

Argumenty o kapacite sa mýlia oboma smermi. Plná tabuľka vnútri VRF nie je zakázaná a nie je ani zadarmo. Rovnako sa nedá odvodiť dnešná cena zo starého počtu trás a menšie prideľovanie značiek neodstráni náklady na ukladanie trás.

Špecifikácia BGP/MPLS IP VPN rozoberá niekoľko usporiadaní prístupu na internet vedľa samotnej služby VPN a nevyhlasuje plnú tabuľku ani predvolenú trasu za povinné pre každého klienta, a práve na tú časť sa oplatí ukázať, keď sa objaví tvrdenie o "štandardnej praxi": RFC 4364.

Odovzdanie uzavriete zapísaním oznamovanej množiny, prijatej množiny a vybranej množiny vedľa dohodnutej výstupnej politiky a otestovaním jednej súkromnej destinácie, jednej zamýšľanej verejnej destinácie a jedného prípadu straty trasy. Podpísaný záznam týchto troch testov vyrieši viac sporov než akékoľvek tvrdenie o tom, čo robí väčšina sietí.

Súvisiace články