Smerovanie pobočiek MPLS: čo sa CE naučí a od koho

Host v jednej pobočke otvára spojenie so serverom v inej a oba areály stoja za tou istou spravovanou MPLS VPN na 3. vrstve. Host pozná len svoju predvolenú bránu a nič iné, čo je správne. Dôležité je, že miestna zákaznícka hrana odovzdá paket svojej hrane poskytovateľa a že stav smerovania VPN u poskytovateľa ho doručí do pobočky, ktorá vlastní cieľový prefix.

Prejsť jeden paket po celej ceste je najrýchlejší spôsob, ako zistiť, ktorá časť je zodpovednosťou zákazníka a ktorá patrí službe.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Kde sa končí práca každého hopu

CE-A potrebuje trasu do vzdialenej LAN smerujúcu k jeho miestnemu pripojeniu k poskytovateľovi, nie k WAN adrese vzdialenej pobočky. Poskytovateľ potom nesie paket svojím jadrom pomocou stavu smerovania VPN a CE-B ho doručí do cieľovej LAN. Host v žiadnom okamihu nemusí rozumieť štítkom, VRF ani internetovému okruhu druhej strany.

Chyba, ktorá sa v tiketoch objavuje stále, je nastavenie WAN adresy pobočky B ako ďalšieho hopu v pobočke A. Obe pobočky si kúpili tú istú službu, takže to vyzerá, akoby mali byť susedmi. Nie sú: ďalší hop musí byť dosiahnuteľný cez návrh smerovania, ktorý skutočne máte, a vzdialená CE je zvyčajne mnoho hopov ďaleko za zariadením, ktoré nespravujete. Statická trasa postavená na tomto predpoklade sa zobrazí ako aktívna a nerozrieši sa do ničoho, čo je horšie ako chýbajúca trasa, pretože v tabuľke vyzerá správne.

RFC 4364 oddeľuje výmenu medzi zákazníckou a poskytovateľskou hranou od distribúcie trás VPN poskytovateľom, a to je presne tá hranica, o ktorej je táto príručka. Úlohou zákazníka je povedať svojej hrane, čo môže doručiť, a prijať dosiahnuteľnosť, ktorú služba ponúka späť.

Na čom sa musí odovzdanie dohodnúť

Vyberte mechanizmus s poskytovateľom, nie okolo neho. Statické trasy, BGP alebo usporiadanie smerovacieho protokolu medzi CE a PE sú všetky legitímne a OSPF má pre takéto odovzdanie definovaný model MPLS VPN. Nič z toho nie je dôvod stavať susedstvo OSPF medzi dvoma vzdialenými zákazníckymi hranami cez nešpecifikované jadro poskytovateľa, pretože to je návrh, s ktorým poskytovateľ nesúhlasil a nemôže ho podporovať.

Skôr než nová LAN vstúpi do prevádzky, zapíšte štyri veci: prefix, miestnu ďalšiu trasu na CE, oznámenie, ktoré poskytovateľ prijme, a trasy, ktoré poskytovateľ vráti. Pridajte akékoľvek filtrovanie, limity prefixov alebo obmedzenia medzi lokalitami, ktoré ukladá zmluva. Zdravé susedstvo je kanál na výmenu informácií a nie je dôkazom, že bol prijatý konkrétny prefix; relácia môže byť aktívna, zatiaľ čo vaša nová podsieť sedí vo filtri.

Potom sledujte odpoveď. Pobočka B potrebuje trasu späť do zdrojovej LAN a host na prijímacej strane potrebuje vlastnú bránu a vlastné oprávnenia k službe. Trasa, ktorá sa objaví na CE-A, zabezpečuje polovicu cesty tam a späť, a práve polovica cesty je dôvod, prečo jeden smer testu ping vyzerá zdravo, zatiaľ čo aplikácia stále zlyháva.

Overte obe odovzdania pred prevzatím

Zhromaždite stav smerovania na oboch zákazníckych hranách, potvrďte s poskytovateľom, že zamýšľané prefixy LAN boli prijaté do VPN, a potom otestujte jednu povolenú aplikáciu v každom smere. Samotné smerovacie tabuľky nedokazujú, že aplikácia funguje, a samotný test aplikácie vám nepovie, ktorá riadiaca rovina zlyhala, keď nefunguje.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Čítajte tri výstupy spoločne. Prvý hovorí, čomu hrana verí, druhý hovorí, čo sa naučila a od ktorého partnera, a tretí hovorí, čo bude skutočne preposielať. Nezhoda medzi nimi je zvyčajne problém politiky alebo rekurzie, nie chýbajúce oznámenie, a oplatí sa ju vyriešiť skôr, než poskytovateľa požiadate o vyšetrovanie. Prineste tieto tri výstupy na rozhovor s operátorom, pretože odpovedajú na väčšinu otázok, ktoré by vám inak položil inžinier podpory.

Vedzte, čo služba neposkytuje

Toto je smerovaný prístup 3. vrstvy. Toto nie je okruh 2. vrstvy, ktorý rozširuje vysielanie medzi pobočkami, takže objavovacie protokoly, aplikácie závislé od vysielania a predpoklady o zdieľanom segmente s ním necestujú. Tlač, prehliadanie názvov a čokoľvek, čo závisí od miestneho segmentu, potrebuje vlastný návrh.

Oddelenie VPN tiež nie je šifrovanie. Prepínanie štítkov drží zákazníkov oddelene v sieti poskytovateľa a nerobí obsah dôverným, ak zmluva vyžaduje dôvernosť. Tam, kde na tom záleží, to musí zabezpečiť aplikácia alebo nadstavba.

Nakoniec majte model služby zapísaný vedľa konfigurácie smerovania lokality. Nasledujúci inžinier, ktorý pridá podsieť, by mal vedieť prečítať, ktoré prefixy sa oznamujú, kto ich prijíma a aká je očakávaná spätná cesta: špecifikácia BGP/MPLS IP VPN je referenciou pre model, ktorý za tým všetkým stojí.