Potrebuje VPNv4 MPLS v jadre? Nie nevyhnutne
BGP VPNv4 vyjednáva kontext distribúcie trás, nie cestu preposielania. Oddeľte import, rozlíšenie ďalšieho skoku a zapuzdrenie, ktoré môžete prevádzkovať.
Zapnutie adresnej rodiny VPNv4 medzi dvoma smerovačmi vytvorí len kontext distribúcie trás a nič viac. Neinštaluje cestu preposielania a nehovorí, ktoré zapuzdrenie prenesie zákaznícky paket do vzdialeného koncového bodu. Keď sa tieto dva fakty oddelia, otázka „potrebuje toto v jadre MPLS“ sa zmení na užšiu a zodpovedateľnú otázku o dátovej rovine, ktorú platforma podporuje.
Čo adresná rodina v skutočnosti vyjednáva
Multiprotokolové BGP prenáša informácie o dosiahnuteľnosti sieťovej vrstvy VPNv4 pod AFI 1 a SAFI 128 a každý záznam spája rozlišovač trasy s prefixom a štítkom. Relácia vyjednáva, že obe strany vedia tieto informácie kódovať a dekódovať. Čo nevyjednáva, je dátová rovina. Všetko po tomto odseku sa týka preposielania a nič z toho nie je vyriešené vzostupom relácie.
Úspešná relácia je teda dôkazom schopnosti riadiacej roviny, nie preposielania. Smerovač môže držať tisíce záznamov VPNv4 a napriek tomu zahodiť každý zákaznícky paket, a práve preto sa tieto dve triedy porúch na začiatku zamieňajú.
Všimnite si štítok v NLRI. Je to servisný štítok, viazaný na prefix vnútri VRF, a má úlohu pri preposielaní, keď paket dosiahne výstupný koncový bod. Či ho číta nejaké tranzitné zariadenie, je samostatné konštrukčné rozhodnutie.
Príjem, import a preposielanie sú tri kroky
Príjem trasy, povolenie ju používať a schopnosť s ňou preposielať vykonávajú rôzne časti zariadenia. BGP ukladá to, čo počuje; politika importu a zhoda cieľa trasy rozhodujú, ktorá VRF ju môže zvážiť; potom musí rovina preposielania vyriešiť inzerovaný ďalší skok na niečo, čo skutočne dokáže poslať na drôt.
| Step in the chain | What has to be true | How it fails quietly |
|---|---|---|
| NLRI exchange | Both speakers negotiate the VPNv4 capability | Session stays up while the family is never activated |
| Import eligibility | A route target on the received route matches the VRF import policy | The route exists in the table but never enters the VRF |
| Next-hop resolution | The advertised next hop resolves to a usable tunnel or label path | Best path is selected, then marked unreachable or unusable |
| Encapsulation | The egress endpoint can decapsulate what the ingress produced | Packets arrive and are discarded for a format mismatch |
Práve v tomto strednom kroku žijú najprekvapivejšie poruchy. Trasa môže byť v tabuľke BGP, platná a dokonca najlepšia, zatiaľ čo tabuľka trás VRF zostáva prázdna, pretože žiadny cieľ trasy nezodpovedal zoznamu importu. Nič nezaznamená chybu protokolu, pretože žiadna chyba protokolu nenastala.
Posledný krok je miesto, kde sa ukazuje podpora platformy. Ďalší skok dostupný v podkladovej vrstve nie je automaticky riešiteľný ako transport služby VPN a zariadenie môže vyžadovať konkrétny typ tunela, konkrétnu operáciu so štítkom alebo oboje. Čítanie stavu riešenia je informatívnejšie ako čítanie počtu trás.
IP jadro môže niesť zásobník, ktorý nikdy neprepína
Rozdiel, ktorý sa oplatí zachovať, je medzi „jadro neprevádzkuje MPLS“ a „v službe nikde neexistuje štítok“. To sú rôzne tvrdenia a iba prvé sa týka tranzitných zariadení. RFC 4023 definuje prenos MPLS cez tunely IP alebo GRE a práve tento mechanizmus robí druhé tvrdenie možným na čisto IP jadre.
customer packet + service label
encapsulated in GRE, addressed to the egress tunnel endpoint
forwarded by ordinary IP routers on the outer header
decapsulated at the endpoint, label still meaningfulTranzitné smerovače preposielajú podľa vonkajšieho cieľa IP a nepotrebujú ani zákaznícke prefixy, ani natívne prepínanie štítkov. Na vzdialenom konci sa vonkajší tunel odstráni a servisný štítok pokračuje vo svojej práci. Jadro presunulo nepriehľadnú záťaž, a to je presne to, v čom je IP sieť dobrá.
Čo vám tento návrh nedáva, je univerzálna záruka. Nie je to dôkaz, že každý smerovač vyrieši každý ďalší skok VPNv4 cez akékoľvek rozhranie GRE, a nie je to dôvod vymazať fungujúcu natívnu konfiguráciu MPLS. Je to protipríklad univerzálnemu tvrdeniu a praktická otázka zostáva lokálna pre platformu. Zapíšte túto otázku ako obmedzenie platformy, nie ako pravidlo protokolu.
Prejdite reťazec na zariadení, kým sa nezlomí
Začnite pri prijatej trase a zastavte sa pri prvom kroku, ktorý zlyhá, pretože neskoršie kroky nemožno diagnostikovať, kým je skorší pokazený. Štyri príkazy pokrývajú väčšinu toho v typickej implementácii.
show bgp vpnv4 unicast all summary
show bgp vrf CUSTOMER_A ip route 198.51.100.0/24
show ip route vrf CUSTOMER_A 198.51.100.0
show mpls forwarding-table vrf CUSTOMER_AČítajte ich ako postupnosť a nie ako štyri nezávislé kontroly. Prvý potvrdzuje, že rodina je aktívna a sused vymieňa trasy; druhý ukazuje, či prefix dorazil s použiteľným ďalším skokom; tretí dokazuje spôsobilosť na import; štvrtý ukazuje, či k nemu rovina preposielania pripojila štítok alebo tunel.
Potom otestujte cestu pracovnej záťaže v oboch smeroch, s MTU, ktoré prežije zapuzdrenie. GRE pridáva bajty hlavičky a cesta, ktorá prejde malými sondami, môže zlyhať na paketoch plnej veľkosti iba v jednom smere, čo vyzerá ako porucha aplikácie, nie transportu.
Dve prevádzkové poznámky uzatvárajú slučku. GRE je zapuzdrenie, nie dôvernosť, takže nedôveryhodná tranzitná sieť potrebuje navrchu podporované bezpečnostné usporiadanie, nie predpoklad. A poznamenajte si, ktoré zapuzdrenie platforma skutočne podporuje, ešte pred konštrukčnou revíziou, pretože tá jediná odpoveď rozhoduje, či je čisto IP jadro platnou voľbou alebo plánom, ktorý nedokáže preposielať.