Oblakovni VPN potrebuje BGP: zakaj drugi usmerjevalni protokoli odpovejo

Varnostna povezava IPsec je vzpostavljena, števci tunela se premikajo, promet do oblakove predpone pa izgine. Upravljavec nato poskusi omogočiti OSPF na usmerjevalniku stranke, pričakuje, da se bo sosed oblikoval, in nič se ne zgodi. Tunel ni bil nikoli manjkajoči del: upravljani oblakovni VPN izpostavi določeno usmerjevalno pogodbo, na velikih platformah pa je ta pogodba BGP. Dokler ne obstaja seja in ni sprejeta predpona, je tunel le šifrirana pot brez ciljev za seboj.

Tunel je vzpostavljen in pot manjka

Dokončanje faze 1 in faze 2 dokazuje, da se strani strinjata glede zaščite, ne pa da katera ve, kam poslati promet. To so ločeni stroji stanj z ločenimi načini odpovedi.

Postavite tri vprašanja po vrsti: je bila predpona objavljena, jo je sosed sprejel in je bila nameščena za posredovanje? Predpona, ki je bila objavljena in filtrirana, je politična težava. Predpona, ki ni bila nikoli objavljena, je težava seje ali konfiguracije. Predpona, ki je bila sprejeta, a ni bila nameščena, je težava izbire poti, in vsak odgovor kaže na drug del konfiguracije.

Kaj ponudnik dejansko ponuja

Upravljani prehod VPN ni neomejen usmerjevalnik. Ponudnik vam da prehod s podprtimi naslovi sosedov, nastavitvijo avtonomnega sistema, omejitvami predpon in določenim vedenjem ob odpovedi. Ta površina je izdelek.

Google Cloud dokumentira dinamično usmerjanje BGP za HA VPN, kjer se Cloud Router uči poti sosedov in v VPC dobavlja ustrezne prilagojene dinamične poti. AWS Site-to-Site VPN dokumentira izbiro med statičnim in dinamičnim usmerjanjem ter opisuje preverjanja živosti BGP kot koristna za preklop tunela, hkrati pa podpira tudi preverjanja stanja za naprave brez BGP. Vedenja ene platforme ne gre sklepati iz imena izdelka druge.

Praktična posledica je, da najprej izberete upravljani način in nato preberete podprte parametre. Zasnova, ki predpostavlja vrsto sosedstva, ki ga storitev ne ponuja, ni konfiguracijska težava za reševanje na usmerjevalniku stranke.

Zaščita tunela in dosegljivost sta ločeni nalogi

IPsec ščiti promet, izbran za tunel. BGP dobavlja informacije o dosegljivosti, ki naredijo predpono primerno. Delujoč tunel ne dokazuje, da je bila pričakovana predpona objavljena, sprejeta ali nameščena.

Predstavljajte si podružnico, ki objavlja 10.42.0.0/16 prek dveh primernih poti tunela. Odstranite eno uporabno pot in izbira poti se lahko spremeni, ne da bi kdo urejal pot vsake delovne obremenitve. Zaznavanje, izbira poti in obnovitev aplikacije niso takojšnji in niso enaki med uvedbami, zato mora preizkus preklopa opazovati celotno zaporedje, ne prvega paketa, ki pride skozi.

Ko oblakova predpona ni dosegljiva, preverite stanje seje in naučene poti, preden se dotaknete kriptografije. Aktivna SA brez poti za seboj je najpogostejša oblika tega simptoma.

Kje se predpostavke o OSPF zlomijo

OSPF, IS-IS ali drug protokol znotraj tunela IPsec je povsem mogoč na samoupravljani napravi, kjer imate v lasti oba konca in zasnovo posredovanja. To dejstvo ne pove nič o upravljani storitvi, ki kot način dinamičnega usmerjanja ponuja samo BGP.

Če predlagana zasnova potrebuje sosedstvo, ki ga storitev ne podpira, zavestno spremenite arhitekturo. Možnosti vključujejo samoupravljano napravo v VPC, statično usmerjanje tam, kjer ga storitev podpira, ali drug izdelek za povezljivost. Konfiguriranje protokola samo na usmerjevalniku stranke ne more dodati soseda na strani oblaka, ki ne obstaja, in ne bo pripravilo predpone do pojava.

Ne prenašajte odgovora enega ponudnika na prehod drugega. Iste besede, na primer dinamično usmerjanje ali preklop tunela, lahko opisujejo različne mehanizme in različne meje.

Preberite zahtevo storitve in nato načrtujte

Pred prvo vrstico konfiguracije zapišite naslove sosedov, številke avtonomnih sistemov, predpone, ki jih boste objavljali in sprejemali, omejitve poti in pričakovano vedenje, ko tunel odpove. Teh pet postavk je pogodba, po kateri načrtujete.

Nato preverjajte v istem vrstnem redu: seja vzpostavljena, predpona prejeta, pot prisotna v usmerjevalni tabeli VPC in resničen tok do naslova storitve. Ponovite po vsiljenem preklopu, ker se seja, ki se ponovno vzpostavi, lahko vrne z drugačnim naborom poti. Če je zasnova odvisna od konvergence pod eno sekundo, jo izmerite, namesto da bi jo predpostavili.

Hranite pogodbo o storitvi skupaj z zapisom o spremembi. Ko se nekdo pozneje vpraša, zakaj tunel ne more izvajati OSPF, je odgovor meja izdelka, ne omejitev protokola, in zapis bi to moral navajati.