Predaja L3VPN: zasebne poti, privzeta pot ali polna tabela?

Vaše vezje deluje, VRF je konfiguriran, ponudnik pa postavi kratko vprašanje, ki določi preostanek zasnove: kaj naj prejme odjemalčev rob? Trije odgovori so pogosti in noben ne izhaja iz dejstva, da obstaja sklad oznak. To so storitvene odločitve o tem, kje promet zapusti podružnico.

Prehoditi predajo po vrsti je najcenejši način, da to naredite pravilno. Začnete s tem, kaj se zgodi s prometom, ki se ne ujema z ničemer, nato zapišete zasebne predpone in njihovo vedenje ob okvari ter šele nato govorite o tem, kako velik tok ste pripravljeni prenašati.

Začnite s prometom, ki ga nihče ni načrtoval

Postavite eno vprašanje, preden se pojavi kateri koli seznam predpon: ko se paket ne ujema z nobeno zasebno potjo, kam naj gre? Podružnica z lastnim internetnim vezjem običajno obdrži lokalno privzeto pot, zato običajni spletni promet odide skozi lokalni požarni zid in se ponudnika nikoli ne dotakne. V taki zasnovi VPN prenaša le oddaljena zasebna mesta, izbiro pa opravijo bolj specifične predpone.

Podružnica, ki naj bi uporabljala osrednji izhod, je nasproten primer. Tam privzeta pot kaže v notranjost storitve, ponudnik ali osrednje mesto pa ima v lasti posredovanje, povratno usmerjanje in kakršno koli prevajanje. Reči "privzeto v VPN" brez tega lastnika da podružnico, ki razreši imena in ne doseže ničesar.

Zasnovi se razlikujeta v tem, kako izgleda okvara usmerjanja, zato je ugibanje drago. Z lokalno privzeto potjo izgubljena zasebna pot pošlje ta promet v internet, kjer ga požarni zid zavrže ali, še huje, odgovori nekaj, česar niste nameravali. Z osrednjo privzeto potjo ista izguba popolnoma odvzame dostop do interneta in zahtevek pride kot "cela podružnica je dol". Nobena okvara sama po sebi ni napačna, a samo ena ustreza storitvi, ki ste jo prodali, in samo konfiguracija BGP vam ne bo povedala, katero ste zgradili.

Zapišite zasebne predpone skupaj z njihovim primerom okvare

Naštejte predpone, ki jih mora podružnica doseči, in zabeležite, katere so povzete. Agregat, ki je za en bit preširok, potegne neznane cilje v VPN, in to je v redu le, če jih oddaljena stran v resnici ima v lasti in jih posreduje.

Nato opišite predvideno vedenje, ko zasebna storitev odpove. Zadržana pot zavrnitve drži promet stran od nepooblaščene poti in da čisto, pričakovano prekinitev. Plavajoča privzeta pot lahko ohrani razpoložljivost s prehodom na rezervno pot, a le če je ta rezervna pot pooblaščena za prenašanje tega prometa.

Razpoložljivost in dovoljeni rezervni način ohranite kot dve ločeni zahtevi v dokumentu predaje. Ekipe, ki ju združijo, na koncu razpravljajo o tem, ali bi podružnica morala pasti, namesto da bi preverile, ali je bila dogovorjena politika izvedena.

Preverite, kaj je CE v resnici namestil

Namen konfiguracije in stanje posredovanja se dovolj pogosto razhajata, da preverjanje sodi v predajo, ne v pregled incidenta. Na odjemalčevem robu IOS-XE trije ukazi spodaj odgovarjajo na tri različna vprašanja: kaj je bilo ponujeno, kaj je bilo sprejeto in kaj se dejansko uporablja.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Zaženite vse tri na dan predaje, ne mesec pozneje, dokler se nekdo še spomni, kaj je bilo dogovorjeno. Prvi izhod je odvisen od soft-reconfiguration inbound ali shranjenega osveževanja poti; brez enega ali drugega CE ne more pokazati, kaj je zavrnil. Drugi prikaže sprejete in najboljše poti po politiki. Tretji pove, kam privzeta pot v resnici gre, in to je najbolj uporabna vrstica v celotni predaji.

Zaženite enake preglede na drugem CE, če je mesto povezano z dvema vodoma. Asimetrično sprejemanje med dvema robovoma je pogost vzrok za "deluje z enega strežnika in ne z drugega", in je nevidno v razliki konfiguracije, ki je videti simetrična.

Kvalificirajte večji tok, namesto da ga predpostavljate

Včasih odjemalec res potrebuje informacije o internetnih poteh znotraj VRF, za politično usmerjanje ali za osrednji izhod, ki usmerja po predponi. To je zahteva, ki jo je treba izraziti, omejiti in ovrednotiti, ne skrita privzeta pot. Prinaša pomnilnik za RIB in FIB, procesor za posodobitve, vzdrževanje filtrov in lastnika nastale tabele.

Argumenti o zmogljivosti se motijo v obe smeri. Polna tabela znotraj VRF ni prepovedana in tudi ni brezplačna. Prav tako današnjih stroškov ni mogoče sklepati iz starega števila poti, manjša dodelitev oznak pa ne odpravi stroškov shranjevanja poti.

Specifikacija BGP/MPLS IP VPN obravnava več ureditev dostopa do interneta ob sami storitvi VPN in ne razglaša polne tabele ali privzete poti za obvezni za vsakega odjemalca, in prav na tisti razdelek se je vredno sklicevati, ko se pojavi trditev o "standardni praksi": RFC 4364.

Predajo zaključite tako, da zabeležite oglaševani nabor, prejeti nabor in izbrani nabor ob dogovorjeni izhodni politiki ter preizkusite en zasebni cilj, en predvideni javni cilj in en primer izgube poti. Podpisan zapis teh treh preizkusov razreši več sporov kot katera koli trditev o tem, kaj počne večina omrežij.