Usmerjanje podružnic MPLS: česa se CE nauči in od koga

Gostitelj na eni podružnici odpre povezavo do strežnika na drugi, obe lokaciji pa stojita za isto upravljano MPLS VPN na 3. plasti. Gostitelj pozna le svojo privzeto prehodno postajo in nič drugega, kar je pravilno. Pomembno je, da lokalni odjemalski rob preda paket svojemu ponudnikovemu robu, stanje usmerjanja VPN pri ponudniku pa ga dostavi v podružnico, ki ima ciljno predpono.

Sledenje enemu paketu po poti je najhitrejši način, da vidite, kateri del je odgovornost odjemalca in kateri del pripada storitvi.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Kje se konča delo vsakega skoka

CE-A potrebuje pot do oddaljenega LAN, ki kaže na njegov lokalni priklop ponudnika, ne na naslov WAN oddaljene podružnice. Nato ponudnik nosi paket skozi svoje jedro s pomočjo stanja usmerjanja VPN, CE-B pa ga dostavi v ciljni LAN. V nobenem trenutku gostitelju ni treba razumeti oznak, VRF ali internetnega voda druge strani.

Napaka, ki se v zahtevkih pojavlja znova in znova, je nastavitev naslova WAN podružnice B kot naslednjega skoka na podružnici A. Obe podružnici sta kupili isto storitev, zato se zdi, da bi morali biti sosedi. Nista: naslednji skok mora biti dosegljiv skozi zasnovo usmerjanja, ki jo res imate, oddaljeni CE pa je običajno mnogo skokov stran za opremo, ki je ne upravljate. Statična pot, zgrajena na tej predpostavki, se prikaže kot aktivna in se ne razreši v nič, kar je slabše od manjkajoče poti, ker je v tabeli videti pravilna.

RFC 4364 ločuje izmenjavo med odjemalskim in ponudnikovim robom od razširjanja poti VPN, ki ga izvaja ponudnik, in to je natanko meja, o kateri govori ta priročnik. Naloga odjemalca je, da svojemu robu pove, kaj lahko dostavi, in sprejme dosegljivost, ki jo storitev ponuja nazaj.

O čem se mora prehod dogovoriti

Izberite mehanizem skupaj s ponudnikom, ne okoli njega. Statične poti, BGP ali dogovor o protokolu usmerjanja med CE in PE so vsi legitimni, OSPF pa ima za tak prehod opredeljen model MPLS VPN. Nič od tega ni razlog za gradnjo sosedstva OSPF med dvema oddaljenima odjemalskima robovoma čez neopredeljeno ponudnikovo jedro, ker je to zasnova, s katero ponudnik ni soglašal in je ne more podpirati.

Preden nov LAN začne obratovati, zapišite štiri stvari: predpono, lokalno naslednjo pot na CE, oznanilo, ki ga bo ponudnik sprejel, in poti, ki jih bo ponudnik vrnil. Dodajte kakršno koli filtriranje, omejitve predpon ali omejitve med lokacijami, ki jih nalaga pogodba. Zdravo sosedstvo je kanal za izmenjavo informacij in ni dokaz, da je bila določena predpona sprejeta; seja je lahko aktivna, medtem ko vaše novo podomrežje sedi v filtru.

Nato sledite odgovoru. Podružnica B potrebuje pot nazaj do izvornega LAN, gostitelj na prejemni strani pa potrebuje svojo prehodno postajo in svoja dovoljenja za storitev. Pot, ki se pojavi na CE-A, vzpostavi polovico povratne poti, in prav polovica poti je razlog, da je ena smer preizkusa ping videti zdrava, medtem ko aplikacija še vedno odpove.

Pred prevzemom preverite oba prehoda

Zberite stanje usmerjanja na obeh odjemalskih robovih, pri ponudniku potrdite, da so bile načrtovane predpone LAN sprejete v VPN, nato pa preizkusite eno dovoljeno aplikacijo v vsaki smeri. Same tabele poti ne dokazujejo, da aplikacija deluje, sam preizkus aplikacije pa vam ne pove, katera ravnina nadzora je odpovedala, ko ne deluje.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Preberite vse tri izhode skupaj. Prvi pove, kaj rob verjame, drugi pove, kaj se je naučil in od katerega partnerja, tretji pa pove, kaj bo dejansko posredoval. Neskladje med njimi je običajno težava politike ali rekurzije, ne manjkajoče oznanilo, in vredno ga je rešiti, preden ponudnika prosite za preiskavo. Prinesite te tri izhode na pogovor z operaterjem, ker odgovarjajo na večino vprašanj, ki bi vam jih sicer zastavil inženir za podporo.

Vedite, česar storitev ne zagotavlja

To je usmerjen dostop 3. plasti. To ni vod 2. plasti, ki razširja oddajanje med pisarnama, zato protokoli odkrivanja, aplikacije, odvisne od oddajanja, in predpostavke o deljenem segmentu ne potujejo z njim. Tiskanje, brskanje po imenih in vse, kar je odvisno od lokalnega segmenta, potrebuje svojo zasnovo.

Ločevanje VPN tudi ni šifriranje. Komutacija oznak drži odjemalce ločene znotraj ponudnikovega omrežja in ne naredi tovora zaupnega, če pogodba zahteva zaupnost. Kjer je to pomembno, ga mora zagotoviti aplikacija ali nadgrajena plast.

Na koncu imejte model storitve zapisan ob konfiguraciji usmerjanja lokacije. Naslednji inženir, ki bo dodal podomrežje, bi moral prebrati, katere predpone se oznanjajo, kdo jih sprejema in kakšna je pričakovana povratna pot: specifikacija BGP/MPLS IP VPN je referenca za model, ki stoji za vsem tem.