Sababta BGP ee VPN-ka dul yaal uusan u xakameynin dariiqa lakabka hoose

Laba goobood ayaa isku xira BGP iyada oo loo marayo tunnel IPsec, waxay bartaan prefixyada midba midka kale, shaxdana waxaa loo beddelaa xakameynta dariiqa. Calaamaddaas ayaa ah bilowga jahwareerka. Fadhigu wuxuu isweydaarsadaa gaaritaanka oo wuxuu mariyaa siyaasad, laakiin waxba kama qabo bixiye, fiilo ama router kee qaada baakadaha sirta ah. Waxaan arkay koox dib u dhisaysa tunnel shaqeynaya sababtoo ah waxay filayeen in isbeddelka dariiqa BGP uu u raro taraafikada dariiq fiilo kale oo fadhigu waligiis saameyn karin.

Waxa dadku u malaynayaan in fadhigu iibsado

Inta badan filashada waxay ka timaaddaa sida isbeddelka dariiqa uu u muuqdo shaybaarka. Waxaad ku dhawaaqdaa prefix tunnelka, dhinaca fog ayaa rakiba, taraafikaduna way dhaqaaqdaa. Isla taxanahaas waxay ku dhacdaa router dhab ahaan leh xakameynta injineerinka taraafikada, sidaas darteed labada waa la isku qaldaa. Shaybaarka labada goobood badanaa waxay wadaagaan hal xiriir gelitaan, taasina waa sababta farqiqa uusan halkaas waligiis u muuqan.

BGP waa borotokool gaaritaan. Wuxuu u sheegaa peer inaad baakado u gaarsiin karto prefix oo u ogolaanaya dhinac kasta inuu kala hormeeyo soo jeedimaha uu helo. Tan aad bay faa'iido u leedahay tunnelka: prefixyadu way soo baxaan oo way libdhadaan marka goobuhu yimaadaan oo tagaan, waxaadna diidi kartaa xad aan ku qorin dariiq statik ah qalab kasta oo gees ah. Waxa aanay samaynayn waa inay routerada bixiyaha hoos keento xakameyntaada.

Lakabka hoose wuxuu qaadaa cinwaanka dibadda. Barta tunnelkaagu waxay u dirtaa baakado sir ah cinwaan peer, shabakadda u dhaxaysa labadaas cinwaanna waxay u gudbisaa dariiqyada ay rakibeen hawlwadeennadeeda. Waxba kama jiraan fadhiga BGP isbeddelo go'aankaas, haddii aan isla bixiyahaas bixin adeeg la taageeray oo sidaas sameeya.

Waxa fadhigu dhab ahaan qaado

Hadliyaha BGP wuxuu furtaa xiriir TCP oo u socda dekedda 179 ee peerkiiisa, isagoo isticmaalaya qaababka fariimaha iyo sifooyinka dariiqa ee lagu qeexay RFC 4271. Marka cinwaanka peer uu ku jiro tunnelka dhexdiisa, tunnelku waa inuu sarreeyaa oo cinwaankaas la gaari karaa ka hor inta fadhigu bilaabmo. Isweydaarsiga IKE ee dhammaaday maaha deris BGP. Hirgelinta IPsec ee ku salaysan dariiqyada waxay u ogolaataa taraafikada inuu gudbo kaliya marka uu jiro dariiq tunnel is waafaqsan, tan ku salaysan siyaasadduna waxay u baahan tahay cinwaanka peer gudaha doorashada la ilaaliyay. Tan rogani waxay abuurtaa xaaladda caadiga ah ee tunnelku cagaar yahay oo fadhigu si aan shaqayn u fadhiisto.

Marka fadhigu sare yimaado, siyaasaddu waxay go'aamisaa waxa dhex mara. Liisaska prefixyada, shaandhaynta AS-path, xadka ugu badan ee prefixyada iyo go'aan cad oo ku saabsan dariiqyada caadiga ah waa ugu yaraan, waxayna khusayaan labada jiho. Peer aqbala wax kasta oo hela wuxuu ku siin karaa dariiq caadi ah oo si aamusnaan ah u beddela gelitaanka internetka maxalliga ah. Labada jiho waxay u baahan yihiin liisas gooni ah, sababtoo ah waxa aad ka aqbasho peer iyo waxa aad u dhawaaqdo waa laba go'aan oo kala duwan.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Markaas MTU wuu qaniinaa. Duubista waxay yaraysaa culeyska faa'iidada leh, sidaas darteed cusboonaysiin weyn waxay joojin kartaa fadhi u muuqda mid si fiican u dhisan: peerku sare ayuu sii ahaanayaa, prefixyadu waligood ma yimaadaan, waxna cad ma dhaco diiwaanka. Xaddid TCP MSS interface-ka tunnelka, ama dhig MTU tunnel oo leh meel bannaan oo kharashka dheeraadka ah, ka hor inta aadan shaandhaynta eedayn.

Xaggee baakadaha dibadda weli tagaan

Baakadaha sirta ah ee ka socda hal goob ilaa tan kale waxay ka baxaan waxa routerka maxalliga ah u doorto cinwaanka dadweynaha ee peerkii. Haddii labada goobood ay ka iibsadaan gudbinta isla bixiye, ay dhex maraan isla xarunta metro, ama dhinac ku jiro NAT heerka shirkadda, tunnelku wuxuu ka badbaadaa cilad bixiye kaliya shil. Tirinta calaamadaha tunnelka qalabka ilaalinta waxba kama sheegto tan.

Doorashada dariiqa iyo rakibidda gudbintuna sidoo kale waa dhacdooyin gooni ah. Prefix wuxuu ku fadhiisan karaa shaxda BGP sida ugu fiican oo haddana ka maqan shaxda gudbinta, sababtoo ah boodhka xigga lama xallin karo ama dariiq gaar ah ayaa guuleysta. Marka qof sheego in BGP bartay prefixka laakiin taraafikadu ma qulqulado, su'aasha faa'iidada leh waa in la rakibay iyo boodhka xigga kee uu tilmaamayo.

Jawaabta daacadda ah ee dib u eegista naqshadda waa liis ku saabsan ku-tiirsanaanta la wadaago: wareegga gelitaanka, bixiyaha sare, xarunta iyo qalab kasta oo xaalad haysta oo ku yaal dariiqa soo noqoshada. Fadhi tunnelka mara ma tirtiri karo ku-tiirsanaan uusan kor fadhiisan.

Saddex go'aan oo mudan in la kala saaro

Marka naqshaddu kuwan isku darto, wada hadal kasta oo cilad ah wareeg ayuu galayaa. Marka hore kala saar warqadda, ka dib mid kasta ku xidh qalabka dhab ahaan fuliya.

Sadar kastaa wuxuu leeyahay milkiile kala duwan. Tan koowaad waa gorgortan, tan labaad waa habaynta qalabkaaga, tan saddexaad badanaa waa shabakadda qof kale. Codsi isbeddel oo magacaaba sadarka uu taabanayo ayaa aad uga fudud in la ansixiyo mid sheegaya dhibaato BGP.

Hababka guuldarrada ee mudan in la qorsheeyo

Aqbalidda dariiqa soo kooban ee peer waa dhaawaca is-sameystay ee ugu caansan. Qof wuxuu ku dhawaaqaa isku-darka gaaban si uu u fududeeyo isweydaarsiga, dhinaca fog ayaa aqbala, taraafikada xadadka aan tunnelka gadaashiis ahaynna waxay raacdaa tunnelka oo dhintaa. Ku shaandhee prefixyada si sax ah la filayo, ama isticmaal liis prefix oo leh xadad sax ah, marna ha aqbalin isku-dar qaawan sababtoo ah wuxuu fadhiga ka dhigaa mid nadiif u muuqda.

Waqtiga dib u noqoshada waa tan labaad. Ogaanshaha waxay ku xiran tahay timers-ka haynta, BFD haddii aad daartay, ogaanshaha peer dhintay ee tunnelka iyo sida degdeg ah ee dhinaca fog u joojiyo ku dhawaaqidda. Fadhiyada jira waa dhibaato gooni ah: dariiq cusub ayaa dib u soo celin kara xiriiro cusub halka fadhiyada TCP ee dhisan ay sii wadaan isticmaalka cinwaanno duugoobay, dab-damiska xaaladda haysta ama NAT ku yaal dariiqana waxay hayn karaan gelitaanno aan hadda waafaqsanayn. Ku dar soo kabashada abka shuruudaha aqbalidda halkii aad ka malayn lahayd in isbeddelka dariiqku wax walba xalliyo.

Tan saddexaad waa asymmetry dariiqa soo noqoshada. Taraafikadu wuxuu ku iman karaa tunnelka oo ku noqon karaa xiriir bixiye aan waligiis loo talogelin inuu qaado, taas oo u muuqata cod hal jiho ah, is-gacan-qabsasho guuldarraystay ama dab-damis tuuraya jawaabaha. Labada jiho si gooni ah u hubi.

Waxa lagu qorayo qandaraaska, iyo sida loo xaqiijiyo

Codso prefixyada la oggol yahay qoraal ahaan: yaa loo fasaxay inuu abuuro xad kasta, haddii dariiq caadi ah la oggol yahay, iyo qoysaska cinwaanka ee adeegga tunnelku taageero. RFC 8212 waxay siyaasadda cad ee soo dejinta iyo dhoofinta ka dhigtay filashada eBGP ee hirgelinta raacda, sidaas darteed peer weli ku tiirsan dabeecadda qarsoon ee aqbala wax walba waa mudan su'aal.

Ka dib ka xaqiiji qalabka halkii shaxda. Amarrada faa'iidada leh ee routerada qaabka FRR:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Ku dar laba indho-indheyn oo shaxda dariiqyada aanay ku siin karin. Ku qabo interface-ka dibadda si aad u xaqiijiso cinwaanka ay baakadaha duuban dhab ahaan bartilmaameedsadaan, tusaale ahaan tcpdump -ni eth0 udp port 51820 tunnel WireGuard, ama shaandheynta ESP ee IPsec. Ka dib raad raac dhanka cinwaanka dadweynaha ee peerkii oo isbarbardhig boodhadhka iyo raad gudaha tunnelka; haddii labaduba raacaan isla silsiladda bixiyaha, xad-dhaafkaagu wuxuu ku nool yahay siyaasadda dariiqyada ee maaha shabakadda.

Ugu dambayn, si ula kac ah u tijaabi dib u noqosho. Hoos u dhig tunnelka inta lagu jiro daaqadda dayactirka, qor inta ay prefixku rakiban tahay, waxa ku dhaca fadhiyada jira iyo haddii dhinaca fog uu ku laabto dariiq aad dhab ahaan aqbali lahayd. Tababarkaas wuxuu naqshadda ka sheegaa wax ka badan shax kasta.

Dariiq maaha fasax. Prefixyada aad ku heshiisay isweydaarsiga waxba kama sheegaan yaa isticmaalayaasha gaari kara adeegga kee ee tunnelka gadaashiisa, sidaas darteed xaqiijinta, adeegyada la oggol yahay iyo dab-damiska martigeliyaha ku hay meesha ay ahaayeen. Peer la gaari karo sidoo kale maaha fasax gudbin aan xad lahayn ama abuurista cinwaanno aan loo baahnayn, awoodda noocaas ahna waxay ka tirsan tahay qandaraaska sida su'aal ganacsi, maaha sadarka siyaasadda BGP.

• Magacaab prefixyada ay dhinac kastaa abuuri karo, iyo kuwa aanu waligiis aqbali karin.
• Xaddid MSS tunnelka oo xaqiiji in cusboonaysiinta waaweyn dhab ahaan yimaadaan.
• Liis ku tax ku-tiirsanaanta lakabka hoose ee la wadaago, maaha tirada tunnelada.
• Cabbir dib u noqosho dhab ah oo qor waxa abku sameeyo.