Një VPN në re kërkon BGP: pse protokollet e tjera të rrugëzimit dështojnë

Shoqata e sigurisë IPsec është aktive, numëruesit e tunelit lëvizin dhe trafiku drejt prefiksit të resë zhduket. Operatori atëherë përpiqet të aktivizojë OSPF në ruterin e klientit, duke pritur që fqinji të formohet, dhe asgjë nuk ndodh. Tuneli nuk ishte kurrë pjesa që mungonte: një VPN i menaxhuar në re ekspozon një kontratë të përcaktuar rrugëzimi, dhe në platformat e mëdha ajo kontratë është BGP. Derisa të ekzistojë një sesion dhe të pranohet një prefiks, tuneli është thjesht një rrugë e kriptuar pa destinacione pas saj.

Tuneli është aktiv dhe rruga mungon

Përfundimi i fazës 1 dhe fazës 2 provon që palët bien dakord për mbrojtjen, jo që ndonjëra palë e di ku ta dërgojë trafikun. Këto janë makina gjendjeje të veçanta me mënyra dështimi të veçanta.

Bëni tre pyetje me radhë: a u shpall prefiksi, a u pranua nga fqinji dhe a u instalua për përcjellje? Një prefiks i shpallur dhe i filtruar është problem politike. Një prefiks që nuk u shpall kurrë është problem sesioni ose konfigurimi. Një prefiks i pranuar por i painstaluar është problem i zgjedhjes së rrugës, dhe çdo përgjigje tregon një pjesë të ndryshme të konfigurimit.

Çfarë ju jep në të vërtetë ofruesi

Një portë VPN e menaxhuar nuk është ruter pa kufizime. Ofruesi ju jep një portë me adresa fqinjësh të mbështetura, një cilësim të sistemit autonom, kufizime prefiksesh dhe një sjellje të përcaktuar dështimi. Ajo sipërfaqe është produkti.

Google Cloud dokumenton rrugëzimin dinamik BGP për HA VPN, ku Cloud Router mëson rrugët e fqinjëve dhe furnizon rrugë dinamike të personalizuara të kualifikuara për VPC-në. AWS Site-to-Site VPN dokumenton një zgjedhje midis rrugëzimit statik dhe dinamik, dhe përshkruan kontrollet e gjallërisë së BGP si të dobishme për kalimin e tunelit, ndërsa mbështet gjithashtu kontrolle shëndeti për pajisjet pa BGP. Sjellja e një platforme nuk duhet të nxirret nga emri i produktit të tjetrës.

Pasoja praktike është që së pari zgjidhni modalitetin e menaxhuar dhe më pas lexoni parametrat e mbështetur. Një projekt që supozon një lloj fqinjësie që shërbimi nuk e ofron nuk është problem konfigurimi për t'u zgjidhur në ruterin e klientit.

Mbrojtja e tunelit dhe arritshmëria janë detyra të veçanta

IPsec mbron trafikun e zgjedhur për tunelin. BGP furnizon informacionin e arritshmërisë që e bën një prefiks të kualifikuar. Një tunel që funksionon nuk provon që prefiksi i pritur u shpall, u pranua ose u instalua.

Imagjinoni një degë që shpall 10.42.0.0/16 përmes dy rrugëve të kualifikuara tuneli. Hiqni një rrugë të përdorshme dhe zgjedhja e rrugës mund të ndryshojë pa redaktuar askush rrugën e secilës ngarkesë pune. Zbulimi, zgjedhja e rrugës dhe rikuperimi i aplikacionit nuk janë të menjëhershme dhe nuk janë identike midis vendosjeve, prandaj testi i kalimit duhet të vëzhgojë të gjithë sekuencën dhe jo paketën e parë që kalon.

Kur një prefiks i resë është i paarritshëm, kontrolloni gjendjen e sesionit dhe rrugët e mësuara përpara se të prekni kriptografinë. Një SA aktive pa rrugë pas saj është forma më e zakonshme e këtij simptomi.

Ku thyhen supozimet për OSPF

OSPF, IS-IS ose një protokoll tjetër brenda një tuneli IPsec është plotësisht i mundur në një pajisje të vetëmenaxhuar, ku ju zotëroni të dy skajet dhe projektin e përcjelljes. Ky fakt nuk thotë asgjë për një shërbim të menaxhuar që ofron vetëm BGP si modalitet të rrugëzimit dinamik.

Nëse një projekt i propozuar kërkon një fqinjësi që shërbimi nuk e mbështet, ndryshoni arkitekturën me qëllim. Opsionet përfshijnë një pajisje të vetëmenaxhuar në VPC, rrugëzim statik aty ku shërbimi e mbështet, ose një produkt tjetër lidhshmërie. Konfigurimi i protokollit vetëm në ruterin e klientit nuk mund të shtojë një fqinj në anën e resë që nuk ekziston, dhe nuk do ta bëjë prefiksin të shfaqet.

Mos e transferoni përgjigjen e një furnizuesi në portën e një tjetri. Të njëjtat fjalë, si rrugëzim dinamik ose kalim tuneli, mund të përshkruajnë mekanizma dhe kufij të ndryshëm.

Lexoni kërkesën e shërbimit dhe më pas projektioni

Përpara rreshtit të parë të konfigurimit, shkruani adresat e fqinjëve, numrat e sistemeve autonome, prefikset që do të shpallni dhe pranoni, kufijtë e rrugëve dhe sjelljen e pritur kur një tunel dështon. Këto pesë zëra janë kontrata mbi të cilën projektioni.

Më pas verifikoni në të njëjtin rend: sesion i vendosur, prefiks i marrë, rrugë e pranishme në tabelën e rrugëve të VPC-së dhe një fluks real drejt një adrese shërbimi. Përsëriteni pas një kalimi të detyruar, sepse një sesion që rivendoset mund të kthehet me një grup tjetër rrugësh. Nëse projekti varet nga konvergjenca nën një sekondë, mateni atë në vend që ta supozoni.

Mbajeni kontratën e shërbimit bashkë me regjistrin e ndryshimit. Kur dikush pyet më vonë pse tuneli nuk mund të ekzekutojë OSPF, përgjigjja është një kufi produkti, jo një kufizim protokolli, dhe regjistri duhet ta thotë këtë.