BGP и MPLS у VPN-у: који део носи пакет

Питање да ли VPN ради на BGP или MPLS спаја два слоја у једну одлуку. BGP дистрибуира доступност и политику. MPLS прослеђује пакете користећи инсталирано стање ознака. У BGP/MPLS VPN-у њих двоје сарађују, а уклањање било ког оставља услугу без икаквог рада. Провере испод воде исти префикс кроз оба слоја, тако да тачно видите где се ваш зауставио.

Провера 1: да ли је префикс у исправном VRF-у

Почните на улазној ивици провајдера и питајте којој VRF припада префикс корисника. Преклапање адреса корисника је нормално у овом дизајну, па је VRF контекст који држи одвојено два корисника која оба користе 10.0.0.0/8.

Ако префикс тамо недостаје, ништа касније не може бити исправно, а преостале провере су узалудан труд.

Провера 2: да ли је VPN рута дистрибуирана и увезена

Провајдер дистрибуира руте корисника преко MP-BGP. Свака рута носи разликовник руте, који иначе идентичне префиксе чини јединственим, и циљеве руте, који одлучују које VRF увозе руту. Рута која стигне али није увезена оставља пријемни VRF празан за тај префикс. Проверите политику увоза пре него што оптужите удаљену страну.

Избор руте је такође важан: преферирани пут кроз другу ивицу провајдера замењује онај који сте очекивали да видите.

Провера 3: шта улазна ивица ради с пакетом

Када пакет стигне, улазна ивица обавља IP претрагу у VRF-у и затим додаје ознаке за изабрани пут. Стек има две логичке улоге чак и када снимак показује другачији број ознака.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Спецификација BGP/MPLS VPN-а описује тај распоред. Уклањање ознаке на претпоследњем скоку може уклонити транспортну ознаку пре последњег скока, па снимак са две ознаке начињен у средини мреже није доказ квара.

Провера 4: да ли основна мрежа прослеђује те ознаке

Транзитни рутери пребацују према својим инсталираним записима ознака. Не читају BGP обнове да би одлучили шта се догађа с вашим појединачним пакетом. Зато рута корисника може постојати док прослеђивање још не ради: разрешени следећи скок или транспортна ознака могу се покварити независно. Учење VPN префикса не поправља основну мрежу испод њега.

Проверите везивање ознаке према излазној ивици, не само постојање руте.

Провера 5: радња на излазу и повратни пут

На излазу ознака услуге одређује радњу прослеђивања, пакет се декапсулира и наставља према одредишту корисника. Одатле мора радити и повратни пут, укључујући политику приступа на страни корисника на том интерфејсу.

Једносмерни успех обично је повратна рута или филтер, а не стек ознака.

Прочитајте свој симптом кроз једну од ових провера

Рута која недостаје у пријемном VRF-у значи објављивање, политику увоза или избор руте. Рута која постоји уз пакете који не пролазе значи разрешени следећи скок, прослеђивање ознака или повратни пут на страни корисника. Пакети који долазе на погрешно одредиште обично значе да прегледате погрешан VRF. Ништа од тога није разлог да промените протокол рутирања.

Још нешто вреди рећи отворено: овај дизајн раздваја кориснике и ефикасно прослеђује њихов саобраћај. Он не шифрује, а третирати га као услугу поверљивости је засебна грешка.