Облачни VPN захтева BGP: зашто други протоколи рутирања не раде

IPsec безбедносна асоцијација је активна, бројачи тунела се крећу, а саобраћај ка облачном префиксу нестаје. Оператер затим покушава да омогући OSPF на рутеру корисника, очекујући да ће се сусед успоставити, и ништа се не дешава. Тунел никада није био део који недостаје: управљани облачни VPN излаже дефинисан уговор о рутирању, а на великим платформама тај уговор је BGP. Док не постоји сесија и префикс не буде прихваћен, тунел је само шифрирана стаза без одредишта иза себе.

Тунел је активан, а рута недостаје

Завршетак фазе 1 и фазе 2 доказује да се стране слажу о заштити, а не да било која страна зна камо послати саобраћај. То су одвојене машине стања са одвојеним режимима отказа.

Поставите три питања по реду: да ли је префикс објављен, да ли га је сусед прихватио и да ли је инсталиран за прослеђивање? Префикс који је објављен и филтриран је проблем политике. Префикс који никада није објављен је проблем сесије или конфигурације. Префикс који је прихваћен али није инсталиран је проблем избора руте, и сваки одговор указује на други део конфигурације.

Шта вам провајдер заправо даје

Управљани VPN гејтвеј није неограничен рутер. Провајдер вам даје гејтвеј са подржаним адресама суседа, подешавањем аутономног система, ограничењима префикса и дефинисаним понашањем при отказу. Та површина је производ.

Google Cloud документује динамичко BGP рутирање за HA VPN, при чему Cloud Router учи руте суседа и доставља подобне прилагођене динамичке руте у VPC. AWS Site-to-Site VPN документује избор између статичког и динамичког рутирања и описује BGP провере живости као корисне за пребацивање тунела, уз подршку и за здравствене провере на уређајима без BGP-а. Понашање једне платформе не треба изводити из назива производа друге.

Практична последица је да прво изаберете управљани режим, а затим читате подржане параметре. Пројекат који претпоставља тип суседства који услуга не нуди није конфигурацијски проблем који се решава на рутеру корисника.

Заштита тунела и доступност су одвојени послови

IPsec штити саобраћај изабран за тунел. BGP доставља информације о доступности које префикс чине подобним. Исправан тунел не доказује да је очекивани префикс објављен, прихваћен или инсталиран.

Замислите огранак који објављује 10.42.0.0/16 кроз две подобне путање тунела. Уклоните једну исправну путању и избор руте се може променити без тога да било ко уређује руту сваког радног оптерећења. Откривање, избор руте и опоравак апликације нису тренутни и нису идентични међу имплементацијама, па тест пребацивања мора да посматра цео след, а не први пакет који прође.

Када је облачни префикс недоступан, проверите стање сесије и научене руте пре него што дирнете криптографију. Активна SA без руте иза себе најчешћи је облик овог симптома.

Где се руше претпоставке о OSPF-у

OSPF, IS-IS или други протокол унутар IPsec тунела потпуно је могућ на самоуправљаном уређају, где поседујете оба краја и дизајн прослеђивања. Та чињеница не говори ништа о управљаној услуги која нуди само BGP као режим динамичког рутирања.

Ако предложени пројекат захтева суседство које услуга не подржава, свесно промените архитектуру. Опције укључују самоуправљани уређај у VPC-у, статичко рутирање где га услуга подржава или други производ за повезивање. Конфигурисање протокола само на рутеру корисника не може да дода суседа на страни облака који не постоји, и неће учинити да се префикс појави.

Не преносите одговор једног добављача на гејтвеј другог. Исте речи, попут динамичког рутирања или пребацивања тунела, могу да описују различите механизме и различита ограничења.

Прочитајте захтев услуге, затим пројектујте

Пре прве линије конфигурације запишите адресе суседа, бројеве аутономних система, префиксе које ћете објављивати и прихватати, ограничења рута и очекивано понашање када тунел откаже. Ти пет ставки су уговор према којем пројектујете.

Затим проверите истим редом: сесија успостављена, префикс примљен, рута присутна у VPC табели рута и стварни ток ка адреси услуге. Поновите након присилног пребацивања, јер сесија која се поново успостави може да се врати са другим скупом рута. Ако пројекат зависи од конвергенције испод секунде, измерите је уместо да је претпостављате.

Чувајте уговор о услуги уз запис о промени. Када касније неко пита зашто тунел не може да покрене OSPF, одговор је граница производа, а не ограничење протокола, и запис би то требало да каже.