Примопредаја L3VPN: приватне руте, подразумевана рута или пуна табела?

Ваш круг је подигнут, VRF је конфигурисан, а провајдер поставља кратко питање које одлучује остатак дизајна: шта треба да прими корисничка ивица? Три одговора су уобичајена и ниједан не произилази из чињенице да постоји стек ознака. То су услужне одлуке о томе одакле саобраћај напушта филијалу.

Пролазак кроз примопредају по реду је најјефтинији начин да се ово уради исправно. Почињете од тога шта се дешава са саобраћајем који се ни са чим не поклапа, затим записујете приватне префиксе и њихово понашање при квару, и тек онда разговарате о томе колико велики фид сте спремни да носите.

Почните саобраћајем који нико није планирао

Поставите једно питање пре него што се појави било која листа префикса: када се пакет не поклапа ни са једном приватном рутом, где треба да иде? Филијала са сопственим интернет кругом обично држи локалну подразумевану руту, па обичан веб саобраћај излази кроз локални фајервол и никада не додирује провајдера. У том дизајну VPN носи само удаљене приватне локације, а селекцију врше специфичнији префикси.

Филијала која треба да користи централни излаз је супротан случај. Тамо подразумевана рута показује унутар услуге, а провајдер или централна локација поседује прослеђивање, повратно рутирање и свако превођење. Рећи "подразумевано у VPN" без тог власника даје филијалу која решава имена и ништа не достиже.

Два дизајна се разликују по томе како изгледа квар рутирања, и зато је нагађање скупо. Са локалном подразумеваном рутом, изгубљена приватна рута шаље тај саобраћај на интернет, где га фајервол одбацује или, што је горе, одговара нешто што нисте намеравали. Са централном подразумеваном рутом, исти губитак потпуно уклања приступ интернету и тикет долази као "цела филијала је пала". Ниједан квар није сам по себи погрешан, али само један одговара услузи коју сте продали, а сама BGP конфигурација вам неће рећи који сте изградили.

Запишите приватне префиксе заједно са њиховим случајем квара

Наведите префиксе до којих филијала мора да стигне и забележите који су сажети. Агрегат који је један бит преширок увлачи непознате дестинације у VPN, а то је у реду само ако их удаљена страна заиста поседује и прослеђује.

Затим опишите намеравано понашање када приватна услуга падне. Задржана рута одбацивања држи саобраћај ван неовлашћене путање и даје чист, очекиван прекид. Плутајућа подразумевана рута може да очува доступност преласком на резервну путању, али само ако та резервна путања има овлашћење да носи тај саобраћај.

Држите доступност и дозвољени резервни пут као два одвојена захтева у документу примопредаје. Тимови који их споје на крају расправљају да ли је филијала требало да падне, уместо да провере да ли је договорена политика спроведена.

Проверите шта је CE заиста инсталирао

Намере конфигурације и стање прослеђивања довољно се често разилазе да провера припада примопредаји, а не прегледу инцидента. На IOS-XE корисничкој ивици, три команде испод одговарају на три различита питања: шта је понуђено, шта је прихваћено и шта се заиста користи.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Покрените све три на дан примопредаје, а не месец дана касније, док се неко још сећа шта је договорено. Први излаз зависи од soft-reconfiguration inbound или сачуваног освежавања рута; без једног или другог, CE не може да вам покаже шта је одбио. Други приказује прихваћене и најбоље руте после политике. Трећи говори где подразумевана рута заиста иде, и то је најкориснија линија у целој примопредаји.

Покрените исте провере на другом CE ако локација има два прикључка. Асиметрично прихватање између две ивице чест је узрок "ради са једног сервера а не са другог", и невидљиво је у разлици конфигурације која изгледа симетрично.

Квалификујте већи фид уместо да га претпоставите

Понекад клијенту заиста требају информације о интернет рутама унутар VRF-а, за рутирање по политици или за централни излаз који управља по префиксу. То је захтев који треба изјавити, ограничити и ценошно обрадити, а не скривена подразумевана рута. Уз њега иду меморија за RIB и FIB, CPU за ажурирања, одржавање филтера и власник резултујуће табеле.

Аргументи о капацитету греше у оба смера. Пуна табела није забрањена унутар VRF-а, а није ни бесплатна. Исто тако, данашњи трошак не можете закључити из старог броја рута, а мања додела ознака не уклања трошак чувања рута.

Спецификација BGP/MPLS IP VPN разматра неколико распореда интернет приступа поред саме VPN услуге и не проглашава пуну табелу ни подразумевану руту обавезним за сваког клијента, и управо је то одељак који треба показати када се појави тврдња о "стандардној пракси": RFC 4364.

Затворите примопредају тако што ћете записати објављени скуп, примљени скуп и изабрани скуп поред договорене излазне политике, и што ћете испробати једну приватну дестинацију, једну намеравану јавну дестинацију и један случај губитка руте. Потписани запис тих три теста решава више спорова него било која изјава о томе шта већина мрежа ради.