MPLS рутирање огранака: шта CE учи и од кога

Домаћин у једном огранку отвара везу са сервером у другом, и обе локације стоје иза исте управљане MPLS VPN 3. слоја. Домаћин зна само свој подразумевани пролаз и ништа друго, што је тачно. Важно је да локална ивица клијента преда пакет својој ивици провајдера, и да стање VPN рутирања код провајдера достави то огранку који поседује префикс одредишта.

Праћење једног пакета дуж путање најбржи је начин да се види који део је одговорност клијента, а који део припада услузи.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Где се завршава посао сваког скока

CE-A-у је потребна рута ка удаљеном LAN-у која показује на његов локални прикључак провајдера, а не на WAN адресу удаљеног огранка. Затим провајдер носи пакет кроз сопствено језгро користећи стање VPN рутирања, а CE-B га доставља на циљни LAN. Ни у једном тренутку домаћин не мора да разуме ознаке, VRF или интернет везу друге стране.

Грешка која се стално појављује у тикетима је подешавање WAN адресе огранка B као следећег скока у огранку A. Оба огранка су купила исту услугу, па изгледа као да би требало да буду суседи. Али нису: следећи скок мора бити достижан кроз дизајн рутирања који заиста имате, а удаљени CE је обично много скокова даље иза опреме коју не администрирате. Статичка рута изграђена на тој претпоставци приказује се као активна и не разрешава се ни у шта, што је горе од руте која недостаје, јер у табели изгледа исправно.

RFC 4364 одваја размену између ивице клијента и ивице провајдера од дистрибуције VPN рута коју спроводи провајдер, и то је управо граница о којој говори овај приручник. Задатак клијента је да својој ивици каже шта може да достави и да прихвати достижност коју услуга нуди заузврат.

Око чега предаја мора да се договори

Изаберите механизам заједно са провајдером, а не око њега. Статичке руте, BGP или договор о протоколу рутирања између CE и PE су сви легитимни, а OSPF има дефинисан MPLS VPN модел за такву предају. Ниједан од њих није разлог да се изгради OSPF суседство између две удаљене ивице клијента преко неодређеног језгра провајдера, јер је то дизајн са којим провајдер није сагласан и који не може да подржи.

Пре него што нови LAN почне са радом, запишите четири ствари: префикс, локалну следећу руту на CE, објаву коју ће провајдер прихватити и руте које ће провајдер вратити. Додајте било какво филтрирање, ограничења префикса или ограничења између локација која налаже уговор. Здраво суседство је канал за размену информација и није доказ да је одређени префикс прихваћен; сесија може бити активна док ваша нова подмрежа седи у филтеру.

Затим пратите одговор. Огранку B је потребна рута назад ка изворном LAN-у, а домаћину на страни пријема су потребни сопствени пролаз и сопствене дозволе за услугу. Рута која се појави на CE-A успоставља пола пута тамо и назад, и управо је пола пута разлог што један смер ping теста изгледа здраво док апликација још увек не успева.

Проверите оба предаје пре прихватања

Прикупите стање рутирања на обе ивице клијента, потврдите са провајдером да су предвиђени LAN префикси прихваћени у VPN, и затим тестирајте једну дозвољену апликацију у сваком смеру. Само табеле рута не доказују да апликација ради, а само тест апликације не каже која контролна раван није успела када она не ради.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Читајте три излаза заједно. Први говори у шта ивица верује, други говори шта је научила и од ког партнера, а трећи говори шта ће заиста проследити. Неслагање међу њима је обично проблем политике или рекурзије, а не објава која недостаје, и вреди га решити пре него што се провајдер замоли за истрагу. Донесите та три излаза на разговор са оператером, јер одговарају на већину питања која би вам инжењер подршке иначе поставио.

Знајте шта услуга не пружа

Ово је рутиран приступ 3. слоја. Ово није веза 2. слоја која проширује емитовање између канцеларија, зато протоколи за откривање, апликације зависне од емитовања и претпоставке о дељеном сегменту не путују са њом. Штампање, прегледање имена и све што зависи од локалног сегмента захтева сопствени дизајн.

Одвајање VPN такође није шифровање. Комутација ознака држи клијенте одвојено унутар мреже провајдера и не чини садржај поверљивим ако уговор захтева поверљивост. Тамо где је то важно, мора да га обезбеди апликација или надслој.

На крају, држите модел услуге записан поред конфигурације рутирања локације. Следећи инжењер који дода подмрежу требало би да може да прочита који се префикси објављују, ко их прихвата и какав је очекивани повратни пут: спецификација BGP/MPLS IP VPN је референца за модел који стоји иза свега овога.