BGP och MPLS i en VPN: vilken del bär paketet

BGP fördelar rutten och MPLS vidarebefordrar paketet. Kör dessa fem kontroller i ordning för att se på vilket lager ditt VPN-prefix eller paket stannade.

Frågan om en VPN körs på BGP eller MPLS blandar två lager i ett beslut. BGP fördelar nåbarhet och policy. MPLS vidarebefordrar paket med hjälp av installerat etikettillstånd. I en BGP/MPLS-VPN samarbetar de två, och tar man bort någon av dem finns ingen tjänst alls kvar. Kontrollerna nedan skickar samma prefix genom båda lagren, så att du ser exakt var ditt stannade.

Kontroll 1: ligger prefixet i rätt VRF

Börja vid leverantörens ingångskant och fråga vilken VRF kundprefixet hör till. Överlappande kundadresser är normalt i den här designen, så VRF:en är sammanhanget som håller två kunder som båda använder 10.0.0.0/8 åtskilda.

Saknas prefixet där kan inget senare vara korrekt, och de återstående kontrollerna är bortkastat arbete.

Kontroll 2: fördelades och importerades VPN-rutten

Leverantören fördelar kundrutter med MP-BGP. Varje rutt bär en ruttdiskriminator, som gör annars identiska prefix unika, och rutmål, som avgör vilka VRF:er som importerar rutten. En rutt som anländer men inte importeras lämnar den mottagande VRF:en tom för det prefixet. Kontrollera importpolicyn innan du skyller på den avlägsna änden.

Ruttval spelar också roll: en föredragen väg via en annan leverantörskant ersätter den du förväntade dig att se.

Kontroll 3: vad ingångskanten gör med paketet

När ett paket anländer gör ingångskanten en IP-sökning i VRF:en och bifogar sedan etiketter för den valda vägen. Stacken har två logiska roller även när en fångst visar ett annat antal etiketter.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Specifikationen för BGP/MPLS-VPN beskriver den ordningen. Borttagning av etiketten på näst sista hoppet kan ta bort transportetiketten före det sista hoppet, så en fångst med två etiketter tagen mitt i nätet är inte bevis på ett fel.

Kontroll 4: vidarebefordrar underlaget dessa etiketter

Transitroutern växlar utifrån sina installerade etikettposter. De läser inte BGP-uppdateringar för att avgöra vad som händer med ditt enskilda paket. Därför kan en kundrutt finnas medan vidarebefordran fortfarande misslyckas: nästa hopp eller transportetiketten kan gå sönder oberoende av varandra. Att lära sig ett VPN-prefix reparerar inte underlaget under det.

Kontrollera etikettbindningen mot utgångskanten, inte bara att rutten finns.

Kontroll 5: åtgärden vid utgången och returvägen

Vid utgången identifierar tjänsteetiketten vidarebefordringsåtgärden, paketet avkapslas och fortsätter mot kundens destination. Därifrån måste även returvägen fungera, inklusive åtkomstpolicyn på kundsidan på det gränssnittet.

Framgång i en riktning är vanligtvis en returrutt eller ett filter, inte etikettstacken.

Läs ditt symptom i en av dessa kontroller

En rutt som saknas i den mottagande VRF:en betyder annonsering, importpolicy eller ruttval. En rutt som finns medan paketen misslyckas betyder nästa hopp, etikettvidarebefordran eller returvägen på kundsidan. Paket som anländer till fel destination betyder oftast att du undersöker fel VRF. Inget av detta är skäl att byta routingprotokoll.

En sak till är värd att sägas rakt ut: den här designen skiljer kunder åt och vidarebefordrar deras trafik effektivt. Den krypterar inte, och att behandla den som en sekretesstjänst är ett separat misstag.

Relaterade artiklar