VPN ya wingu inahitaji BGP: kwa nini itifaki nyingine za uelekezaji hushindwa

Muungano wa usalama wa IPsec uko hewani, vihesabu vya handaki vinasonga, na trafiki kuelekea kiambishi awali cha wingu inatoweka. Opereta kisha anajaribu kuwezesha OSPF kwenye kipanga njia cha mteja, akitarajia jirani atakua, na hakuna kinachotokea. Handaki halikuwa sehemu iliyokosekana kamwe: VPN ya wingu inayosimamiwa hutoa mkataba wa uelekezaji uliofafanuliwa, na kwenye majukwaa makubwa mkataba huo ni BGP. Hadi kikao kiwepo na kiambishi awali kikubaliwe, handaki ni njia iliyofichwa tu isiyo na destino nyuma yake.

Handaki liko hewani na njia haipo

Kukamilika kwa awamu ya 1 na awamu ya 2 kunathibitisha kwamba pande mbili zinakubaliana kuhusu ulinzi, si kwamba upande wowote unajua trafiki iendee wapi. Hizi ni mashine za hali tofauti zenye njia tofauti za kushindwa.

Uliza maswali matatu kwa mpangilio: kiambishi awali kilitangazwa, jirani alikikubali, na kiliwekwa kwa usambazaji? Kiambishi awali kilichotangazwa na kuchujwa ni tatizo la sera. Kiambishi awali ambacho hakikutangazwa kamwe ni tatizo la kikao au usanidi. Kiambishi awali kilichokubaliwa lakini hakiwekwa ni tatizo la uchaguzi wa njia, na kila jibu linaelekeza sehemu tofauti ya usanidi.

Mtoa huduma anachokupa kwa kweli

Lango la VPN linalosimamiwa si kipanga njia kisicho na kikomo. Mtoa huduma anakupa lango lenye anwani za jirani zinazotumika, mpangilio wa mfumo unaojitegemea, mipaka ya kiambishi awali, na tabia maalum ya kushindwa. Uso huo ndio bidhaa.

Google Cloud huandika uelekezaji wa BGP unaobadilika kwa HA VPN, ambapo Cloud Router hujifunza njia za jirani na kutoa njia maalum zinazobadilika zinazofaa kwa VPC. AWS Site-to-Site VPN huandika uchaguzi kati ya uelekezaji tuli na unaobadilika, na inaeleza ukaguzi wa uhai wa BGP kuwa muhimu kwa ubadilishaji wa handaki huku pia ikisaidia ukaguzi wa afya kwa vifaa visivyo na BGP. Tabia ya jukwaa lolote haipaswi kukisiwa kutoka kwa jina la bidhaa la lingine.

Matokeo ya kiutendaji ni kwamba unachagua kwanza hali inayosimamiwa, kisha unasoma vigezo vinavyotumika. Muundo unaodhania aina ya ujirani ambao huduma haitoi si tatizo la usanidi la kutatuliwa kwenye kipanga njia cha mteja.

Ulinzi wa handaki na ufikivu ni kazi tofauti

IPsec hulinda trafiki iliyochaguliwa kwa handaki. BGP hutoa taarifa ya ufikivu inayofanya kiambishi awali kifae. Handaki linalofanya kazi halithibitishi kwamba kiambishi awali kilichotarajiwa kilitangazwa, kilikubaliwa au kiliwekwa.

Fikiria tawi linalotangaza 10.42.0.0/16 kupitia njia mbili za handaki zinazofaa. Ondoa njia moja inayoweza kutumika na uchaguzi wa njia unaweza kubadilika bila mtu yeyote kuhariri njia ya kila mzigo wa kazi. Utambuzi, uchaguzi wa njia na urejeshaji wa programu si wa papo hapo, na si sawa kati ya usambazaji, kwa hivyo jaribio la ubadilishaji linapaswa kuchunguza mfululizo wote, si pakiti ya kwanza inayopita.

Wakati kiambishi awali cha wingu hakiwezi kufikiwa, angalia hali ya kikao na njia zilizojifunza kabla ya kugusa usimbaji fiche. SA iliyo hewani bila njia nyuma yake ni aina ya kawaida zaidi ya dalili hii.

Ambapo dhana za OSPF zinavunjika

OSPF, IS-IS au itifaki nyingine ndani ya handaki la IPsec inawezekana kabisa kwenye kifaa kinachojisimamia, ambapo wewe unamiliki ncha zote mbili na muundo wa usambazaji. Ukweli huo hausemi chochote kuhusu huduma inayosimamiwa ambayo hutoa BGP pekee kama hali yake ya uelekezaji unaobadilika.

Ikiwa muundo uliopendekezwa unahitaji ujirani ambao huduma haisaidii, badilisha usanifu kwa makusudi. Chaguo ni pamoja na kifaa kinachojisimamia kwenye VPC, uelekezaji tuli pale huduma inaposaidia, au bidhaa nyingine ya muunganisho. Kusanidi itifaki kwenye kipanga njia cha mteja pekee hakuwezi kuongeza jirani upande wa wingu ambaye hayupo, na hakutafanya kiambishi awali kionekane.

Usibebe jibu la muuzaji mmoja hadi kwenye lango la mwingine. Maneno yale yale, kama uelekezaji unaobadilika au ubadilishaji wa handaki, yanaweza kuelezea mbinu na mipaka tofauti.

Soma hitaji la huduma, kisha buni

Kabla ya mstari wa kwanza wa usanidi, andika anwani za majirani, namba za mifumo inayojitegemea, viambishi awali utakavyotangaza na kukubali, mipaka ya njia, na tabia inayotarajiwa wakati handaki linashindwa. Vipengele hivyo vitano ndio mkataba unaobuni kwa mujibu wake.

Kisha thibitisha kwa mpangilio huo: kikao kimeanzishwa, kiambishi awali kimepokelewa, njia ipo kwenye jedwali la njia la VPC, na mtiririko halisi kuelekea anwani ya huduma. Rudia baada ya ubadilishaji wa kulazimishwa, kwa sababu kikao kinachoanizishwa upya kinaweza kurudi na seti tofauti ya njia. Ikiwa muundo unategemea muunganiko chini ya sekunde moja, upime badala ya kudhania.

Tunza mkataba wa huduma pamoja na kumbukumbu ya mabadiliko. Wakati mtu akiuliza baadaye kwa nini handaki haliwezi kuendesha OSPF, jibu ni mpaka wa bidhaa, si kikomo cha itifaki, na kumbukumbu inapaswa kusema hivyo.