VPN పై BGP మీ అండర్‌లే మార్గాన్ని ఎందుకు నియంత్రించదు
VPN పై BGP చేరుకోగల సామర్థ్యాన్ని మార్పిడి చేస్తుంది మరియు మార్గ విధానాన్ని వర్తిస్తుంది, కానీ అండర్‌లే ఇప్పటికీ బయటి మార్గాన్ని ఎంచుకుంటుంది. సెషన్ నిజంగా ఏమి నియంత్రిస్తుంది.
రెండు సైట్లు IPsec సొరంగం ద్వారా BGP పీరింగ్ చేస్తాయి, ఒకదాని ప్రిఫిక్స్‌లను మరొకటి నేర్చుకుంటాయి, మరియు రేఖాచిత్రం మార్గ నియంత్రణగా పునఃనామకరణం చేయబడుతుంది. ఆ లేబుల్‌నే గందరగోళానికి ప్రారంభం. సెషన్ చేరుకోగల సామర్థ్యాన్ని మార్పిడి చేస్తుంది, విధానాన్ని కూడా వర్తిస్తుంది, కానీ ఏ ప్రొవైడర్, కేబుల్ లేదా రౌటర్ ఎన్‌క్రిప్ట్ చేసిన ప్యాకెట్లను మోసుకెళ్తుందనే దానిపై దానికి చెప్పడానికి ఏమీ లేదు. పని చేస్తున్న సొరంగాన్ని ఒక జట్టు తిరిగి నిర్మిస్తుందని నేను చూశాను, ఎందుకంటే BGP మార్గ మార్పు సెషన్ ఎప్పటికీ ప్రభావితం చేయలేని మరో ఫైబర్ మార్గానికి ట్రాఫిక్‌ను మారుస్తుందని వారు భావించారు.
సెషన్ ఏమి కొంటుందని ప్రజలు అనుకుంటారు
ఎక్కువ ఆశ ప్రయోగశాలలో మార్గ మార్పు ఎలా కనిపిస్తుంది అనే దాని నుండి వస్తుంది. మీరు సొరంగం ద్వారా ప్రిఫిక్స్‌ను ప్రకటిస్తారు, దూరపు వైపు దాన్ని ఇన్‌స్టాల్ చేస్తుంది, ట్రాఫిక్ కదులుతుంది. అదే క్రమం నిజంగా ట్రాఫిక్ ఇంజనీరింగ్ నియంత్రణలు ఉన్న రౌటర్‌పై కూడా జరుగుతుంది, కాబట్టి రెండూ గందరగోళపడతాయి. ప్రయోగశాలలో రెండు సైట్లు సాధారణంగా ఒకే యాక్సెస్ లింక్‌ను పంచుకుంటాయి, అందుకే తేడా అక్కడ ఎప్పటికీ కనిపించదు.
BGP అనేది చేరుకోగల సామర్థ్య ప్రోటోకాల్. ఇది పీర్‌కు ఒక ప్రిఫిక్స్ కోసం ప్యాకెట్లను పంపగలమని చెబుతుంది మరియు అందుకున్న ఆఫర్లను ప్రతి వైపు క్రమబద్ధీకరించడానికి అనుమతిస్తుంది. సొరంగం ద్వారా ఇది నిజంగా ఉపయోగకరం: సైట్లు వచ్చేటప్పుడు, పోయేటప్పుడు ప్రిఫిక్స్‌లు కనిపించి మాయమవుతాయి, మరియు ప్రతి అంచు పరికరంపై స్థిర మార్గాన్ని రాయకుండా మీరు పరిధిని తిరస్కరించవచ్చు. ఇది చేయని పని ఏమిటంటే ప్రొవైడర్ రౌటర్లను మీ నియంత్రణలోకి తీసుకురావడం.
అండర్‌లే బయటి శీర్షికను మోస్తుంది. మీ సొరంగ ముగింపు బిందువు ఎన్‌క్రిప్ట్ చేసిన ప్యాకెట్లను పీర్ చిరునామాకు పంపుతుంది, ఆ రెండు చిరునామాల మధ్య నెట్‌వర్క్ వాటిని దాని ఆపరేటర్లు ఇన్‌స్టాల్ చేసిన మార్గాల ద్వారా పంపుతుంది. BGP సెషన్‌లో ఏదీ ఆ నిర్ణయాన్ని మార్చదు, అదే ప్రొవైడర్ అలా చేసే మద్దతు సేవను అందించకపోతే.
సెషన్ నిజంగా ఏమి మోస్తుంది
BGP ప్రసంగి తన పీర్ యొక్క 179 పోర్టుకు TCP కనెక్షన్‌ను తెరుస్తుంది, RFC 4271 లో నిర్వచించిన సందేశ ఫార్మాట్లు మరియు మార్గ లక్షణాలను ఉపయోగించి. పీర్ చిరునామా సొరంగం లోపల ఉన్నప్పుడు, సెషన్ ప్రారంభం కాకముందే సొరంగం పైన ఉండాలి మరియు ఆ చిరునామా చేరుకోగలిగి ఉండాలి. పూర్తయిన IKE మార్పిడి BGP పొరుగు కాదు. మార్గ ఆధారిత IPsec అమలులు సరిపోలే సొరంగ మార్గం ఉన్నప్పుడే ట్రాఫిక్‌ను అనుమతిస్తాయి, విధాన ఆధారితమైనది రక్షిత ఎంపికదారు లోపల పీర్ చిరునామా అవసరం. దీన్ని తలక్రిందులు చేస్తే సొరంగం ఆకుపచ్చగా ఉండి సెషన్ నిష్క్రియంగా కూర్చున్న సాంప్రదాయ స్థితి ఏర్పడుతుంది.
సెషన్ పైకి వచ్చాక, దాన్ని దాటేది ఏమిటో విధానం నిర్ణయిస్తుంది. ప్రిఫిక్స్ జాబితాలు, AS-మార్గ ఫిల్టర్లు, గరిష్ఠ ప్రిఫిక్స్ పరిమితి మరియు డిఫాల్ట్ మార్గాలపై స్పష్టమైన నిర్ణయం కనీసం, అవి రెండు దిశల్లో వర్తిస్తాయి. వచ్చినదల్లా అంగీకరించే పీర్ స్థానిక ఇంటర్నెట్ యాక్సెస్‌ను నిశ్శబ్దంగా భర్తీ చేసే డిఫాల్ట్ మార్గాన్ని ఇవ్వగలదు. రెండు దిశలకూ వేర్వేరు జాబితాలు కావాలి, ఎందుకంటే పీర్ నుండి మీరు అంగీకరించేది మరియు అతనికి ప్రకటించేది రెండు వేర్వేరు నిర్ణయాలు.
router bgp 65010
neighbor 10.255.0.2 remote-as 65020
address-family ipv4 unicast
neighbor 10.255.0.2 prefix-list SITE-B-IN in
neighbor 10.255.0.2 prefix-list SITE-B-OUT out
neighbor 10.255.0.2 maximum-prefix 50
తర్వాత MTU కరుస్తుంది. ఎన్‌క్యాప్సులేషన్ ఉపయోగకరమైన లోడ్‌ను తగ్గిస్తుంది, కాబట్టి పెద్ద అప్‌డేట్ పూర్తిగా స్థాపించినట్లు కనిపించే సెషన్‌ను ఆపగలదు: పీర్ పైనే ఉంటుంది, ప్రిఫిక్స్‌లు ఎప్పటికీ రావు, లాగ్‌లో స్పష్టమైనది ఏదీ పడదు. ఫిల్టర్లను నిందించే ముందు సొరంగ ఇంటర్‌ఫేస్‌పై TCP MSSని పరిమితం చేయండి, లేదా అదనపు ఖర్చుకు స్థలం ఇచ్చి సొరంగ MTUని సెట్ చేయండి.
బయటి ప్యాకెట్లు ఇప్పటికీ ఎక్కడికి వెళ్తాయి
ఒక సైట్ నుండి మరొకదానికి ఎన్‌క్రిప్ట్ చేసిన ప్యాకెట్లు స్థానిక రౌటర్ పీర్ యొక్క పబ్లిక్ చిరునామా కోసం ఎంచుకున్న దాని ద్వారా బయటకు వెళ్తాయి. రెండు సైట్లు ఒకే ప్రొవైడర్ నుండి ట్రాన్సిట్ కొంటే, ఒకే మెట్రో సౌకర్యాన్ని దాటితే, లేదా ఒక వైపు క్యారియర్-గ్రేడ్ NAT వెనుక ఉంటే, సొరంగం ప్రొవైడర్ వైఫల్యం నుండి ప్రమాదవశాత్తు మాత్రమే తప్పించుకుంటుంది. పర్యవేక్షణ సాధనంలో సొరంగ చిహ్నాలను లెక్కించడం దీని గురించి మీకు ఏమీ చెప్పదు.
మార్గ ఎంపిక మరియు ఫార్వార్డింగ్ ఇన్‌స్టాలేషన్ కూడా వేర్వేరు సంఘటనలు. ప్రిఫిక్స్ BGP పట్టికలో ఉత్తమంగా ఉండి కూడా ఫార్వార్డింగ్ పట్టికలో లేకపోవచ్చు, ఎందుకంటే తదుపరి హాప్ పరిష్కరించబడదు లేదా మరింత నిర్దిష్ట మార్గం గెలుస్తుంది. BGP ప్రిఫిక్స్ నేర్చుకుంది కానీ ట్రాఫిక్ ప్రవహించడం లేదని ఎవరైనా నివేదిస్తే, ఉపయోగకరమైన ప్రశ్న అది ఇన్‌స్టాల్ అయిందా, ఏ తదుపరి హాప్‌ను సూచిస్తుంది అనేది.
డిజైన్ సమీక్షకు నిజాయితీగల సమాధానం పంచుకున్న ఆధారాల జాబితా: యాక్సెస్ సర్క్యూట్, ఎగువ ప్రొవైడర్, సౌకర్యం మరియు తిరిగి వచ్చే మార్గంలో స్థితిని ఉంచే ఏ పరికరమైనా. సొరంగం ద్వారా సెషన్ తాను పైన కూర్చోని ఆధారాన్ని తీసివేయలేదు.
వేరు చేయదగిన మూడు నిర్ణయాలు
డిజైన్ వీటిని కలిపితే, ప్రతి వైఫల్య సంభాషణ వృత్తంలో తిరుగుతుంది. మొదట వాటిని కాగితంపై వేరు చేయండి, తర్వాత ప్రతిదాన్ని నిజంగా అమలు చేసే పరికరంతో కలపండి.
| Decision | Who controls it | Typical failure |
|---|---|---|
| Which prefixes may cross the relationship? | Both sides, through prefix and AS-path policy you configure deliberately | A default route accepted by mistake, or a vague aggregate |
| Which overlay next hop wins? | Local BGP selection plus next-hop resolution on your own routers | Prefix learned, never installed in the forwarding table |
| Where do the encrypted packets travel? | The underlay operators, unless a supported service adds real control | Path diversity that was never there |
ప్రతి వరుసకు వేరే యజమాని. మొదటిది చర్చలు, రెండవది మీ పరికరాలపై కాన్ఫిగరేషన్, మూడవది ఎక్కువగా మరొకరి నెట్‌వర్క్. అది తాకే వరుసను పేర్కొనే మార్పు అభ్యర్థన BGP సమస్య అని చెప్పే దాని కంటే చాలా సులభంగా ఆమోదించబడుతుంది.
ప్రణాళిక చేయదగిన వైఫల్య విధానాలు
పీర్ యొక్క సారాంశ మార్గాన్ని అంగీకరించడం అత్యంత సాధారణ స్వయం కలిగించుకున్న గాయం. ఎవరో మార్పిడిని సులభతరం చేయడానికి చిన్న సముదాయాన్ని ప్రకటిస్తారు, దూరపు వైపు దాన్ని అంగీకరిస్తుంది, సొరంగం వెనుక లేని పరిధుల ట్రాఫిక్ సొరంగాన్ని అనుసరించి మరణిస్తుంది. సరిగ్గా ఆశించిన ప్రిఫిక్స్‌లపై ఫిల్టర్ చేయండి, లేదా సరైన పరిమితులతో ప్రిఫిక్స్ జాబితాను ఉపయోగించండి, మరియు సెషన్ చక్కగా కనిపిస్తుందని చెప్పి ఎప్పటికీ నగ్న సముదాయాన్ని అంగీకరించవద్దు.
ఉపసంహరణ సమయం రెండవది. గుర్తింపు హోల్డ్ టైమర్లు, మీరు ప్రారంభించినట్లయితే BFD, సొరంగం యొక్క మృత పీర్ గుర్తింపు మరియు దూరపు వైపు ఎంత త్వరగా ప్రకటన ఆపుతుంది అనే దానిపై ఆధారపడి ఉంటుంది. ఉన్న సెషన్లు వేరే సమస్య: కొత్త మార్గం కొత్త కనెక్షన్లను పునరుద్ధరించగలదు, కానీ స్థాపించిన TCP సెషన్లు పాత చిరునామాలను ఉపయోగించడం కొనసాగిస్తాయి, మార్గంలోని స్థితి ఉంచే ఫైర్‌వాల్‌లు లేదా NAT ఇకపై సరిపోలని ఎంట్రీలను ఉంచగలవు. మార్గ మార్పు అన్నీ పరిష్కరిస్తుందని భావించే బదులు అప్లికేషన్ పునరుద్ధరణను ఆమోద ప్రమాణాల్లో చేర్చండి.
మూడవది తిరిగి వచ్చే మార్గ అసమానత. ట్రాఫిక్ సొరంగం ద్వారా వచ్చి, దాన్ని మోయడానికి ఎప్పుడూ ఉద్దేశించని ప్రొవైడర్ లింక్ ద్వారా తిరిగి వెళ్లవచ్చు, ఇది ఒక-దిశ ఆడియో, విఫలమైన హ్యాండ్‌షేక్ లేదా ప్రతిస్పందనలను పారేసే ఫైర్‌వాల్‌గా కనిపిస్తుంది. రెండు దిశలను విడిగా తనిఖీ చేయండి.
ఒప్పందంలో ఏమి రాయాలి, దాన్ని ఎలా ధృవీకరించాలి
అనుమతించిన ప్రిఫిక్స్‌లను లిఖితపూర్వకంగా అడగండి: ప్రతి పరిధిని సృష్టించే అధికారం ఎవరికి ఉంది, డిఫాల్ట్ మార్గం అనుమతించబడిందా, సొరంగ సేవ ఏ చిరునామా కుటుంబాలను మద్దతు ఇస్తుంది. RFC 8212 దాన్ని అనుసరించే అమలుల్లో eBGPకు స్పష్టమైన దిగుమతి మరియు ఎగుమతి విధానాన్ని ఆశగా మార్చింది, కాబట్టి ఇప్పటికీ అంతర్లీనంగా అన్నీ-అంగీకరించే ప్రవర్తనపై ఆధారపడే పీర్‌ను అడగడం విలువైనది.
తర్వాత రేఖాచిత్రం నుండి కాదు, పరికరం నుండి ధృవీకరించండి. FRR శైలి రౌటర్లపై ఉపయోగకరమైన ఆదేశాలు:
show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16
మార్గ పట్టిక ఇవ్వలేని రెండు పరిశీలనలను జోడించండి. ఎన్‌క్యాప్సులేట్ చేసిన ప్యాకెట్లు నిజంగా ఏ చిరునామాన్ని లక్ష్యంగా చేసుకుంటున్నాయో నిర్ధారించడానికి బయటి ఇంటర్‌ఫేస్‌పై క్యాప్చర్ చేయండి, ఉదాహరణకు tcpdump -ni eth0 udp port 51820 WireGuard సొరంగం కోసం, లేదా IPsec కోసం ESP ఫిల్టర్. తర్వాత పీర్ యొక్క పబ్లిక్ చిరునామా వైపు ట్రేస్ చేయండి మరియు హాప్‌లను సొరంగం లోపలి ట్రేస్‌తో పోల్చండి; రెండూ ఒకే ప్రొవైడర్ గొలుసును అనుసరిస్తే, మీ అదనపు నిర్భరత నెట్‌వర్క్‌లో కాదు, మార్గ విధానంలో నివసిస్తుంది.
చివరగా, ఉద్దేశపూర్వకంగా ఉపసంహరణను పరీక్షించండి. నిర్వహణ విండోలో సొరంగాన్ని దించండి, ప్రిఫిక్స్ ఎంత కాలం ఇన్‌స్టాల్ అయి ఉంటుంది, ఉన్న సెషన్లకు ఏమి జరుగుతుంది, దూరపు వైపు మీరు నిజంగా అంగీకరించే మార్గానికి తిరిగి వస్తుందా అని నమోదు చేయండి. ఆ వ్యాయామం ఏ రేఖాచిత్రం కంటే డిజైన్ గురించి ఎక్కువ చెబుతుంది.
మార్గం అనుమతి కాదు. మీరు మార్పిడి చేయడానికి అంగీకరించే ప్రిఫిక్స్‌లు సొరంగం వెనుక ఏ సేవకు ఏ వినియోగదారులు చేరుకోగలరనే దాని గురించి ఏమీ చెప్పవు, కాబట్టి ప్రామాణీకరణ, అనుమతించిన సేవలు మరియు హోస్ట్ ఫైర్‌వాల్‌లను ఉన్న చోటే ఉంచండి. చేరుకోగల పీర్ కూడా అపరిమిత ట్రాన్సిట్ లేదా ఏకపక్ష చిరునామాలను సృష్టించడానికి అనుమతి కాదు, అలాంటి అధికారం BGP విధాన వరుసలో కాదు, వాణిజ్య ప్రశ్నగా ఒప్పందంలో ఉండాలి.
- ప్రతి వైపు సృష్టించగల ప్రిఫిక్స్‌లను మరియు ఎప్పటికీ అంగీకరించకూడని వాటిని పేర్కొనండి.
- సొరంగంపై MSSని పరిమితం చేసి పెద్ద అప్‌డేట్లు నిజంగా వస్తున్నాయని నిర్ధారించండి.
- పంచుకున్న అండర్‌లే ఆధారాలను జాబితా చేయండి, సొరంగాల సంఖ్యను కాదు.
- నిజమైన ఉపసంహరణను కొలిచి అప్లికేషన్ ఏమి చేస్తుందో నమోదు చేయండి.