Bulut VPN için BGP gerekir: diğer yönlendirme protokolleri neden başarısız olur

IPsec güvenlik ilişkisi ayakta, tünel sayaçları ilerliyor ve bulut öneğine giden trafik kayboluyor. Operatör ardından müşteri yönlendiricisinde OSPF'yi etkinleştirmeye çalışır, komşunun oluşmasını bekler ve hiçbir şey olmaz. Tünel hiçbir zaman eksik parça değildi: yönetilen bir bulut VPN tanımlı bir yönlendirme sözleşmesi sunar ve büyük platformlarda bu sözleşme BGP'dir. Bir oturum oluşana ve bir önek kabul edilene kadar tünel, arkasında hedef olmayan şifrelenmiş bir yoldan ibarettir.

Tünel ayakta ve rota yok

Faz 1 ve faz 2'nin tamamlanması, tarafların koruma konusunda anlaştığını kanıtlar; taraflardan birinin trafiği nereye göndereceğini bildiğini değil. Bunlar ayrı arıza modlarına sahip ayrı durum makineleridir.

Sırayla üç soru sorun: önek duyuruldu mu, komşu tarafından kabul edildi mi ve iletim için kuruldu mu? Duyurulup filtrelenen önek bir politika sorunudur. Hiç duyurulmayan önek bir oturum veya yapılandırma sorunudur. Kabul edilip kurulmayan önek bir rota seçimi sorunudur ve her cevap yapılandırmanın farklı bir bölümünü işaret eder.

Sağlayıcı size gerçekte ne veriyor

Yönetilen bir VPN geçidi sınırsız bir yönlendirici değildir. Sağlayıcı size desteklenen komşu adresleri, otonom sistem ayarı, önek sınırları ve tanımlı arıza davranışı olan bir geçit verir. O yüzey üründür.

Google Cloud, HA VPN için dinamik BGP yönlendirmesini belgeler; Cloud Router komşu rotalarını öğrenir ve uygun özel dinamik rotaları VPC'ye sağlar. AWS Site-to-Site VPN, statik ve dinamik yönlendirme arasında bir seçim belgeler ve BGP canlılık kontrollerini tünel yük devri için yararlı olarak tanımlarken BGP'siz cihazlar için sağlık kontrollerini de destekler. Hiçbir platformun davranışı diğerinin ürün adından çıkarılmamalıdır.

Pratik sonuç şudur: önce yönetilen modu seçersiniz, sonra desteklenen parametreleri okursunuz. Hizmetin sunmadığı bir komşuluk türünü varsayan bir tasarım, müşteri yönlendiricisinde çözülecek bir yapılandırma sorunu değildir.

Tünel koruması ve erişilebilirlik ayrı işlerdir

IPsec, tünel için seçilen trafiği korur. BGP, bir öneği uygun kılan erişilebilirlik bilgisini sağlar. Çalışan bir tünel, beklenen öneğin duyurulduğunu, kabul edildiğini veya kurulduğunu kanıtlamaz.

İki uygun tünel yolundan 10.42.0.0/16 duyuran bir şube düşünün. Kullanılabilir bir yolu kaldırın; kimse her iş yükünün rotasını düzenlemeden rota seçimi değişebilir. Algılama, rota seçimi ve uygulama kurtarma anlık değildir ve dağıtımlar arasında aynı değildir, bu nedenle yük devri testi geçen ilk paketi değil tüm diziyi gözlemlemelidir.

Bulut öneği erişilemez olduğunda, kriptografiye dokunmadan önce oturum durumunu ve öğrenilen rotaları kontrol edin. Arkasında rota olmayan ayakta bir SA bu belirtinin en yaygın biçimidir.

OSPF varsayımlarının kırıldığı yer

IPsec tüneli içinde OSPF, IS-IS veya başka bir protokol, iki ucu ve iletim tasarımını kendinizin yönettiği bir cihazda tamamen mümkündür. Bu gerçek, dinamik yönlendirme modu olarak yalnızca BGP sunan yönetilen bir hizmet hakkında hiçbir şey söylemez.

Önerilen tasarım, hizmetin desteklemediği bir komşuluk gerektiriyorsa mimariyi bilinçli olarak değiştirin. Seçenekler arasında VPC içinde kendi yönettiğiniz bir cihaz, hizmetin desteklediği yerde statik yönlendirme veya farklı bir bağlantı ürünü bulunur. Protokolü yalnızca müşteri yönlendiricisinde yapılandırmak, bulut tarafında var olmayan bir komşuyu ekleyemez ve öneğin görünmesini sağlamaz.

Bir satıcının cevabını başka bir satıcının geçidine taşımayın. Dinamik yönlendirme veya tünel yük devri gibi aynı sözcükler farklı mekanizmaları ve farklı sınırları tanımlayabilir.

Hizmet gereksinimini okuyun, sonra tasarlayın

İlk yapılandırma satırından önce komşu adreslerini, otonom sistem numaralarını, duyuracağınız ve kabul edeceğiniz önekleri, rota sınırlarını ve bir tünel arızalandığında beklenen davranışı yazın. O beş madde tasarladığınız sözleşmedir.

Ardından aynı sırayla doğrulayın: oturum kuruldu, önek alındı, rota VPC rota tablosunda var ve bir hizmet adresine gerçek akış var. Zorunlu yük devrinden sonra tekrarlayın, çünkü yeniden kurulan bir oturum farklı bir rota kümesiyle dönebilir. Tasarım saniyenin altında yakınsamaya bağlıysa, varsaymak yerine ölçün.

Hizmet sözleşmesini değişiklik kaydıyla birlikte saklayın. Biri daha sonra tünelin neden OSPF çalıştıramadığını sorduğunda cevap bir protokol kısıtı değil ürün sınırıdır ve kayıt bunu söylemelidir.