VPNv4 çekirdekte MPLS gerektirir mi? Şart değil

BGP VPNv4 bir rota dağıtım bağlamını müzakere eder, bir iletim yolunu değil. İçe aktarmayı, sonraki atlama çözümlemesini ve çalıştırabileceğiniz kapsüllemeyi ayırın.

İki yönlendirici arasında VPNv4 adres ailesini açmak yalnızca bir rota dağıtım bağlamı oluşturur, başka bir şey değil. Bir iletim yolu kurmaz ve müşteri paketini uzak uç noktaya hangi kapsüllemenin taşıyacağını söylemez. Bu iki gerçek ayrıldığında, «bunun çekirdekte MPLS'e ihtiyacı var mı» sorusu platformun desteklediği veri düzlemi hakkında daha dar ve yanıtlanabilir bir soruya dönüşür.

Adres ailesi gerçekte neyi müzakere eder

Çok protokollü BGP, AFI 1 ve SAFI 128 altında VPNv4 ağ katmanı erişilebilirlik bilgisini taşır ve her kayıt bir rota ayırt ediciyi bir önekle ve bir etiketle eşler. Oturum, her iki tarafın da bu bilgiyi kodlayabildiğini ve çözebildiğini müzakere eder. Müzakere etmediği şey bir veri düzlemidir. Bu paragraftan sonraki her şey iletimle ilgilidir ve bunların hiçbiri oturumun açılmasıyla belirlenmez.

Yani başarılı bir oturum kontrol düzleminin yeteneğinin kanıtıdır, iletimin değil. Bir yönlendirici binlerce VPNv4 kaydı tutup yine de her müşteri paketini düşürebilir, ve iki arıza sınıfının baştan karıştırılmasının nedeni budur.

NLRI'deki etikete dikkat edin. Bu, VRF içindeki bir öneke bağlı hizmet etiketidir ve paket çıkış uç noktasına ulaştığında iletim rolü vardır. Herhangi bir transit aygıtın onu okuyup okumaması ayrı bir tasarım kararıdır.

Alım, içe aktarma ve iletim üç adımdır

Bir rotayı almak, onu kullanma izni olmak ve onunla iletim yapabilmek aygıtın farklı bölümleri tarafından yapılır. BGP duyduğunu saklar; içe aktarma ilkesi ve rota hedefi eşleşmesi hangi VRF'nin onu dikkate alabileceğine karar verir; ardından iletim düzlemi duyurulan sonraki atlamayı gerçekten kabloya sürebileceği bir şeye çözmelidir.

Step in the chainWhat has to be trueHow it fails quietly
NLRI exchangeBoth speakers negotiate the VPNv4 capabilitySession stays up while the family is never activated
Import eligibilityA route target on the received route matches the VRF import policyThe route exists in the table but never enters the VRF
Next-hop resolutionThe advertised next hop resolves to a usable tunnel or label pathBest path is selected, then marked unreachable or unusable
EncapsulationThe egress endpoint can decapsulate what the ingress producedPackets arrive and are discarded for a format mismatch

En şaşırtıcı arızalar tam bu orta adımda yaşar. Bir rota BGP tablosunda bulunabilir, geçerli ve hatta en iyi olabilir, oysa VRF rota tablosu boş kalır çünkü hiçbir rota hedefi içe aktarma listesiyle eşleşmemiştir. Hiçbir şey protokol hatası kaydetmez, çünkü hiçbir protokol hatası oluşmamıştır.

Son adım, platform desteğinin göründüğü yerdir. Alt katmanda erişilebilir bir sonraki atlama otomatik olarak VPN hizmet taşıması olarak çözülmez ve aygıt belirli bir tünel türü, belirli bir etiket işlemi veya her ikisini birden gerektirebilir. Çözümleme durumunu okumak, rota sayısını okumaktan daha bilgilendiricidir.

Bir IP çekirdeği hiç anahtarlamadığı bir yığını taşıyabilir

Saklamaya değer ayrım «çekirdek MPLS çalıştırmıyor» ile «hizmette hiçbir yerde etiket yok» arasındadır. Bunlar farklı iddialardır ve yalnızca ilki transit aygıtlarla ilgilidir. RFC 4023, MPLS'in IP veya GRE tünelleri üzerinden taşınmasını tanımlar ve ikinci iddiayı tamamen IP bir çekirdekte mümkün kılan mekanizma budur.

customer packet + service label
  encapsulated in GRE, addressed to the egress tunnel endpoint
  forwarded by ordinary IP routers on the outer header
  decapsulated at the endpoint, label still meaningful

Transit yönlendiriciler dış IP hedefine göre iletir ve ne müşteri öneklerine ne de yerel etiket anahtarlamaya ihtiyaç duyar. Uzak uçta dış tünel kaldırılır ve hizmet etiketi işine devam eder. Çekirdek opak bir yük taşıdı, ve IP ağının iyi olduğu şey tam olarak budur.

Bu tasarımın size vermediği şey evrensel bir garantidir. Her yönlendiricinin her VPNv4 sonraki atlamayı herhangi bir GRE arayüzü üzerinden çözdüğünün kanıtı değildir ve çalışan yerel bir MPLS yapılandırmasını silmek için bir neden değildir. Evrensel iddiaya bir karşı örnektir ve pratik soru platforma özgü kalır. Bu soruyu protokol kuralı olarak değil, platform kısıtlaması olarak kaydedin.

Zinciri kutuda kırılana kadar yürüyün

Alınan rotadan başlayın ve başarısız olan ilk adımda durun, çünkü önceki adım kırıkken sonraki adımlar teşhis edilemez. Dört komut tipik bir uygulamada bunun çoğunu kapsar.

show bgp vpnv4 unicast all summary
show bgp vrf CUSTOMER_A ip route 198.51.100.0/24
show ip route vrf CUSTOMER_A 198.51.100.0
show mpls forwarding-table vrf CUSTOMER_A

Onları dört bağımsız kontrol olarak değil, bir dizi olarak okuyun. Birincisi ailenin etkin olduğunu ve eşin rota alışverişi yaptığını doğrular; ikincisi önekin kullanılabilir bir sonraki atlamayla gelip gelmediğini gösterir; üçüncüsü içe aktarma uygunluğunu kanıtlar; dördüncüsü iletim düzleminin ona bir etiket veya tünel bağlayıp bağlamadığını gösterir.

Ardından iş yükü yolunu her iki yönde, kapsüllemeye dayanan bir MTU ile test edin. GRE başlık baytları ekler ve küçük sondaları geçen bir yol tam boyutlu paketlerde yalnızca bir yönde başarısız olabilir, bu da taşıma arızası değil uygulama arızası gibi görünür.

İki operasyonel not döngüyü kapatır. GRE kapsüllemedir, gizlilik değildir, bu yüzden güvenilmeyen bir transit ağı varsayım yerine üstünde desteklenen bir güvenlik düzenlemesine ihtiyaç duyar. Ve tasarım incelemesinden önce platformun gerçekte hangi kapsüllemeyi desteklediğini kaydedin, çünkü o tek yanıt yalnızca IP bir çekirdeğin geçerli bir seçim mi yoksa iletim yapamayan bir plan mı olduğunu belirler.

İlgili makaleler