VPN üzerinden BGP neden alt katman yolunuzu denetlemez

İki site bir IPsec tüneli üzerinden BGP eşlemesi yapar, birbirinin öneklerini öğrenir ve diyagram yol denetimi olarak yeniden adlandırılır. Kafa karışıklığını başlatan tam da bu etikettir. Oturum erişilebilirliği gerçekten değişir ve politikayı gerçekten uygular, ancak şifreli paketleri hangi sağlayıcının, kablonun veya yönlendiricinin taşıdığı konusunda söz hakkı yoktur. Çalışan bir tüneli yeniden inşa eden bir ekip gördüm, çünkü bir BGP rota değişikliğinin trafiği oturumun asla etkileyemeyeceği başka bir fiber yola taşıyacağını bekliyorlardı.

İnsanların bir oturumun ne satın aldığını sanması

Beklentinin çoğu, bir rota değişikliğinin laboratuvarda nasıl göründüğünden gelir. Tünel üzerinden bir önek duyurursunuz, uzak taraf onu kurar ve trafik hareket eder. Aynı sıra gerçekten trafik mühendisliği düğmeleri olan bir yönlendiricide de olur, bu yüzden ikisi karıştırılır. Laboratuvarda iki site genellikle tek bir erişim bağlantısını paylaşır ve farkın orada hiç görünmemesinin nedeni tam budur.

BGP bir erişilebilirlik protokolüdür. Bir eşe bir önek için paket teslim edebileceğinizi söyler ve her tarafın aldığı teklifleri sıralamasına izin verir. Tünel üzerinden bu gerçekten yararlıdır: siteler gelip giderken önekler görünür ve kaybolur ve her kenar cihazına statik rota yazmadan bir aralığı reddedebilirsiniz. Yapmadığı şey, bir sağlayıcının yönlendiricilerini sizin denetiminize vermektir.

Alt katman dış başlığı taşır. Tünel uç noktanız şifreli paketleri bir eş adresine gönderir ve bu iki adres arasındaki ağ, onları operatörlerinin kurduğu rotalarla iletir. BGP oturumundaki hiçbir şey bu kararı değiştirmez, meğer ki aynı sağlayıcı bunu yapan destekli bir hizmet sunsun.

Oturum gerçekte neyi taşır

BGP konuşucusu, eşinin 179 numaralı bağlantı noktasına TCP bağlantısı açar ve RFC 4271 içinde tanımlanan ileti biçimlerini ve yol özniteliklerini kullanır. Eş adresi tünelin içindeyse, oturum başlamadan önce tünel ayakta ve adres erişilebilir olmalıdır. Tamamlanmış bir IKE değişimi BGP komşusu değildir. Rota tabanlı IPsec uygulamaları trafiği yalnızca eşleşen bir tünel rotası olduğunda geçirir, politika tabanlı olan ise korunan seçicide eş adresini gerektirir. Bunu tersine çevirmek, tünelin yeşil ama oturumun boşta durduğu klasik durumu üretir.

Oturum ayaktayken politikayı neyin geçeceğine politika karar verir. Önek listeleri, AS-path filtreleri, en fazla önek üst sınırı ve varsayılan rotalar hakkında açık bir karar asgari düzeydedir ve ikisi de her iki yönde geçerlidir. Aldığı her şeyi kabul eden bir eş, yerel internet erişimini sessizce değiştiren bir varsayılan rota verebilir. İki yön ayrı listelere ihtiyaç duyar, çünkü bir eşten kabul ettiğiniz ile ona duyurduğunuz iki farklı karardır.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Sonra MTU ısırır. Kapsülleme kullanılabilir yükü küçültür, bu yüzden büyük bir güncelleme tamamen kurulmuş görünen bir oturumu durdurabilir: eş ayakta kalır, önekler asla gelmez ve günlüğe belirgin bir şey düşmez. Filtreleri suçlamadan önce tünel arayüzünde TCP MSS'yi sınırlayın veya ek yüke yer bırakan bir tünel MTU'su ayarlayın.

Dış paketler yine nereye gider

Bir siteden diğerine şifreli paketler, yerel yönlendiricinin eşin genel adresi için seçtiği yoldan çıkar. İki site aynı sağlayıcıdan transit satın alıyorsa, aynı metro tesisinden geçiyorsa veya bir taraf operatör düzeyinde NAT arkasındaysa, tünel sağlayıcı arızasından yalnızca tesadüfen kurtulur. İzleme aracında tünel simgeleri saymak size bunun hakkında hiçbir şey söylemez.

Rota seçimi ve yönlendirme kurulumu da ayrı olaylardır. Bir önek BGP tablosunda en iyi olarak oturabilir ve yine de yönlendirme tablosunda eksik olabilir, çünkü sonraki atlama çözülemez veya daha özgül bir rota kazanır. Birisi BGP'nin öneki öğrendiğini ama trafiğin akmadığını bildirdiğinde yararlı soru, kurulu olup olmadığı ve hangi sonraki atlamaya işaret ettiğidir.

Bir tasarım incelemesi için dürüst yanıt, paylaşılan bağımlılıkların listesidir: erişim devresi, üst sağlayıcı, tesis ve dönüş yolundaki her durum tutan cihaz. Tünel üzerinden bir oturum, üzerinde oturmadığı bir bağımlılığı kaldıramaz.

Ayrılması gereken üç karar

Bir tasarım bunları karıştırdığında her arıza konuşması daire çizer. Önce kâğıt üzerinde ayırın, sonra her birini gerçekten uygulayan cihaza eşleyin.

Her satırın farklı bir sahibi vardır. Birincisi müzakere, ikincisi cihazlarınızdaki yapılandırma, üçüncüsü çoğunlukla başkasının ağıdır. Dokunduğu satırı adlandıran bir değişiklik talebini onaylamak, BGP sorunu diyenden çok daha kolaydır.

Planlanmaya değer arıza kipleri

Bir eşin özet rotasını kabul etmek en yaygın kendi kendine açılan yaradır. Birisi değişimi basitleştirmek için kısa bir toplu rota duyurur, uzak taraf onu kabul eder ve tünelin arkasında olmayan aralıkların trafiği tüneli izleyip ölür. Tam beklenen önekler üzerinde filtreleyin veya doğru sınırları olan bir önek listesi kullanın ve oturumu düzenli gösterdiği için asla çıplak bir toplu rotayı kabul etmeyin.

Geri çekme zamanlaması ikincisidir. Algılama, tutma zamanlayıcılarına, etkinleştirdiyseniz BFD'ye, tünelin ölü eş algılamasına ve uzak tarafın duyurmayı ne kadar hızlı bıraktığına bağlıdır. Mevcut oturumlar ayrı bir sorundur: yeni bir rota yeni bağlantıları geri getirebilirken kurulu TCP oturumları eski adresleri kullanmaya devam eder ve yoldaki durum tutan güvenlik duvarları veya NAT artık eşleşmeyen girdiler tutabilir. Rota değişikliğinin her şeyi çözdüğünü varsaymak yerine uygulama kurtarmasını kabul ölçütlerine koyun.

Üçüncüsü dönüş yolu asimetrisi. Trafik tünelden gelebilir ve onu taşımak için hiç tasarlanmamış bir sağlayıcı bağlantısından geri dönebilir; bu tek yönlü ses, başarısız el sıkışmalar veya yanıtları düşüren bir güvenlik duvarı olarak görünür. İki yönü ayrı ayrı denetleyin.

Sözleşmeye ne yazılır ve nasıl doğrulanır

İzin verilen önekleri yazılı olarak isteyin: her aralığı oluşturmaya kimin yetkili olduğu, varsayılan rotaya izin verilip verilmediği ve tünel hizmetinin hangi adres ailelerini desteklediği. RFC 8212, ona uyan uygulamalarda eBGP için açık içe ve dışa aktarma politikasını beklenti hâline getirdi, bu yüzden hâlâ örtük her şeyi kabul etme davranışına yaslanan bir eş sorgulanmaya değer.

Sonra diyagramdan değil cihazdan doğrulayın. FRR tarzı yönlendiricilerde yararlı komutlar:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Rota tablosunun size veremeyeceği iki gözlem ekleyin. Kapsüllenmiş paketlerin gerçekte hangi adresi hedeflediğini doğrulamak için dış arayüzde yakalayın, örneğin tcpdump -ni eth0 udp port 51820 bir WireGuard tüneli için veya IPsec için bir ESP filtresi. Ardından eşin genel adresine doğru izleyin ve atlamaları tünel içindeki bir izle karşılaştırın; ikisi de aynı sağlayıcı zincirini izliyorsa yedekliliğiniz ağda değil rota politikasında yaşıyor.

Son olarak, bilerek bir geri çekme test edin. Bakım penceresinde tüneli indirin, önekin ne kadar süre kurulu kaldığını, mevcut oturumlara ne olduğunu ve uzak tarafın gerçekten kabul edeceğiniz bir rotaya dönüp dönmediğini kaydedin. O alıştırma tasarım hakkında herhangi bir diyagramdan daha çok şey söyler.

Rota bir yetkilendirme değildir. Değişmeyi kabul ettiğiniz önekler, hangi kullanıcıların tünelin arkasındaki hangi hizmete ulaşabileceği hakkında hiçbir şey söylemez, bu yüzden kimlik doğrulamayı, izin verilen hizmetleri ve ana bilgisayar güvenlik duvarlarını tam oldukları yerde tutun. Erişilebilir bir eş de sınırsız transit veya rastgele adres oluşturma izni değildir ve bu tür bir yetki BGP politika satırına değil, ticari bir soru olarak sözleşmeye aittir.

• Her tarafın oluşturabileceği önekleri ve asla kabul etmemesi gerekenleri adlandırın.
• Tünelde MSS'yi sınırlayın ve büyük güncellemelerin gerçekten geldiğini doğrulayın.
• Paylaşılan alt katman bağımlılıklarını listeleyin, tünel sayısını değil.
• Gerçek bir geri çekmeyi ölçün ve uygulamanın ne yaptığını kaydedin.