BGP і MPLS у VPN: яка частина несе пакет

BGP поширює маршрут, а MPLS пересилає пакет. Виконайте ці п'ять перевірок по порядку, щоб побачити, на якому рівні зупинився ваш префікс або пакет VPN.

Питання, чи працює VPN на BGP або на MPLS, змішує два рівні в одне рішення. BGP поширює доступність і політику. MPLS пересилає пакети, використовуючи встановлений стан міток. У VPN BGP/MPLS ці два рівні взаємодіють, і видалення будь-якого з них не залишає сервісу взагалі. Перевірки нижче проводять той самий префікс через обидва рівні, щоб ви точно бачили, де зупинився ваш.

Перевірка 1: чи префікс у правильній VRF

Почніть на вхідному краю провайдера і запитайте, до якої VRF належить префікс клієнта. Перекриття адрес клієнтів у цій схемі нормальне, тому VRF — це контекст, який тримає окремо двох клієнтів, що використовують той самий 10.0.0.0/8.

Якщо префікса там немає, ніщо далі не може бути правильним, а решта перевірок — марна праця.

Перевірка 2: чи був маршрут VPN поширений та імпортований

Провайдер поширює маршрути клієнтів через MP-BGP. Кожен маршрут несе розрізнювач маршруту, який робить інакше однакові префікси унікальними, і цілі маршруту, які визначають, які VRF імпортують маршрут. Маршрут, що надходить, але не імпортується, залишає приймальну VRF порожньою для цього префікса. Перевірте політику імпорту, перш ніж звинувачувати дальній край.

Вибір маршруту також важливий: кращий шлях через інший край провайдера замінює той, який ви очікували побачити.

Перевірка 3: що вхідний край робить із пакетом

Коли пакет надходить, вхідний край виконує пошук IP у VRF і потім додає мітки для вибраного шляху. Стек має дві логічні ролі, навіть коли запис показує іншу кількість міток.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Специфікація VPN BGP/MPLS описує таке розміщення. Зняття мітки на передостанньому кроці може прибрати транспортну мітку до останнього кроку, тому запис із двома мітками, зроблений посередині мережі, не є доказом несправності.

Перевірка 4: чи передає базова мережа ці мітки

Транзитні маршрутизатори комутують за своїми встановленими записами міток. Вони не читають оновлення BGP, щоб вирішити, що станеться з вашим окремим пакетом. Саме тому маршрут клієнта може існувати, поки пересилання все ще не працює: розв'язаний наступний крок або транспортна мітка можуть зламатися незалежно. Вивчення префікса VPN не відновлює базову мережу під ним.

Перевірте прив'язку мітки до вихідного краю, а не лише наявність маршруту.

Перевірка 5: дія на виході та зворотний шлях

На виході мітка сервісу визначає дію пересилання, пакет декапсулюється і рухається до призначення клієнта. Звідти має працювати і зворотний шлях, включно з політикою доступу з боку клієнта на цьому інтерфейсі.

Успіх в одному напрямку — це зазвичай зворотний маршрут або фільтр, а не стек міток.

Прочитайте свій симптом через одну з цих перевірок

Відсутність маршруту в приймальній VRF означає оголошення, політику імпорту або вибір маршруту. Наявність маршруту при збоях пакетів означає розв'язаний наступний крок, пересилання міток або зворотний шлях з боку клієнта. Пакети, що надходять не за призначенням, зазвичай означають, що ви оглядаєте не ту VRF. Ніщо з цього не є причиною змінювати протокол маршрутизації.

Ще одне варто сказати прямо: ця схема розділяє клієнтів і ефективно пересилає їхній трафік. Вона не шифрує, і ставитися до неї як до сервісу конфіденційності — окрема помилка.

Схожі статті