Bulut VPN uchun BGP kerak: nega boshqa marshrutlash protokollari ishlamaydi

IPsec xavfsizlik assotsiatsiyasi ishlayapti, tunnel hisoblagichlari harakatlanmoqda, bulut prefiksiga trafik esa yo'qoladi. Keyin operator mijoz routerida OSPFni yoqishga urinadi, qo'shni shakllanadi deb kutadi, ammo hech narsa bo'lmaydi. Tunnel hech qachon yetishmayotgan qism bo'lmagan: boshqariladigan bulut VPN aniq marshrutlash shartnomasini taqdim etadi va yirik platformalarda bu shartnoma BGPdir. Sessiya paydo bo'lib, prefiks qabul qilinmaguncha, tunnel orqasida manzillar yo'q shifrlangan yo'l xolos.

Tunnel ishlayapti, marshrut esa yo'q

1-va 2-fazalarning tugashi tomonlar himoya bo'yicha kelishganini isbotlaydi, biroq trafikni qayerga yuborishni bilishini emas. Bular alohida nosozlik rejimlariga ega alohida holat mashinalari.

Navbat bilan uchta savol bering: prefiks e'lon qilindimi, qo'shni uni qabul qildimi va u uzatish uchun o'rnatildimi? E'lon qilinib filtrlangan prefiks siyosat muammosi. Hech qachon e'lon qilinmagan prefiks sessiya yoki konfiguratsiya muammosi. Qabul qilinib o'rnatilmagan prefiks marshrut tanlash muammosi, va har bir javob konfiguratsiyaning boshqa qismiga ishora qiladi.

Provayder aslida nima beradi

Boshqariladigan VPN shlyuzi cheklanmagan router emas. Provayder sizga qo'llab-quvvatlanadigan qo'shni manzillari, avtonom tizim sozlamasi, prefiks cheklovlari va aniqlangan nosozlik xatti-harakati bo'lgan shlyuz beradi. Ana shu sirt mahsulotdir.

Google Cloud HA VPN uchun dinamik BGP marshrutlashni hujjatlashtiradi, bunda Cloud Router qo'shni marshrutlarini o'rganadi va VPCga mos moslashtirilgan dinamik marshrutlarni yetkazib beradi. AWS Site-to-Site VPN statik va dinamik marshrutlash o'rtasidagi tanlovni hujjatlashtiradi va BGP hayotiylik tekshiruvlarini tunnel almashtirish uchun foydali deb ta'riflaydi, shu bilan birga BGP bo'lmagan qurilmalar uchun sog'liq tekshiruvlarini ham qo'llab-quvvatlaydi. Hech bir platformaning xatti-harakatini boshqasining mahsulot nomidan xulosa qilmaslik kerak.

Amaliy natija shuki, siz avval boshqariladigan rejimni tanlaysiz, keyin qo'llab-quvvatlanadigan parametrlarni o'qiysiz. Xizmat taklif qilmaydigan qo'shnilik turini nazarda tutgan loyiha mijoz routerida hal qilinadigan konfiguratsiya muammosi emas.

Tunnel himoyasi va yetib borish alohida ishlar

IPsec tunnel uchun tanlangan trafikni himoya qiladi. BGP prefiksni mos qiladigan yetib borish ma'lumotini beradi. Ishlayotgan tunnel kutilgan prefiks e'lon qilingan, qabul qilingan yoki o'rnatilganini isbotlamaydi.

Ikki mos tunnel yo'li orqali 10.42.0.0/16 e'lon qiladigan filialni tasavvur qiling. Bitta yaroqli yo'lni olib tashlang, va hech kim har bir ish yuklamasining marshrutini tahrirlamasdan marshrut tanlovi o'zgarishi mumkin. Aniqlash, marshrut tanlash va ilovani tiklash bir zumda emas va joylashtirishlar bo'yicha bir xil emas, shuning uchun almashtirish sinovi birinchi o'tgan paketni emas, butun ketma-ketlikni kuzatishi kerak.

Bulut prefiksi yetib bo'lmaydigan bo'lsa, kriptografiyaga tegishdan oldin sessiya holati va o'rganilgan marshrutlarni tekshiring. Orqasida marshrut bo'lmagan ishlayotgan SA bu simptomning eng keng tarqalgan shaklidir.

OSPF taxminlari qayerda buziladi

IPsec tunnel ichida OSPF, IS-IS yoki boshqa protokolni ishga tushirish o'zingiz boshqaradigan qurilmada to'liq mumkin, u yerda ikkala uchi ham, uzatish loyihasi ham sizniki. Bu fakt dinamik marshrutlash rejimi sifatida faqat BGP taklif qiladigan boshqariladigan xizmat haqida hech narsa demaydi.

Agar taklif qilingan loyiha xizmat qo'llab-quvvatlamaydigan qo'shnilikni talab qilsa, arxitekturani ataylab o'zgartiring. Variantlarga VPCdagi o'zingiz boshqaradigan qurilma, xizmat qo'llab-quvvatlaydigan joyda statik marshrutlash yoki boshqa ulanish mahsuloti kiradi. Protokolni faqat mijoz routerida sozlash bulut tomonida mavjud bo'lmagan qo'shnini qo'sha olmaydi va prefiksning paydo bo'lishiga olib kelmaydi.

Bitta sotuvchining javobini boshqasining shlyuziga ko'chirmang. Bir xil so'zlar, masalan dinamik marshrutlash yoki tunnel almashtirish, turli mexanizmlar va turli chegaralarni tasvirlashi mumkin.

Xizmat talabini o'qing, keyin loyihalang

Birinchi konfiguratsiya satridan oldin qo'shni manzillari, avtonom tizim raqamlari, e'lon qiladigan va qabul qiladigan prefikslaringiz, marshrut cheklovlari va tunnel ishlamay qolganda kutilgan xatti-harakatni yozib qo'ying. Ana shu besh band siz loyihalayotgan shartnomadir.

Keyin xuddi shu tartibda tekshiring: sessiya o'rnatildi, prefiks olindi, marshrut VPC marshrut jadvalida bor va xizmat manziliga haqiqiy oqim mavjud. Majburiy almashtirishdan keyin takrorlang, chunki qayta o'rnatiladigan sessiya boshqa marshrutlar to'plami bilan qaytishi mumkin. Agar loyiha soniyadan kam konvergentsiyaga bog'liq bo'lsa, taxmin qilish o'rniga o'lchang.

Xizmat shartnomasini o'zgarish yozuvi bilan birga saqlang. Keyinchalik kimdir tunnel nega OSPF ishlata olmaydi deb so'rasa, javob protokol cheklovi emas, mahsulot chegarasidir va yozuv shuni aytishi kerak.