L3VPN topshirish: xususiy marshrutlar, standart marshrut yoki to'liq jadval?

Sizning kanalingiz ishlayapti, VRF sozlangan va provayder dizaynning qolgan qismini belgilaydigan qisqa savol beradi: mijoz chekkasi nima olishi kerak? Uchta javob keng tarqalgan va ularning hech biri yorliqlar to'plami mavjudligidan kelib chiqmaydi. Bular trafik filialdan qayerga chiqishi haqidagi xizmat qarorlari.

Topshirishni tartib bilan ko'rib chiqish buni to'g'ri bajarishning eng arzon yo'li. Siz hech narsaga mos kelmaydigan trafikka nima bo'lishidan boshlaysiz, keyin xususiy prefikslarni va ularning nosozlik holatidagi xatti-harakatini yozasiz, va shundan keyingina qanchalik katta oqimni ko'tarishga tayyor ekaningizni muhokama qilasiz.

Hech kim rejalashtirmagan trafikdan boshlang

Har qanday prefiks ro'yxati paydo bo'lishidan oldin bitta savol bering: paket hech qanday xususiy marshrutga mos kelmasa, u qayerga borishi kerak? O'z internet kanaliga ega filial odatda mahalliy standart marshrutni saqlaydi, shuning uchun oddiy veb-trafik mahalliy xavfsizlik devori orqali chiqadi va provayderga hech qachon tegmaydi. Bu dizaynda VPN faqat uzoqdagi xususiy saytlarni tashiydi, tanlovni esa aniqroq prefikslar amalga oshiradi.

Markaziy chiqishdan foydalanishi kerak bo'lgan filial buning teskarisi. U yerda standart marshrut xizmat ichiga ishora qiladi, provayder yoki markaziy sayt yo'naltirishni, qaytish marshrutini va har qanday tarjimani egallaydi. O'sha egasiz "VPNga standart" deyish nomlarni hal qiladigan, lekin hech qayerga yetib bormaydigan filial beradi.

Ikki dizayn marshrutlash nosozligi qanday ko'rinishida farq qiladi, shuning uchun taxmin qilish qimmat. Mahalliy standart marshrut bilan yo'qolgan xususiy marshrut bu trafikni internetga yuboradi, u yerda xavfsizlik devori uni tashlab yuboradi yoki, undan yomoni, siz nazarda tutmagan narsa javob beradi. Markaziy standart marshrut bilan xuddi shu yo'qotish internetga kirishni butunlay olib tashlaydi va chipta "butun filial ishlamayapti" shaklida keladi. Hech bir nosozlik o'z-o'zidan noto'g'ri emas, lekin siz sotgan xizmatga faqat bittasi mos keladi va faqat BGP konfiguratsiyasi qaysi birini qurganingizni aytmaydi.

Xususiy prefikslarni nosozlik holati bilan birga yozing

Filial yetib borishi kerak bo'lgan prefikslarni sanab o'ting va qaysilari umumlashtirilganini belgilang. Bir bitga o'ta keng agregat noma'lum manzillarni VPN ichiga tortadi va bu faqat uzoq tomon ularga haqiqatan egalik qilsa va ularni yo'naltirsa joiz.

Keyin xususiy xizmat ishlamay qolganda kutilgan xatti-harakatni tavsiflang. Saqlangan tashlash marshruti trafikni ruxsat etilmagan yo'ldan uzoqda ushlab turadi va toza, kutilgan uzilish beradi. Suzib yuruvchi standart marshrut zaxira yo'lga o'tib mavjudlikni saqlab qolishi mumkin, lekin faqat o'sha zaxira yo'lga bu trafikni tashishga ruxsat berilgan bo'lsa.

Mavjudlik va ruxsat etilgan zaxirani topshirish hujjatida ikkita alohida talab sifatida saqlang. Ularni birlashtirgan jamoalar oxir-oqibat kelishilgan siyosat amalga oshirilganini tekshirish o'rniga filial yiqilishi kerakmi deb bahslashadi.

CE aslida nima o'rnatganini tekshiring

Konfiguratsiya niyati va yo'naltirish holati yetarlicha tez-tez ajralib turadi, shuning uchun tekshiruv hodisani ko'rib chiqishga emas, topshirishga tegishli. IOS-XE mijoz chekkasida quyidagi uchta buyruq uch xil savolga javob beradi: nima taklif qilindi, nima qabul qilindi va aslida nima ishlatilmoqda.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Uchtasini ham topshirish kunida ishga tushiring, bir oydan keyin emas, hali kimdir nima kelishilganini eslab turganda. Birinchi chiqish soft-reconfiguration inbound yoki saqlangan route refreshga bog'liq; ikkalasi ham bo'lmasa, CE nimani rad etganini ko'rsata olmaydi. Ikkinchisi siyosatdan keyin qabul qilingan va eng yaxshi marshrutlarni ko'rsatadi. Uchinchisi standart marshrut aslida qayerga ketishini aytadi va bu butun topshirishdagi eng foydali satr.

Agar sayt ikkita ulanishga ega bo'lsa, xuddi shu tekshiruvlarni ikkinchi CEda ham bajaring. Ikki chekka o'rtasidagi assimetrik qabul "bitta serverdan ishlaydi, boshqasidan ishlamaydi" deganining keng tarqalgan sababi va simmetrik ko'rinadigan konfiguratsiya farqida ko'rinmaydi.

Kattaroq oqimni taxmin qilmang, uning asosini aniqlang

Ba'zan mijozga VRF ichida internet marshrutlari haqidagi ma'lumot haqiqatan kerak bo'ladi — siyosiy marshrutlash uchun yoki prefiks bo'yicha boshqaradigan markaziy chiqish uchun. Bu e'lon qilinishi, chegaralanishi va baholanishi kerak bo'lgan talab, yashirin standart marshrut emas. U bilan birga RIB va FIB uchun xotira, yangilanishlar uchun CPU, filtrlarni saqlash va hosil bo'lgan jadvalning egasi keladi.

Sig'im haqidagi dalillar ikki tomonga ham xato qiladi. To'liq jadval VRF ichida taqiqlanmagan va bepul ham emas. Xuddi shunday, bugungi xarajatni eski marshrutlar sonidan chiqarib bo'lmaydi va kichikroq yorliq taqsimoti marshrutlarni saqlash xarajatini yo'qotmaydi.

BGP/MPLS IP VPN spetsifikatsiyasi VPN xizmatining yonida internetga kirishning bir necha sxemasini muhokama qiladi va har bir mijoz uchun to'liq jadval yoki standart marshrutni majburiy deb e'lon qilmaydi, va "standart amaliyot" haqidagi da'vo paydo bo'lganda ko'rsatishga arziydigan bo'lim aynan shu: RFC 4364.

Topshirishni e'lon qilingan to'plamni, olingan to'plamni va tanlangan to'plamni kelishilgan chiqish siyosati yonida qayd etish, hamda bitta xususiy manzil, bitta nazarda tutilgan ommaviy manzil va marshrut yo'qolishining bitta holatini sinab ko'rish bilan yakunlang. O'sha uchta sinovning imzolangan yozuvi ko'pchilik tarmoqlar nima qilishi haqidagi har qanday bayonotdan ko'ra ko'proq bahslarni hal qiladi.