MPLS filial marshrutlash: CE nima va kimdan o'rganadi

Bir filialdagi xost boshqa filialdagi serverga ulanish ochadi va ikkala sayt ham bitta boshqariladigan MPLS 3-qatlam VPN ortida turadi. Xost faqat o'zining standart shlyuzini biladi, boshqa hech narsani bilmaydi, bu to'g'ri. Muhimi shundaki, mahalliy mijoz cheti paketni o'z provayder chetiga topshiradi, provayderning VPN marshrutlash holati esa uni manzil prefiksiga ega filialga yetkazadi.

Bitta paketni butun yo'l bo'ylab kuzatish qaysi qism mijoz javobgarligi va qaysi qism xizmatga tegishli ekanini ko'rishning eng tez usuli.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Har bir hop ishi qayerda tugaydi

CE-A uzoq LANga yo'l kerak, u o'zining mahalliy provayder ulanishiga ishora qilishi kerak, uzoq filialning WAN manziliga emas. Keyin provayder VPN marshrutlash holatidan foydalanib paketni o'z yadrosi orqali olib o'tadi, CE-B esa uni manzil LANga yetkazadi. Hech bir paytda xost yorliqlarni, VRF yoki qarshi tomonning internet liniyasini tushunishi shart emas.

Tiketlarda qayta-qayta uchraydigan xato A filialida B filialining WAN manzilini keyingi hop sifatida sozlashdir. Ikkala filial ham bir xil xizmatni sotib olgan, shuning uchun ular qo'shni bo'lishi kerakdek tuyuladi. Aslida unday emas: keyingi hop sizda haqiqatan mavjud bo'lgan marshrutlash dizayni orqali yetib boriladigan bo'lishi kerak, uzoqdagi CE esa odatda siz boshqarmaydigan uskunalar ortida ko'p hop uzoqda bo'ladi. Shu taxminga qurilgan statik marshrut faol ko'rinadi va hech narsaga hal bo'lmaydi, bu esa yo'q marshrutdan ham yomonroq, chunki jadvalda u to'g'ri ko'rinadi.

RFC 4364 mijoz va provayder chetlari o'rtasidagi almashinuvni provayderning VPN marshrutlarini tarqatishidan ajratadi va bu aynan shu qo'llanma haqida bo'lgan chegara. Mijozning vazifasi o'z chetiga nimalarni yetkaza olishini aytish va xizmat taklif qiladigan yetib borish imkoniyatini qabul qilishdir.

Topshirish nimada kelishib olishi kerak

Mexanizmni provayder bilan birga tanlang, uning atrofida emas. Statik marshrutlar, BGP yoki CE va PE o'rtasidagi marshrutlash protokoli kelishuvi barchasi qonuniy, OSPF esa bunday topshirish uchun belgilangan MPLS VPN modeliga ega. Ularning hech biri ikki uzoq mijoz cheti o'rtasida aniqlanmagan provayder yadrosi orqali OSPF qo'shnichilik qurish uchun asos emas, chunki bu provayder rozi bo'lmagan va qo'llab-quvvatlay olmaydigan dizayn.

Yangi LAN ishga tushishidan oldin to'rt narsani yozib qo'ying: prefiks, CE dagi mahalliy keyingi marshrut, provayder qabul qiladigan e'lon va provayder qaytaradigan marshrutlar. Shartnoma talab qiladigan har qanday filtrlash, prefiks chegarasi yoki saytlar orasidagi cheklovni qo'shing. Sog'lom qo'shnichilik axborot almashish kanali bo'lib, u muayyan prefiks qabul qilinganiga dalil emas; sessiya ishlab turganda ham yangi quyi tarmog'ingiz filtrda turishi mumkin.

Keyin javobni kuzatib boring. B filialiga manba LANga qaytish marshruti kerak, qabul qiluvchi tomondagi xostga esa o'z shlyuzi va o'z xizmat ruxsatlari kerak. CE-A da paydo bo'lgan marshrut sayohatning yarmini o'rnatadi va aynan shu yarim sayohat ping sinovining bir yo'nalishi sog'lom ko'rinib, ilova esa hanuz ishlamasligining sababi.

Qabuldan oldin ikkala topshirishni tekshiring

Ikkala mijoz chetida marshrutlash holatini to'plang, mo'ljallangan LAN prefikslari VPNga qabul qilinganini provayder bilan tasdiqlang, so'ngra har bir yo'nalishda bitta ruxsat etilgan ilovani sinab ko'ring. Faqat marshrut jadvallari ilova ishlashini isbotlamaydi, faqat ilova sinovi esa ishlamaganda qaysi boshqaruv tekisligi ishdan chiqqanini aytmaydi.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Uchta chiqishni birga o'qing. Birinchisi chet nimaga ishonishini, ikkinchisi nima va qaysi hamkordan o'rganganini, uchinchisi esa aslida nimani uzatishini aytadi. Ularning orasidagi nomuvofiqlik odatda yo'qolgan e'lon emas, siyosat yoki rekursiya muammosi bo'ladi va provayderdan tekshiruv so'rashdan oldin uni hal qilish arziydi. Ushbu uchta chiqishni operator bilan suhbatga olib boring, chunki ular qo'llab-quvvatlash muhandisi so'raydigan savollarning ko'piga javob beradi.

Xizmat nima bermasligini biling

Bu 3-qatlamning marshrutlangan kirishidir. Bu ofislar orasida eshittirishni kengaytiruvchi 2-qatlam liniyasi emas, shuning uchun kashfiyot protokollari, eshittirishga bog'liq ilovalar va bo'lishilgan segment taxminlari u bilan birga yurmaydi. Chop etish, nomlarni ko'rish va mahalliy segmentga bog'liq hamma narsa o'z dizayniga muhtoj.

VPN ajratish ham shifrlash emas. Yorliq kommutatsiyasi mijozlarni provayder tarmog'i ichida alohida ushlab turadi va shartnoma maxfiylikni talab qilsa, yukni maxfiy qilmaydi. Bu muhim bo'lgan joyda uni ilova yoki ustki qatlam ta'minlashi kerak.

Nihoyat, xizmat modelini saytning marshrutlash konfiguratsiyasi yonida yozib saqlang. Quyi tarmoq qo'shadigan keyingi muhandis qaysi prefikslar e'lon qilinishini, ularni kim qabul qilishini va kutilayotgan qaytish yo'li nimaligini o'qiy olishi kerak: BGP/MPLS IP VPN spetsifikatsiyasi bularning barchasi ortidagi model uchun havoladir.