BGP và MPLS trong VPN: phần nào chuyên chở gói tin

Hỏi rằng một VPN chạy trên BGP hay MPLS là trộn hai tầng vào một quyết định. BGP phân phối khả năng tiếp cận và chính sách. MPLS chuyển tiếp gói tin bằng trạng thái nhãn đã cài đặt. Trong một VPN BGP/MPLS, hai tầng phối hợp với nhau, và bỏ bất kỳ tầng nào cũng không còn dịch vụ nào. Các bước kiểm tra dưới đây đưa cùng một tiền tố qua cả hai tầng, để bạn thấy chính xác tiền tố của mình dừng ở đâu.

Kiểm tra 1: tiền tố có nằm trong VRF đúng không

Bắt đầu từ biên vào của nhà cung cấp và hỏi tiền tố của khách hàng thuộc VRF nào. Việc địa chỉ khách hàng chồng lấn là bình thường trong thiết kế này, nên VRF là ngữ cảnh giữ riêng hai khách hàng cùng dùng 10.0.0.0/8.

Nếu tiền tố không có ở đó, mọi thứ sau đó không thể đúng, và các bước kiểm tra còn lại là công sức bỏ đi.

Kiểm tra 2: tuyến VPN đã được phân phối và nhập vào chưa

Nhà cung cấp phân phối tuyến của khách hàng bằng MP-BGP. Mỗi tuyến mang một bộ phân biệt tuyến, thứ làm cho các tiền tố vốn giống nhau trở nên duy nhất, và các đích tuyến, thứ quyết định VRF nào nhập tuyến đó. Một tuyến đến nhưng không được nhập sẽ để VRF nhận trống cho tiền tố đó. Hãy kiểm tra chính sách nhập trước khi đổ lỗi cho đầu xa.

Chọn tuyến cũng quan trọng: một đường ưu tiên qua biên nhà cung cấp khác sẽ thay thế đường bạn mong đợi thấy.

Kiểm tra 3: biên vào làm gì với gói tin

Khi một gói tin đến, biên vào thực hiện tra cứu IP trong VRF rồi gắn nhãn cho đường đã chọn. Ngăn xếp có hai vai trò logic ngay cả khi bản bắt gói cho thấy số nhãn khác.

transport label toward the egress edge
VPN service label for the egress forwarding action
customer IP packet

Đặc tả VPN BGP/MPLS mô tả cách sắp xếp đó. Việc bật nhãn ở bước nhảy áp chót có thể bỏ nhãn vận chuyển trước bước nhảy cuối, nên một bản bắt hai nhãn lấy ở giữa mạng không phải bằng chứng của sự cố.

Kiểm tra 4: mạng nền có chuyển tiếp những nhãn đó không

Các bộ định tuyến trung chuyển chuyển mạch theo các mục nhãn đã cài đặt. Chúng không đọc cập nhật BGP để quyết định điều gì xảy ra với gói tin riêng của bạn. Vì thế một tuyến khách hàng có thể tồn tại trong khi chuyển tiếp vẫn thất bại: bước nhảy kế tiếp đã phân giải hoặc nhãn vận chuyển có thể hỏng độc lập. Học một tiền tố VPN không sửa được mạng nền bên dưới.

Kiểm tra ràng buộc nhãn về phía biên ra, không chỉ sự tồn tại của tuyến.

Kiểm tra 5: hành động ở biên ra và đường trở về

Ở biên ra, nhãn dịch vụ xác định hành động chuyển tiếp, gói tin được bóc gói và đi về đích của khách hàng. Từ đó đường trở về cũng phải hoạt động, gồm chính sách truy cập phía khách hàng trên giao diện đó.

Thành công một chiều thường là tuyến trở về hoặc bộ lọc, không phải ngăn xếp nhãn.

Đọc triệu chứng của bạn vào một trong các bước kiểm tra đó

Không có tuyến trong VRF nhận nghĩa là quảng cáo, chính sách nhập hoặc chọn tuyến. Có tuyến mà gói tin thất bại nghĩa là bước nhảy kế tiếp đã phân giải, việc chuyển tiếp nhãn hoặc đường trở về phía khách hàng. Gói tin đến sai đích thường nghĩa là bạn đang xem sai VRF. Không điều nào trong số này là lý do để đổi giao thức định tuyến.

Một điều nữa đáng nói thẳng: thiết kế này tách riêng các khách hàng và chuyển tiếp lưu lượng của họ hiệu quả. Nó không mã hóa, và coi nó là dịch vụ bảo mật là một sai lầm riêng.