VPN trên đám mây cần BGP: vì sao các giao thức định tuyến khác thất bại

Hiệp hội bảo mật IPsec đang hoạt động, bộ đếm đường hầm vẫn chạy, nhưng lưu lượng đến tiền tố trên đám mây biến mất. Người vận hành sau đó cố bật OSPF trên bộ định tuyến của khách hàng, mong đợi láng giềng hình thành, và không có gì xảy ra. Đường hầm chưa bao giờ là mảnh ghép còn thiếu: một VPN đám mây được quản lý công bố một hợp đồng định tuyến xác định, và trên các nền tảng lớn hợp đồng đó là BGP. Cho đến khi có một phiên và một tiền tố được chấp nhận, đường hầm chỉ là một đường dẫn được mã hóa không có đích phía sau.

Đường hầm hoạt động nhưng thiếu tuyến

Việc hoàn tất pha 1 và pha 2 chứng minh hai bên đồng ý về bảo vệ, không phải rằng bên nào biết gửi lưu lượng đi đâu. Đây là những máy trạng thái riêng với chế độ lỗi riêng.

Hỏi ba câu theo thứ tự: tiền tố có được quảng bá không, láng giềng có chấp nhận nó không, và nó có được cài đặt để chuyển tiếp không? Tiền tố được quảng bá rồi bị lọc là vấn đề chính sách. Tiền tố chưa bao giờ được quảng bá là vấn đề phiên hoặc cấu hình. Tiền tố được chấp nhận nhưng không được cài đặt là vấn đề chọn tuyến, và mỗi câu trả lời chỉ vào một phần khác nhau của cấu hình.

Nhà cung cấp thực sự cung cấp gì

Cổng VPN được quản lý không phải một bộ định tuyến không giới hạn. Nhà cung cấp cung cấp cho bạn một cổng với địa chỉ láng giềng được hỗ trợ, thiết lập hệ thống tự trị, giới hạn tiền tố và hành vi lỗi xác định. Bề mặt đó chính là sản phẩm.

Google Cloud ghi lại định tuyến BGP động cho HA VPN, trong đó Cloud Router học các tuyến của láng giềng và cung cấp các tuyến động tùy chỉnh đủ điều kiện cho VPC. AWS Site-to-Site VPN ghi lại lựa chọn giữa định tuyến tĩnh và động, và mô tả kiểm tra sự sống BGP hữu ích cho chuyển đổi đường hầm đồng thời hỗ trợ kiểm tra sức khỏe cho thiết bị không có BGP. Không nên suy ra hành vi của nền tảng này từ tên sản phẩm của nền tảng kia.

Hệ quả thực tế là bạn chọn chế độ được quản lý trước, sau đó đọc các tham số được hỗ trợ. Một thiết kế giả định kiểu láng giềng mà dịch vụ không cung cấp không phải vấn đề cấu hình để giải quyết trên bộ định tuyến của khách hàng.

Bảo vệ đường hầm và khả năng tiếp cận là hai công việc riêng

IPsec bảo vệ lưu lượng được chọn cho đường hầm. BGP cung cấp thông tin tiếp cận khiến một tiền tố đủ điều kiện. Một đường hầm đang hoạt động không chứng minh tiền tố mong đợi đã được quảng bá, chấp nhận hay cài đặt.

Hãy tưởng tượng một chi nhánh quảng bá 10.42.0.0/16 qua hai đường hầm đủ điều kiện. Bỏ một đường khả dụng và việc chọn tuyến có thể thay đổi mà không ai phải sửa tuyến của từng khối công việc. Phát hiện, chọn tuyến và phục hồi ứng dụng không tức thời và không giống nhau giữa các triển khai, nên bài kiểm tra chuyển đổi phải quan sát toàn bộ chuỗi chứ không chỉ gói đầu tiên đi qua.

Khi một tiền tố trên đám mây không thể tiếp cận, hãy kiểm tra trạng thái phiên và các tuyến đã học trước khi chạm vào mật mã. Một SA đang hoạt động mà không có tuyến phía sau là dạng phổ biến nhất của triệu chứng này.

Nơi các giả định về OSPF sụp đổ

OSPF, IS-IS hoặc giao thức khác bên trong đường hầm IPsec hoàn toàn khả thi trên một thiết bị tự quản lý, nơi bạn sở hữu cả hai đầu và thiết kế chuyển tiếp. Sự thật đó không nói gì về một dịch vụ được quản lý chỉ cung cấp BGP làm chế độ định tuyến động.

Nếu thiết kế đề xuất cần một quan hệ láng giềng mà dịch vụ không hỗ trợ, hãy thay đổi kiến trúc một cách có chủ đích. Các lựa chọn bao gồm một thiết bị tự quản lý trong VPC, định tuyến tĩnh ở nơi dịch vụ hỗ trợ, hoặc một sản phẩm kết nối khác. Cấu hình giao thức chỉ trên bộ định tuyến của khách hàng không thể thêm một láng giềng phía đám mây không tồn tại, và sẽ không làm tiền tố xuất hiện.

Đừng chuyển câu trả lời của nhà cung cấp này sang cổng của nhà cung cấp khác. Cùng những từ, như định tuyến động hay chuyển đổi đường hầm, có thể mô tả cơ chế và giới hạn khác nhau.

Đọc yêu cầu dịch vụ, rồi thiết kế

Trước dòng cấu hình đầu tiên, hãy ghi địa chỉ láng giềng, số hệ thống tự trị, các tiền tố bạn sẽ quảng bá và chấp nhận, giới hạn tuyến, và hành vi mong đợi khi một đường hầm hỏng. Năm mục đó là hợp đồng bạn thiết kế dựa trên.

Sau đó xác minh theo cùng thứ tự: phiên được thiết lập, tiền tố được nhận, tuyến có trong bảng tuyến của VPC, và luồng thật đến một địa chỉ dịch vụ. Lặp lại sau một lần chuyển đổi cưỡng bức, vì một phiên được thiết lập lại có thể trở lại với một bộ tuyến khác. Nếu thiết kế phụ thuộc vào hội tụ dưới một giây, hãy đo nó thay vì giả định.

Giữ hợp đồng dịch vụ cùng với bản ghi thay đổi. Khi ai đó hỏi sau này tại sao đường hầm không thể chạy OSPF, câu trả lời là ranh giới sản phẩm, không phải giới hạn giao thức, và bản ghi nên nói như vậy.