Bàn giao L3VPN: tuyến riêng, tuyến mặc định hay bảng đầy đủ?

Đường truyền của bạn đã lên, VRF đã được cấu hình, và nhà cung cấp hỏi một câu ngắn quyết định phần còn lại của thiết kế: customer edge nên nhận gì? Ba câu trả lời là phổ biến và không câu nào xuất phát từ việc có một chồng nhãn. Đó là các quyết định dịch vụ về nơi lưu lượng rời khỏi chi nhánh.

Đi qua bàn giao theo thứ tự là cách rẻ nhất để làm đúng việc này. Bạn bắt đầu từ điều gì xảy ra với lưu lượng không khớp với gì, sau đó ghi lại các tiền tố riêng và hành vi khi sự cố, và chỉ sau đó mới nói về luồng dữ liệu lớn đến mức nào mà bạn sẵn sàng mang.

Bắt đầu từ lưu lượng không ai lường trước

Hãy hỏi một câu trước khi bất kỳ danh sách tiền tố nào xuất hiện: khi một gói không khớp với tuyến riêng nào, nó nên đi đâu? Một chi nhánh có đường internet riêng thường giữ tuyến mặc định cục bộ, nên lưu lượng web thông thường đi ra qua tường lửa cục bộ và không bao giờ chạm vào nhà cung cấp. Trong thiết kế đó VPN chỉ mang các site riêng ở xa, và các tiền tố cụ thể hơn thực hiện việc chọn.

Chi nhánh được thiết kế để dùng lối ra trung tâm là trường hợp ngược lại. Ở đó tuyến mặc định trỏ vào trong dịch vụ, và nhà cung cấp hoặc site trung tâm sở hữu việc chuyển tiếp, định tuyến quay về và mọi bản dịch. Nói "mặc định vào VPN" mà không có chủ sở hữu đó sẽ tạo ra một chi nhánh phân giải được tên nhưng không đến được đâu.

Hai thiết kế khác nhau ở hình dạng của sự cố định tuyến, và đó là lý do đoán mò tốn kém. Với tuyến mặc định cục bộ, một tuyến riêng bị mất sẽ đẩy lưu lượng đó ra internet, nơi tường lửa vứt nó đi hoặc, tệ hơn, một thứ bạn không định trước trả lời. Với tuyến mặc định trung tâm, cùng sự mất đó loại bỏ hoàn toàn truy cập internet và phiếu sự cố đến dưới dạng "cả chi nhánh đang chết". Không sự cố nào tự nó sai, nhưng chỉ một cái khớp với dịch vụ bạn đã bán, và chỉ cấu hình BGP sẽ không cho bạn biết bạn đã xây cái nào.

Ghi lại các tiền tố riêng cùng trường hợp sự cố

Liệt kê các tiền tố mà chi nhánh phải đến được và ghi chú tiền tố nào được tổng hợp. Một tổng hợp rộng hơn một bit sẽ kéo các đích không xác định vào VPN, và điều đó chỉ ổn nếu phía xa thực sự sở hữu và chuyển tiếp chúng.

Sau đó mô tả hành vi dự kiến khi dịch vụ riêng gặp sự cố. Một tuyến loại bỏ được giữ lại sẽ giữ lưu lượng ra khỏi đường không được phép và tạo ra một lần gián đoạn sạch, đúng như dự kiến. Một tuyến mặc định nổi có thể duy trì tính sẵn sàng bằng cách chuyển sang đường dự phòng, nhưng chỉ khi đường dự phòng đó được phép mang lưu lượng ấy.

Giữ tính sẵn sàng và phương án dự phòng được phép là hai yêu cầu riêng trong tài liệu bàn giao. Các nhóm gộp chúng lại cuối cùng tranh luận liệu chi nhánh có nên sập hay không, thay vì kiểm tra xem chính sách đã thống nhất có được thực hiện không.

Kiểm tra xem CE thực sự đã cài gì

Ý định cấu hình và trạng thái chuyển tiếp lệch nhau đủ thường xuyên để việc xác minh thuộc về bàn giao, không phải buổi xem xét sự cố. Trên một customer edge IOS-XE, ba lệnh dưới đây trả lời ba câu hỏi khác nhau: cái gì đã được đề nghị, cái gì đã được chấp nhận và cái gì thực sự đang được dùng.

show ip bgp vpnv4 vrf BRANCH neighbors 192.0.2.1 received-routes
show ip bgp vpnv4 vrf BRANCH
show ip route vrf BRANCH 0.0.0.0

Chạy cả ba vào ngày bàn giao chứ không phải một tháng sau, khi vẫn còn ai nhớ đã thống nhất điều gì. Đầu ra thứ nhất phụ thuộc vào soft-reconfiguration inbound hoặc một route refresh đã lưu; không có cái nào trong hai thì CE không thể cho bạn thấy nó đã từ chối gì. Đầu ra thứ hai cho thấy các tuyến được chấp nhận và tốt nhất sau chính sách. Đầu ra thứ ba cho biết tuyến mặc định thực sự đi đâu, và đó là dòng hữu ích nhất trong toàn bộ bàn giao.

Chạy các kiểm tra tương tự trên CE thứ hai nếu site có hai đường kết nối. Việc chấp nhận không đối xứng giữa hai biên là nguyên nhân phổ biến của "chạy được từ một máy chủ và không chạy từ máy kia", và nó vô hình trong một diff cấu hình trông có vẻ đối xứng.

Đánh giá một luồng lớn hơn thay vì mặc định nó

Đôi khi khách hàng thực sự cần thông tin tuyến internet bên trong VRF, cho định tuyến chính sách hoặc cho một lối ra trung tâm điều hướng theo tiền tố. Đó là một yêu cầu phải được nêu ra, giới hạn phạm vi và định giá, không phải một tuyến mặc định ẩn. Nó đi kèm bộ nhớ cho RIB và FIB, CPU cho cập nhật, bảo trì bộ lọc và một chủ sở hữu cho bảng sinh ra.

Các lập luận về dung lượng sai theo cả hai hướng. Một bảng đầy đủ không bị cấm bên trong VRF, và nó cũng không miễn phí. Tương tự, bạn không thể suy ra chi phí hôm nay từ số tuyến cũ, và việc phân bổ nhãn nhỏ hơn không xóa bỏ chi phí lưu trữ tuyến.

Đặc tả BGP/MPLS IP VPN thảo luận một số cách bố trí truy cập internet bên cạnh chính dịch vụ VPN và không tuyên bố bảng đầy đủ hay tuyến mặc định là bắt buộc cho mọi khách hàng, và đó là phần đáng chỉ ra khi xuất hiện một khẳng định về "thực tiễn tiêu chuẩn": RFC 4364.

Kết thúc bàn giao bằng việc ghi lại tập được quảng bá, tập nhận được và tập được chọn bên cạnh chính sách lối ra đã thống nhất, và bằng việc kiểm thử một đích riêng, một đích công cộng dự kiến và một trường hợp mất tuyến. Một biên bản có chữ ký của ba bài kiểm thử đó giải quyết nhiều tranh cãi hơn bất kỳ tuyên bố nào về việc hầu hết các mạng làm gì.