Định tuyến chi nhánh MPLS: CE học được gì, và từ ai

Một máy chủ trong một chi nhánh mở kết nối tới máy chủ ở chi nhánh khác, và cả hai site nằm sau cùng một VPN MPLS lớp 3 được quản lý. Máy chủ chỉ biết cổng mặc định của chính nó và không biết gì khác, điều này đúng. Điều quan trọng là biên khách hàng cục bộ bàn giao gói cho biên nhà cung cấp của nó, và trạng thái định tuyến VPN của nhà cung cấp đưa gói tới chi nhánh sở hữu tiền tố đích.

Theo dõi một gói dọc theo đường đi là cách nhanh nhất để thấy phần nào thuộc trách nhiệm khách hàng và phần nào thuộc về dịch vụ.

10.20.0.0/24 → CE-A → PE → provider core → PE → CE-B → 10.30.0.0/24

Công việc của mỗi chặng kết thúc ở đâu

CE-A cần một tuyến tới LAN xa trỏ về kết nối nhà cung cấp cục bộ của nó, không trỏ tới địa chỉ WAN của chi nhánh xa. Sau đó nhà cung cấp mang gói qua lõi của mình bằng trạng thái định tuyến VPN, và CE-B bàn giao gói vào LAN đích. Không ở thời điểm nào máy chủ cần hiểu nhãn, VRF hay đường truyền internet của phía bên kia.

Lỗi lặp đi lặp lại trong phiếu sự cố là cấu hình địa chỉ WAN của chi nhánh B làm chặng kế tiếp tại chi nhánh A. Hai chi nhánh mua cùng một dịch vụ, nên cảm giác như chúng phải là hàng xóm. Nhưng không phải: chặng kế tiếp phải tiếp cận được qua thiết kế định tuyến mà bạn thực sự có, và CE xa thường cách nhiều chặng phía sau thiết bị bạn không quản trị. Một tuyến tĩnh dựng trên giả định đó hiện là hoạt động và không phân giải tới đâu cả, tệ hơn một tuyến thiếu vì trong bảng nó trông đúng.

RFC 4364 tách việc trao đổi giữa biên khách hàng và biên nhà cung cấp khỏi việc nhà cung cấp phân phối tuyến VPN, và đó chính là ranh giới mà hướng dẫn này nói tới. Việc của khách hàng là nói cho biên của mình biết nó có thể bàn giao gì và chấp nhận khả năng tiếp cận mà dịch vụ đưa lại.

Việc bàn giao phải thống nhất điều gì

Chọn cơ chế cùng với nhà cung cấp, không phải vòng quanh họ. Tuyến tĩnh, BGP hoặc một thỏa thuận giao thức định tuyến giữa CE và PE đều hợp lệ, và OSPF có một mô hình MPLS VPN được định nghĩa cho việc bàn giao đó. Không điều nào trong số đó là lý do để dựng quan hệ lân cận OSPF giữa hai biên khách hàng xa qua một lõi nhà cung cấp không được chỉ định, vì đó là thiết kế mà nhà cung cấp không đồng ý và không thể hỗ trợ.

Trước khi LAN mới đi vào hoạt động, hãy ghi bốn thứ: tiền tố, tuyến kế tiếp cục bộ trên CE, thông báo mà nhà cung cấp sẽ chấp nhận, và các tuyến mà nhà cung cấp sẽ trả về. Thêm mọi việc lọc, giới hạn tiền tố hoặc hạn chế giữa các site mà hợp đồng áp đặt. Quan hệ lân cận khỏe mạnh là một kênh trao đổi thông tin, và nó không phải bằng chứng rằng một tiền tố cụ thể đã được chấp nhận; phiên có thể đang hoạt động trong khi subnet mới của bạn nằm trong bộ lọc.

Sau đó theo dõi phản hồi. Chi nhánh B cần tuyến quay lại LAN nguồn, và máy chủ phía nhận cần cổng riêng và quyền dịch vụ riêng. Một tuyến xuất hiện trên CE-A chỉ thiết lập nửa vòng đi-về, và nửa vòng đó là lý do một chiều của bài kiểm tra ping trông khỏe trong khi ứng dụng vẫn lỗi.

Xác minh cả hai lần bàn giao trước khi nghiệm thu

Thu thập trạng thái định tuyến ở cả hai biên khách hàng, xác nhận với nhà cung cấp rằng các tiền tố LAN dự kiến đã được chấp nhận vào VPN, rồi thử một ứng dụng được phép ở mỗi chiều. Bảng tuyến một mình không chứng minh ứng dụng chạy được, và thử nghiệm ứng dụng một mình không cho biết mặt phẳng điều khiển nào đã hỏng khi nó không chạy.

show ip route vrf BRANCH 10.30.0.0
show ip bgp vpnv4 vrf BRANCH
show ip cef vrf BRANCH 10.30.0.10

Đọc ba kết quả cùng nhau. Kết quả thứ nhất nói biên tin điều gì, thứ hai nói nó học được gì và từ peer nào, thứ ba nói nó thực sự sẽ chuyển tiếp gì. Sự khác biệt giữa chúng thường là vấn đề chính sách hoặc đệ quy chứ không phải thông báo thiếu, và đáng để giải quyết trước khi yêu cầu nhà cung cấp điều tra. Mang ba kết quả đó vào cuộc trao đổi với nhà mạng, vì chúng trả lời phần lớn câu hỏi mà kỹ sư hỗ trợ sẽ hỏi bạn.

Biết dịch vụ không cung cấp gì

Đây là truy cập được định tuyến ở lớp 3. Đây không phải một tuyến lớp 2 mở rộng quảng bá giữa các văn phòng, nên giao thức khám phá, ứng dụng phụ thuộc quảng bá và giả định về phân đoạn chia sẻ không đi kèm. In ấn, duyệt tên và bất cứ thứ gì phụ thuộc phân đoạn cục bộ đều cần thiết kế riêng.

Việc tách VPN cũng không phải mã hóa. Chuyển mạch nhãn giữ các khách hàng tách nhau bên trong mạng của nhà cung cấp, và nó không làm tải trọng thành bảo mật nếu hợp đồng yêu cầu bảo mật. Ở nơi điều đó quan trọng, ứng dụng hoặc một lớp phủ phải cung cấp.

Cuối cùng, giữ mô hình dịch vụ được viết cạnh cấu hình định tuyến của site. Kỹ sư tiếp theo thêm subnet sẽ đọc được tiền tố nào được thông báo, ai chấp nhận chúng và đường về kỳ vọng là gì: đặc tả BGP/MPLS IP VPN là tài liệu tham chiếu cho mô hình đứng sau tất cả những điều này.