Ìdí tí BGP lórí VPN kò fi ṣàkóso ọ̀nà ìsàlẹ̀ rẹ

Àwọn ibi méjì ń so BGP pọ̀ nípasẹ̀ ipa ọ̀nà IPsec, wọ́n ń kọ́ àwọn àkọ́kọ́ ọ̀rọ̀ ti ara wọn, a sì tún orúkọ àwòrán náà sí ìṣàkóso ọ̀nà. Àmì yẹn gan-an ni ìbẹ̀rẹ̀ ìdàrúdàpọ̀. Ìpàdé ń pàṣípààrọ̀ àǹfààní àti ń lo ìlànà gan-an, ṣùgbọ́n kò ní ohun tí yóò sọ nípa ẹni tí ó ń gbé àwọn pákítì tí a fi ààlà sí. Mo ti rí ẹgbẹ́ kan tí wọ́n ń tún ipa ọ̀nà tí ń ṣiṣẹ́ kọ́ nítorí wọ́n retí pé ìyípadà ọ̀nà BGP yóò gbé ìtàjáde lọ sí ọ̀nà fọ́tọ̀ mìíràn tí ìpàdé kò lè ní ipa lórí rẹ̀ rárá.

Ohun tí àwọn ènìyàn ro pé ìpàdé ń ra

Ọ̀pọ̀ ìfojúsọ́nà wá láti inú bí ìyípadà ọ̀nà ṣe rí nínú yàrá ìdánwò. O ń kéde àkọ́kọ́ ọ̀rọ̀ nípasẹ̀ ipa ọ̀nà, ẹgbẹ́ tí ó jìnnà ń fi í sórí ẹ̀rọ, ìtàjáde sì ń lọ. Ọ̀nà kan náà ń ṣẹlẹ̀ lórí olùdarí tí ó ní àwọn ìdáná ìmọ̀-ẹ̀rọ ìtàjáde gan-an, nítorí náà a ń dà wọ́n pọ̀. Nínú yàrá ìdánwò àwọn ibi méjì sábà ń pín ọ̀nà àbáwọlé kan, ìdí nìyẹn tí ìyàtọ̀ kò fi hàn níbẹ̀ rárá.

BGP jẹ́ ìlànà àǹfààní. Ó ń sọ fún ẹlẹgbẹ́ pé o lè fi àwọn pákítì ránṣẹ́ fún àkọ́kọ́ ọ̀rọ̀, ó sì ń jẹ́ kí ẹgbẹ́ kọ̀ọ̀kan tò àwọn ìdámọ̀ràn tí ó gbà lẹ́sẹẹsẹ. Èyí wúlò gan-an nípasẹ̀ ipa ọ̀nà: àwọn àkọ́kọ́ ọ̀rọ̀ ń farahàn tí wọ́n sì ń pòórá bí àwọn ibi ti ń bọ̀ tí wọ́n ń lọ, o sì lè kọ̀ ìwọ̀n kan láìkọ ọ̀nà dúró lórí ẹ̀rọ etí kọ̀ọ̀kan. Ohun tí kò ṣe ni fífi àwọn olùdarí olùpèsè sí abẹ́ ìṣàkóso rẹ.

Ìsàlẹ̀ ń gbé àkọsílẹ̀ ìta. Ojú ipa ọ̀nà rẹ ń fi àwọn pákítì tí a fi ààlà sí ránṣẹ́ sí àdírẹ́sì ẹlẹgbẹ́, nẹ́tíwọ́kì tí ó wà láàrin àwọn àdírẹ́sì méjì yẹn sì ń gbé wọn kọjá pẹ̀lú àwọn ọ̀nà tí àwọn olùṣiṣẹ́ rẹ̀ fi sórí ẹ̀rọ. Kò sí ohun kan nínú ìpàdé BGP tí ó yí ìpinnu yẹn padà, àyàfi tí olùpèsè kan náà bá pèsè iṣẹ́ tí a ṣètìlẹ́yìn tí ó ń ṣe bẹ́ẹ̀.

Ohun tí ìpàdé ń gbé gan-an

Olùsọrọ BGP ń ṣí ìsopọ̀ TCP sí ebute 179 ti ẹlẹgbẹ́ rẹ̀, ó ń lo àwọn ọ̀nà ìfiránṣẹ́ àti àwọn ànímọ́ ọ̀nà tí a ṣàlàyé nínú RFC 4271. Nígbà tí àdírẹ́sì ẹlẹgbẹ́ bá wà nínú ipa ọ̀nà, ipa ọ̀nà gbọ́dọ̀ wà lókè, àdírẹ́sì náà sì gbọ́dọ̀ dé ọ̀dọ̀ rẹ̀ kí ìpàdé tó bẹ̀rẹ̀. Pàṣípààrọ̀ IKE tí ó parí kì í ṣe aládùúgbò BGP. Àwọn ìmúṣẹ IPsec tí ó dá lórí ọ̀nà ń jẹ́ kí ìtàjáde kọjá nígbà tí ọ̀nà ipa ọ̀nà bá wà, èyí tí ó dá lórí ìlànà sì nílò àdírẹ́sì ẹlẹgbẹ́ nínú olùyàn tí a dáàbò bo. Yíyí èyí padà ń mú ipò àtijọ́ wá níbi tí ipa ọ̀nà ti jẹ́ àwọ̀ ewé tí ìpàdé sì jókòó láìṣe nǹkan.

Nígbà tí ìpàdé bá ti wà lókè, ìlànà ń pinnu ohun tí yóò kọjá inú rẹ̀. Àwọn àkójọ àkọ́kọ́ ọ̀rọ̀, àwọn àlẹ̀mọ́ AS-ọ̀nà, ìwọ̀n tí ó pọ̀ jù fún àkọ́kọ́ ọ̀rọ̀ àti ìpinnu tí ó ṣe kedere nípa àwọn ọ̀nà àkọ́kọ́ ni ó kéré jù, wọ́n sì ń ṣiṣẹ́ ní ẹ̀gbẹ́ méjèèjì. Ẹlẹgbẹ́ tí ó ń gba ohun gbogbo tí ó rí lè fún ọ ní ọ̀nà àkọ́kọ́ tí yóò fi ìdákẹ́jẹ́ rọ́pò àbáwọlé íńtánẹ́ẹ̀tì àdúgbò. Ẹ̀gbẹ́ méjèèjì nílò àwọn àkójọ ọ̀tọ̀ọ̀tọ̀, nítorí ohun tí o gbà lọ́wọ́ ẹlẹgbẹ́ àti ohun tí o kéde fún un jẹ́ ìpinnu méjì ọ̀tọ̀ọ̀tọ̀.

router bgp 65010
 neighbor 10.255.0.2 remote-as 65020
 address-family ipv4 unicast
  neighbor 10.255.0.2 prefix-list SITE-B-IN in
  neighbor 10.255.0.2 prefix-list SITE-B-OUT out
  neighbor 10.255.0.2 maximum-prefix 50

Lẹ́yìn náà MTU ń já. Ìkópamọ́ ń dín ẹrù tí ó wúlò kù, nítorí náà ìmúdójúìwọ̀n ńlá lè dá ìpàdé tí ó dàbí ẹni tí a ti fi sórí ẹ̀rọ dáadáa dúró: ẹlẹgbẹ́ wà lókè, àwọn àkọ́kọ́ ọ̀rọ̀ kò dé rárá, kò sì sí ohun tí ó ṣe kedere nínú àkọsílẹ̀. Dín TCP MSS kù lórí ojú ipa ọ̀nà, tàbí ṣètò MTU ipa ọ̀nà pẹ̀lú ààyè fún àfikún, kí o tó dá àwọn àlẹ̀mọ́ lẹ́bi.

Ibo ni àwọn pákítì ìta ṣì ń lọ

Àwọn pákítì tí a fi ààlà sí láti ibi kan sí ibi mìíràn ń jáde nípasẹ̀ ohun tí olùdarí àdúgbò yàn fún àdírẹ́sì gbangba ẹlẹgbẹ́. Bí àwọn ibi méjèèjì bá ra ìrékọjá lọ́wọ́ olùpèsè kan náà, tí wọ́n ń kọjá ilé metro kan náà, tàbí tí ẹ̀gbẹ́ kan wà lẹ́yìn NAT ìpele olùṣiṣẹ́, ipa ọ̀nà ń yè ìkùnà olùpèsè ní àṣìlọ́nà. Kíkà àwọn àmì ipa ọ̀nà nínú ohun èlò ìtọ́jú kò sọ ohun kan fún ọ nípa èyí.

Yíyan ọ̀nà àti fífi ìfiránṣẹ́ sórí ẹ̀rọ tún jẹ́ ìṣẹ̀lẹ̀ ọ̀tọ̀ọ̀tọ̀. Àkọ́kọ́ ọ̀rọ̀ lè jókòó nínú tábìlì BGP gẹ́gẹ́ bí èyí tí ó dára jù, ó sì ṣì lè ṣàìsí nínú tábìlì ìfiránṣẹ́, nítorí pé a kò lè yanjú ìgbésẹ̀ tí ó kàn tàbí ọ̀nà tí ó ṣe pàtó jù borí. Nígbà tí ẹnìkan bá sọ pé BGP kọ́ àkọ́kọ́ ọ̀rọ̀ ṣùgbọ́n ìtàjáde kò ń ṣàn, ìbéèrè tí ó wúlò ni bóyá a ti fi í sórí ẹ̀rọ àti ìgbésẹ̀ tí ó kàn tí ó ń tọ́ka sí.

Ìdáhùn tí ó tọ́ fún àyẹ̀wò àpẹẹrẹ ni àkójọ àwọn ìgbẹ́kẹ̀lé tí a pín: ìyípo àbáwọlé, olùpèsè òkè, ilé àti ẹ̀rọ èyíkéyìí tí ó ń pa ipò mọ́ lórí ọ̀nà ìpadà. Ìpàdé lórí ipa ọ̀nà kò lè yọ ìgbẹ́kẹ̀lé tí òun kò jókòó lé kúrò.

Àwọn ìpinnu mẹ́ta tí ó yẹ kí a ya sọ́tọ̀

Nígbà tí àpẹẹrẹ bá dà wọ́n pọ̀, gbogbo ìjíròrò ìkùnà ń lọ ní àyíká. Ya wọ́n sọ́tọ̀ lórí bébà, lẹ́yìn náà so ọ̀kọ̀ọ̀kan mọ́ ẹ̀rọ tí ó ń fi í ṣiṣẹ́ gan-an.

Ẹsẹ̀ kọ̀ọ̀kan ní olówó ọ̀tọ̀ọ̀tọ̀. Èyí àkọ́kọ́ ni ìjíròrò, èyí kejì ni ìṣètò lórí àwọn ẹ̀rọ rẹ, ẹ̀kẹta jẹ́ nẹ́tíwọ́kì ẹlòmíràn ní pàtàkì. Ìbéèrè ìyípadà tí ó dárúkọ ẹsẹ̀ tí ó fọwọ́ kàn rẹ̀ rọrùn láti fọwọ́ sí ju èyí tí ó sọ pé ìṣòro BGP.

Àwọn ipò ìkùnà tí ó yẹ kí a gbèrò

Gbígbà ọ̀nà àkópọ̀ ẹlẹgbẹ́ ni ọgbẹ́ tí a fi ara ẹni ṣe tí ó wọ́pọ̀ jù. Ẹnìkan ń kéde àkópọ̀ kúkúrú láti mú pàṣípààrọ̀ rọrùn, ẹ̀gbẹ́ tí ó jìnnà gbà á, ìtàjáde fún àwọn ìwọ̀n tí kò sí lẹ́yìn ipa ọ̀nà sì tẹ̀lé ipa ọ̀nà tí ó sì kú. Ṣe àlẹ̀mọ́ lórí àwọn àkọ́kọ́ ọ̀rọ̀ tí a retí gan-an, tàbí lo àkójọ àkọ́kọ́ ọ̀rọ̀ pẹ̀lú àwọn ààlà tí ó tọ́, kí o má ṣe gba àkópọ̀ òfo rárá nítorí pé ó ń mú ìpàdé dàbí ẹni tí ó mọ́ tónítóní.

Àkókò ìyọkúrò ni èyí kejì. Ìṣàwárí dá lórí àwọn aago ìdúró, lórí BFD bí o bá ti mú u ṣiṣẹ́, lórí ìṣàwárí ẹlẹgbẹ́ tí ó kú ti ipa ọ̀nà àti lórí bí ẹ̀gbẹ́ tí ó jìnnà ṣe yára tó láti dá kéde dúró. Àwọn ìpàdé tí ó wà tẹ́lẹ̀ jẹ́ ìṣòro ọ̀tọ̀ọ̀tọ̀: ọ̀nà tuntun lè mú àwọn ìsopọ̀ tuntun padà nígbà tí àwọn ìpàdé TCP tí a ti fi sórí ẹ̀rọ ń bá a lọ ní lílo àwọn àdírẹ́sì àtijọ́, àwọn ògiri iná tí ó ń pa ipò mọ́ tàbí NAT lórí ọ̀nà sì lè pa àwọn àkọsílẹ̀ mọ́ tí kò bá a mu mọ́. Fi ìmúpadàbọ̀ ohun èlò sínú àwọn ìlànà gbígbà dípò kí o rò pé ìyípadà ọ̀nà ń yanjú ohun gbogbo.

Ẹ̀kẹta ni àìdọ́gba ọ̀nà ìpadà. Ìtàjáde lè dé nípasẹ̀ ipa ọ̀nà, ó sì lè padà nípasẹ̀ ọ̀nà olùpèsè tí a kò gbèrò rárá láti gbé e, èyí tí ó ń farahàn gẹ́gẹ́ bí ohùn ẹ̀gbẹ́ kan, ìfọwọ́sowọ́pọ̀ tí ó kùnà tàbí ògiri iná tí ó ń sọ àwọn ìdáhùn nù. Ṣàyẹ̀wò ẹ̀gbẹ́ méjèèjì lọ́tọ̀ọ̀tọ̀.

Ohun tí a ó kọ sínú àdéhùn, àti bí a ó ṣe rí i dájú

Beèrè fún àwọn àkọ́kọ́ ọ̀rọ̀ tí a gbà láàyè ní àkọsílẹ̀: ẹni tí ó ní ẹ̀tọ́ láti dá ìwọ̀n kọ̀ọ̀kan, bóyá a gbà ọ̀nà àkọ́kọ́ láàyè, àti àwọn ẹbí àdírẹ́sì tí iṣẹ́ ipa ọ̀nà ń ṣètìlẹ́yìn. RFC 8212 sọ ìlànà àkórekóre àti àkójáde tí ó ṣe kedere di ìfojúsọ́nà fún eBGP nínú àwọn ìmúṣẹ tí ó ń tẹ̀lé e, nítorí náà ẹlẹgbẹ́ tí ó ṣì ń gbára lé ìwà gbígbà ohun gbogbo lọ́nà àìlórúkọ yẹ láti béèrè lọ́wọ́ rẹ̀.

Lẹ́yìn náà ṣàyẹ̀wò láti inú ẹ̀rọ kì í ṣe láti inú àwòrán. Àwọn àṣẹ tí ó wúlò lórí àwọn olùdarí irú FRR:

show bgp summary
show bgp ipv4 unicast 10.10.0.0/16
show bgp ipv4 unicast neighbors 10.255.0.2 advertised-routes
show ip route 10.10.0.0/16

Fi àwọn àkíyèsí méjì kún un tí tábìlì ọ̀nà kò lè fún ọ. Gbà á lórí ojú ìta láti rí i dájú àdírẹ́sì tí àwọn pákítì tí a kó pamọ́ ń tọ́ka sí gan-an, fún àpẹẹrẹ tcpdump -ni eth0 udp port 51820 fún ipa ọ̀nà WireGuard, tàbí àlẹ̀mọ́ ESP fún IPsec. Lẹ́yìn náà tọpinpin sí àdírẹ́sì gbangba ẹlẹgbẹ́ kí o sì fi àwọn ìgbésẹ̀ wé ìtọpinpin tí ó wà nínú ipa ọ̀nà; bí àwọn méjèèjì bá ń tẹ̀lé ẹ̀wọ̀n olùpèsè kan náà, àfikún rẹ ń gbé nínú ìlànà ọ̀nà kì í ṣe nínú nẹ́tíwọ́kì.

Níkẹyìn, fi àmọ̀ọ́nú dán ìyọkúrò wò. Sọ ipa ọ̀nà kalẹ̀ ní àkókò ìtọ́jú, kọ bí àkọ́kọ́ ọ̀rọ̀ ṣe wà lórí ẹ̀rọ pẹ́ tó, ohun tí ó ṣẹlẹ̀ sí àwọn ìpàdé tí ó wà, àti bóyá ẹ̀gbẹ́ tí ó jìnnà padà sí ọ̀nà tí ìwọ fúnra rẹ yóò gbà. Ìdánilẹ́kọ̀ọ́ yẹn sọ nípa àpẹẹrẹ ju àwòrán èyíkéyìí lọ.

Ọ̀nà kì í ṣe àṣẹ. Àwọn àkọ́kọ́ ọ̀rọ̀ tí o gbà láti pàṣípààrọ̀ kò sọ ohun kan nípa àwọn aṣàmúlò tí ó lè dé iṣẹ́ tí ó wà lẹ́yìn ipa ọ̀nà, nítorí náà pa ìjẹ́rìí, àwọn iṣẹ́ tí a gbà láàyè àti àwọn ògiri iná àlejò mọ́ ibi tí wọ́n wà. Ẹlẹgbẹ́ tí a lè dé kì í sì í ṣe àṣẹ fún ìrékọjá tí kò ní ààlà tàbí dídá àwọn àdírẹ́sì àìlórúkọ, irú àṣẹ bẹ́ẹ̀ sì jẹ́ ti àdéhùn gẹ́gẹ́ bí ìbéèrè òwò, kì í ṣe ìlà ìlànà BGP.

• Dárúkọ àwọn àkọ́kọ́ ọ̀rọ̀ tí ẹ̀gbẹ́ kọ̀ọ̀kan lè dá, àti àwọn tí kò gbọ́dọ̀ gbà rárá.
• Dín MSS kù lórí ipa ọ̀nà kí o sì rí i dájú pé àwọn ìmúdójúìwọ̀n ńlá ń dé gan-an.
• Ṣe àkójọ àwọn ìgbẹ́kẹ̀lé ìsàlẹ̀ tí a pín, kì í ṣe iye àwọn ipa ọ̀nà.
• Wọ̀n ìyọkúrò gidi kan kí o sì kọ ohun tí ohun èlò ń ṣe.