Nəzəri əsaslar və memarlıq
Laboratoriya işi: mürəkkəb L3VPN topologiyalarının qurulması — Hub-and-Spoke, Extranet və Shared Services. Standart L3VPN Full Mesh rejimində işləyir (bütün filiallar bir-biri ilə birbaşa əlaqə saxlayır). Lakin təhlükəsizlik tələblərinə görə Hub-and-Spoke topologiyası tələb olunduqda bütün filial (Spoke) trafiki mərkəzdəki (Hub) firewall-dan keçməlidir. Bu, asimmetrik Route Target siyasəti ilə həll olunur: Hub iki RT istifadə edir (Hub-In 65000:10 və Hub-Out 65000:20). Filiallar öz marşrutlarını Hub-In ilə göndərir və yalnız Hub-Out qəbul edir. Nəticədə filiallar bir-birini birbaşa görmür. Həmçinin laboratoriyada bir neçə müştərinin ortaq server seqmentinə (Extranet) təhlükəsiz çıxışı təşkil edilir.
RT topologiya konstruktoru kimi
L3VPN topologiyasını protokollar yox, "kim hansı RT-ni ixrac və idxal edir" cədvəli müəyyən edir. MP-BGP bütün marşrutları eyni cür daşıyır, VRF isə RT-yə görə hansını qəbul edəcəyinə qərar verir. Üç əsas şablon:
| Topologiya | Export RT | Import RT | Nəticə |
|---|---|---|---|
| Full mesh | hamıda 65000:100 | hamıda 65000:100 | istənilən sayt istənilən digərini görür |
| Hub-and-spoke | Spoke: 65000:10; Hub: 65000:20 | Spoke: 65000:20; Hub: 65000:10 | spoke yalnız hub-ı görür |
| Extranet / shared services | müştəri: öz RT-si + xidmət RT-si | müştəri: öz RT-si + xidmət RT-si | müştəri ümumi serverləri görür, qonşuları görmür |
Hub-and-spoke: hub-PE-də niyə iki VRF
Məqsəd saytlararası bütün trafiki hub saytının şəbəkələrarası ekranından (firewall) məcburi keçirməkdir. Hub-PE-də import 65000:10 və export 65000:20 olan bir VRF qurulsa, spoke 1-dən spoke 2-yə paket hub-PE-yə həmin VRF-in VPN etiketi ilə gəlir və PE spoke 2-yə marşrutu (o idxal edilib) tapıb paketi birbaşa, firewall-u keçərək yönləndirir. Ona görə hub-PE bir CE-yə (firewall) iki PE-CE əlaqəsi olan iki VRF-ə bölünür:
- HUB-IN (RT 65000:10 idxal edir): onda bütün spoke-ların marşrutları yerləşir; PE onları firewall-a əlaqə 1 üzərindən verir, firewall yoxlanılmış trafiki həmin əlaqəyə qaytarır və PE onu lazımi spoke-a yönləndirir. VRF heç nə ixrac etmir.
- HUB-OUT (RT 65000:20 ixrac edir): onda firewall-dan əlaqə 2 üzərindən alınmış marşrutlar (default və hub saytının LAN-ı 192.168.10.0/24) yerləşir, onların RT 65000:20-sini spoke-lar idxal edir. Spoke-dan trafik HUB-OUT etiketi ilə gəlir və əlaqə 2 üzərindən firewall-a gedir - bu VRF-də başqa yol yoxdur.
Nəticə: spoke-to-spoke trafiki spoke 1 -> PE2 -> PE1 (HUB-OUT) -> firewall -> PE1 (HUB-IN) -> PE2 -> spoke 2 yolu ilə keçir; PE1-də paket verilənlər müstəvisində VRF-i iki dəfə keçir.
Hub-da PE-CE protokolunun xüsusiyyətləri
Hub-PE ilə firewall arasında eBGP olduqda bütün spoke-lar adətən bir AS-də olur: eyni AS 65101-dəki hub CE və spoke CE loop prevention səbəbindən bir-birinin marşrutlarını qəbul etməz. PE-də as-override, və ya CE-də allowas-in istifadə olunur. Statik marşrutlaşdırmada (laboratoriyadakı kimi) problem yoxdur, lakin firewall-da PE vasitəsilə spoke LAN-larına (əlaqə 1) və PE vasitəsilə default marşrut (əlaqə 2) olmalıdır. Spoke istiqamətində qayıdış marşrutu olmadan trafik firewall-da itir.
Extranet və shared services
Ümumi xidmətlər (DNS, monitorinq, SaaS şlüzü) RT 65000:900 olan ayrıca VRF SS-də yerləşdirilir. Müştəri VRF-ləri əlavə olaraq 65000:900-ü idxal edir, SS isə qayıdış marşrutu olsun deyə müştəri RT-lərini idxal edir. Prinsiplər:
- Görünmə marşrut səviyyəsində birtərəfli, paket səviyyəsində isə ikitərəflidir: SS-də default olmadığı üçün cavab üçün SS-də müştəri marşrutları lazımdır.
- SS-ə düşən müştəri ünvanları unikal olmalıdır: SS-ə idxal edilmiş üst-üstə düşən LAN-ları olan iki müştəri ziddiyyət yaradır (belə müştərilər üçün birləşmə nöqtəsində NAT istifadə olunur və ya LAN idxal edilmir, yalnız lazımi /32-lər idxal edilir).
- A və B müştəriləri bir-birinin RT-sini idxal etmir: ümumi SS olduqda belə, SS VRF-lər arasında tranzit default təmin etmədikcə onlar izolə qalır.
- Sızmanı açıq siyasətlərlə (
import-map/vrf-import) məhdudlaşdırın ki, SS bütün cədvəli yox, yalnız lazımi prefiksləri alsın.
Cisco/Huawei/Junos: RT harada təyin olunur
Cisco və Huawei - deklarativ olaraq VRF-də (route-target/vpn-target), Junos - vrf-target və ya community-lərlə vrf-import/vrf-export siyasətləri. Məntiq "bir RT"-dən mürəkkəb olduqda siyasətlər lazımdır: idxalda bir neçə RT (spoke: 20 və 900), marşrutların yalnız bir hissəsi üçün RT, prefiks məhdudiyyətləri.
Konvergensiya və miqyas
Hər RT dəyişikliyi VRF-də marşrutların yenidən seçilməsinə səbəb olur: böyük cədvəllərdə clear yalnız təsirlənmiş VRF-lər üçün edilir. VRF üzrə RT sayı məhduddur (Huawei - bir əmrdə 8-ə qədər, Cisco - onlarla). RT sxemi nə qədər mürəkkəbdirsə, audit o qədər çətindir: RT matrisini (kim ixrac edir, kim idxal edir) Git-də məlumat kimi saxlayın.
Topologiyanın yoxlanması
Düzgün yoxlama ping deyil, marşrut cədvəlidir: spoke VRF-də başqa spoke-ların prefiksləri yoxdur (yalnız hub default, hub saytının LAN-ı və xidmətlər), HUB-IN-də bütün spoke-lar var, SS-də spoke-lar var və hub yoxdur. Spoke-to-spoke traceroute firewall-u göstərməlidir, SS-ə sorğu isə birbaşa PE1-ə gedir. İstənilən başqa davranış RT sızmasıdır.
Memarlıq sxemi və topologiya
[Hub CE / Firewall]
^
| (Hub PE: VRF Hub-In imports RT 65000:10, VRF Hub-Out exports RT 65000:20)
v
[Provider Core]
/ \
v v
[Spoke-1 CE] [Spoke-2 CE]
(Imports RT 65000:20 only) (Imports RT 65000:20 only)
(Exports RT 65000:10) (Exports RT 65000:10)Trafik axını və etiket steki sxemi
Hub-and-Spoke Routing Policy Enforcement:
1. Spoke-1 advertises 10.1.0.0/24 with Export RT 65000:10.
2. Spoke-2 imports only RT 65000:20, so it does not learn the Spoke-1 route directly.
3. Hub PE imports RT 65000:10 into VRF Hub-In and passes the spoke routes to the firewall.
4. VRF Hub-Out exports a default/summary route with RT 65000:20; the spokes import it.
5. Spoke-to-spoke traffic therefore follows the default route to the hub and is inspected by the firewall.Vəziyyətlər və parametrlər cədvəli
| VPN Topologiya Modeli | Export RT Siyasəti | Import RT Siyasəti | Məlumat Axını Davranışı |
|---|---|---|---|
| Full Mesh (Hər kəs hər kəslə) | RT 65000:100 | RT 65000:100 | Bütün filiallar arasında birbaşa əlaqə |
| Hub-and-Spoke (Filial Saytı) | RT 65000:10 (Spoke) | RT 65000:20 (Hub) | Filiallar yalnız Mərkəzi görür; filiallar arası birbaşa əlaqə yoxdur |
| Hub-and-Spoke (Mərkəz Saytı) | RT 65000:20 (Hub) | RT 65000:10 (Spoke) | Mərkəz bütün filialları görür və bütün trafiki təftiş edir |
| Extranet (Paylaşılan Xidmət) | RT_Müştəri + RT_Ümumi | RT_Müştəri + RT_Ümumi | Müştəriləri birləşdirmədən ümumi serverlərə təhlükəsiz çıxış |
Memarlıq modeli və iş prinsipləri
Real operator şəbəkələrində MPLS müxtəlif istehsalçıların avadanlıqlarını birləşdirir. Aşağıda dörd platforma üçün praktiki konfiqurasiya və Data Plane / Control Plane yoxlama nümunələri təqdim olunur: Cisco IOS-XE/XR, Huawei VRP, Juniper Junos və MikroTik RouterOS v7. Sintaksis fərqlərinə və etiket paylama mexanizmlərinə diqqət yetirin.
