Nəzəri əsaslar və memarlıq

Inter-AS Option A (Back-to-Back VRF, RFC 4364) iki müstəqil operatorun ASBR routerlərini hər müştəri VRF-i üçün ayrılmış subinterfeyslər (VLAN) vasitəsilə birləşdirir. ASBR-lər arasında MPLS işləmir: bu, sadə IP birləşməsidir və hər VRF daxilində lokal eBGP və ya statik marşrutlaşdırma qurulur. Üstünlükləri: sadəlik, yüksək təhlükəsizlik və operatorlar arasında LDP/MP-BGP razılaşdırmasına ehtiyac olmamasıdır. Çatışmazlığı: zəif miqyaslanma — hər yeni müştəri üçün ASBR-lər arasında yeni VLAN və yeni BGP sessiyası açılmalıdır, bu da yüzlərlə müştəri olduqda routerləri yükləyir.

Option A ideyası: kabellə yapışdırılmış iki PE

Inter-AS Option A (RFC 4364, bölmə 10, variant "a") yeni protokol gətirmir. AS 65000-dəki ASBR1 və AS 65001-dəki ASBR2 adi PE-lərdir, hər birinin öz müştəri VRF-ləri var; onlar interfeyslərlə birləşdirilib və ASBR1 üçün qonşu ASBR2 CE kimi görünür, əksinə də belədir. Ona görə sxemə back-to-back VRF deyilir: hər VPN üçün ayrıca (alt)interfeys və VRF daxilində ayrıca marşrutlaşdırma sessiyası (eBGP, OSPF və ya statik) ayrılır. Operatorlar sərhəddə nə RD, nə RT, nə də MPLS barədə razılaşmalı deyil: AS 65000-də müştəri A RD/RT 65000:100 ilə, AS 65001-də 65001:100 ilə yaşayır və bu dəyərlər bir-biri ilə əlaqəli deyil.

İdarəetmə müstəvisi

Müştəri A-nın 192.168.20.0/24 marşrutu bu yolu keçir:

  1. CE2 -> PE3 (AS 65001): adi PE-CE protokolu.
  2. PE3 -> ASBR2: MP-iBGP VPNv4 (RD 65001:100, RT 65001:100, VPN etiketi).
  3. ASBR2 marşrutu RT-yə görə VRF CUST-A-ya idxal edir, sonra onu 10.1.100.1 qonşusuna adi IPv4 prefiks kimi elan edir (VRF daxilində eBGP, AS_PATH 65001 ...).
  4. ASBR1 prefiksi VRF CUST-A-da qəbul edir, RD 65000:100 əlavə edir və RT 65000:100 ilə VPNv4 kimi RR 10.255.0.100-ə ixrac edir.
  5. PE1 onu öz VRF-inə idxal edir və CE1-ə verir.

3-4-cü addımlarda özgə AS-in RD/RT/VPN etiketi məlumatı itirilir: ASBR məsuliyyət sərhəddidir və VPN məlumatı burada "kəsilir".

Verilənlər müstəvisi

192.168.10.5 -> 192.168.20.7 paketi AS 65000-dən [LDP nəqliyyat | ASBR1-in VPN etiketi] steki ilə keçir. ASBR1-də nəqliyyat etiketi artıq silinib (sondan əvvəlki qovşaqda PHP), VPN etiketi VRF CUST-A-nı seçir və paket VLAN 100-ə heç bir etiketsiz çıxır: Outgoing label = No Label. ASBR2 adi IPv4 qəbul edir, öz VRF CUST-A-sında IP lookup edir və AS 65001 stekini vurur. Nəticələr: sərhəddə istənilən L3 kommutator və ya firewall işləyir, QoS siyasəti DSCP əsasında qurulur (EXP/TC sərhədi keçmir), əlaqənin MTU-su adi IP MTU üstəgəl VLAN teqinin 4 baytıdır, etiketlər əlavə olunmur.

Həqiqətən pis miqyaslanan nədir

Resurs1 VPN-ə xərc500 VPN olduqda nə baş verir
Subinterfeys / VLAN1802.1Q portda 4094 VLAN verir, sonrası üçün QinQ və ya yeni port lazımdır
BGP sessiyası1hər ASBR-də keepalive 60 s / hold 180 s ilə 500 sessiya
VRF və cədvəllər1hər müştərinin prefikslərinin tam surəti üçün yaddaş
Provisioninq2 ASBR x (VRF + sub-if + BGP)konfiqurasiya xətaları artır, avtomatlaşdırma lazımdır

Ayrı çatışmazlıq fiziki əlaqənin sıradan çıxmasının bütün VPN-ləri eyni anda düşürməsidir; bu LAG və ya iki müstəqil əlaqə və sessiyalarda BFD ilə kompensasiya olunur.

VRF-də eBGP və AS_PATH döngüləri

Müştəri hər iki saytda eyni AS nömrəsindən (məsələn, AS 65100) istifadə edirsə, CE2-dən marşrut CE1-ə AS_PATH 65000 65001 65100 ilə çatır və CE1 onu loop prevention səbəbindən rədd edir. Həllər: PE1/PE3-də neighbor ... as-override (Cisco; Huawei - peer ... substitute-as, Junos - qrupda as-override) və ya CE-də allowas-in. Bu Option A-ya xas deyil, lakin AS sərhəddində problem daha qabarıqdır: AS_PATH zənciri daha uzundur. Statik və IGP ilə problem yoxdur, lakin onda ASBR marşrutları BGP VRF-ə redistribute etməlidir.

ASBR-də etiketlər: per-prefix və per-VRF

Cisco default olaraq VPN etiketini hər prefiks üçün ayırır (per-prefix). ASBR2-dən eBGP ilə alınmış prefiks üçün etiket birbaşa 10.1.100.2 next hop-una göstərir - ikinci lookup olmadan. Per-VRF rejimi (mpls label mode vrf CUST-A protocol bgp-vpnv4 per-vrf) etiketlərə qənaət edir, lakin qəbul zamanı VRF-də IP lookup tələb edir. Junos-da da oxşardır: default olaraq etiket next hop-a göstərir, vrf-table-label isə VRF-də lookup-u aktivləşdirir (məsələn, çıxışda VRF üzrə filtrləmə lazım olduqda).

Sərhədin təhlükəsizliyi

Option A-da ASBR yalnız müştərinin IPv4 prefikslərini görür və qonşu operatora etibar etmir: hər sessiyada maximum-prefix (Huawei - route-limit, Junos - prefix-limit), gözlənilən müştəri prefikslərinə filtrlər və sessiya qorunması (MD5/TCP-AO, GTSM ttl-security) qoyulur. Sərhəddə RT və etiket olmadığı üçün operator RT saxtalaşdırması ilə sizin VRF-ə özgə VPN marşrutlarını "doldura" bilməz. Bu Option A-nın əsas üstünlüyüdür və bir-birinə etibar etməyən operatorlar arasında məhz onun seçilməsinin səbəbidir.

Option AB (hibrid)

Option A-nın miqyası kiçik, Option B-nin izolyasiyası isə qeyri-kafi olduqda hibrid mövcuddur (Cisco-da Inter-AS Option AB, bəzi sənədlərdə "Option D"): idarəetmə müstəvisi Option B kimidir (ASBR-lər arasında vahid VPNv4 sessiyası), verilənlər müstəvisi isə Option A kimidir (hər VRF üçün ayrıca interfeys, VRF-də IP lookup). Həyata keçirmə və ad platformadan asılıdır; bu kursda yalnız qeyd olunur, öz avadanlığınızda dəstəyi yoxlayın.

Tipik nasazlıqlar

  • Sessiya Idle/Active-dir: VLAN ID üst-üstə düşmür, vlan-tagging/encapsulation dot1Q yoxdur və ya interfeys VRF-də deyil - 10.1.100.1 ünvanı qlobal cədvələ düşür.
  • Sessiya Established, prefiks 0: address-family ipv4 vrf qonşusu aktivləşdirilməyib və ya marşrut siyasətlə ixrac olunmur; advertised-routes yoxlayın.
  • Marşrut ASBR1-də var, PE1-də yoxdur: ASBR1-in VRF-inə RT ilə idxal olunmayıb və ya ASBR1 RR-in vpnv4 qonşusu kimi aktivləşdirilməyib (send-community extended).
  • Birtərəfli trafik: bir ASBR-in VRF-ində 192.168.10.0/24 qayıdış marşrutu yoxdur və ya RT/RD öz AS daxilində uyğun gəlmir.

Memarlıq sxemi və topologiya