Nəzəri əsaslar və memarlıq

MPLS L3VPN şəbəkəsində təhlükəsizlik VRF cədvəllərinin tam izolyasiyasına əsaslanır. Lakin konfiqurasiya səhvləri müştərilər arasında təhlükəli marşrut sızmasına (Route Leaking) səbəb ola bilər. Əsas səbəblər: 1. Səhv Route Target yazılması: əgər administrator VRF B daxilində səhvən route-target import 65000:100 yazarsa, Müştəri A-nın bütün daxili şəbəkələri Müştəri B-yə görünəcək. 2. Nəzarətsiz Redistribute: Route Tag istifadə etmədən OSPF və BGP arasında marşrutların qarışdırılması. 3. CE tərəfindən kənar şəbəkələrin elan edilməsi. Təhlükəsizlik üçün operator hər bir PE-CE birləşməsində sərt Prefix-List filtrləri tətbiq etməli və maksimum marşrut sayını məhdudlaşdırmalıdır.

L3VPN izolyasiyası əslində nəyi təmin edir

RFC 4364-ə görə müştəri şəbəkələri dörd mexanizmlə ayrılır: (1) yönləndirmə konteksti daxil olan interfeysə görə seçilir, yəni paket yalnız öz VRF-inin FIB-inə düşür; (2) Route Distinguisher VPNv4 NLRI-ni unikal edir, ona görə üst-üstə düşən prefikslər BGP-də bir-birini əzmir; (3) Route Target VRF-in hansı marşrutları ixrac və idxal edəcəyini müəyyən edir; (4) nüvədə paket iki etiket daşıyır və müştəri nə nəqliyyat etiketinə, nə də VPN etiketinə təsir edə bilməz. Operator müştəriyə Frame Relay/ATM ilə müqayisə olunan təhlükəsizlik səviyyəsi vəd edə bilər (RFC 4364, Security Considerations bölməsi; təhdid təhlili RFC 4381), lakin bundan çox yox: L3VPN-də məlumatın şifrələnməsi və autentifikasiyası yoxdur, zəmanət isə yalnız RT/RD siyasəti və sərhədlərdəki filtrlər düzgün qurulduğu müddətdə qüvvədədir.

İzolyasiya harada pozulur: yerlərin siyahısı

  • Route Target. Bir artıq route-target import (kopyalanmış blok, müştərisi əvəz edilməmiş şablon) yad marşrutların VRF-ə düşməsi üçün kifayətdir. RT "izolyasiya olunub" ilə "görünür" arasında yeganə açardır, buna görə onu qorunan resurs kimi qəbul etmək lazımdır: vahid RT reyestri, müştəri nömrəsindən generasiya, show çıxışının reyestrlə avtomatik yoxlanması.
  • CE-dən gələn extended community-lər. PE-CE eBGP sessiyasında extended community qəbul edilərsə, müştəri öz prefiksinə RT:65000:100 əlavə edə bilər; ixrac zamanı PE öz RT-lərini əlavə edir, yad RT isə qalır və uzaq PE-lər prefiksi qurbanın VRF-inə idxal edir. Ona görə CE-dən daxil olarkən extended community-lər silinir, siyasət isə yalnız PE-nin təyin etdiyi RT-lər üzərində qurulur.
  • Ümumi xidmətlər (extranet). Ümumi VRF izolyasiyada nəzarət olunan dəlikdir. Qaydalar: hər müştəri ümumi VRF-ə yalnız dərc olunmuş prefiksləri və ayrıca RT ilə ixrac edir (A: 65000:910, B: 65000:920); ümumi VRF onları icazə verilən prefiks siyahısı olan import map/route-policy vasitəsilə idxal edir; müştərilər ondan yalnız bir RT-ni (65000:999) və yalnız server prefikslərini idxal edir. Ümumi VRF müştəri marşrutlarını yenidən ixrac etməməli və müştərilər arasında tranzit rolunu oynamamalıdır.
  • Üst-üstə düşən ünvanlar. A və B hər ikisi 192.168.10.0/24 dərc edərsə, ümumi VRF bir yol seçəcək və serverin qayıdan trafiki yanlış müştəriyə gedəcək. Ümumi VRF-ə yalnız unikal ünvanlar dərc olunur (NAT pulu, operatorun reyestrindən ayrıca /24).
  • RD. RD siyasəti idarə etmir, lakin iki müxtəlif müştərinin VRF-lərində eyni RD onların prefikslərini bir NLRI-yə çevirir: RR bir ən yaxşı yol seçir və müştərilərin yarısı yad next hop alır. RD (VRF, PE) cütü üzrə unikal olmalıdır; bir müştərinin müxtəlif PE-lərdə fərqli RD-ləri isə RR-də bir neçə yolu saxlayır.
  • Limitlər. PE-CE sessiyasında tam İnternet cədvəli olan müştəri RIB/FIB yaddaşını tükəndirir və PE-dəki qonşularını sıradan çıxarır. Qoruma ikiqatdır: VRF üzrə marşrut limiti (Cisco: maximum routes, Huawei: routing-table limit, Junos: cədvəldə maximum-prefixes) və BGP qonşusunda max-prefix.

CE-PE sərhəddində etiketin saxtalaşdırılması

VPN etiketi yalnız operatorun domeni daxilində məna daşıyır. PE CE-dən MPLS başlıqlı paketləri qəbul etsəydi, müştəri yad VPN etiketini təxmin edə bilərdi (etiketlər 16-dan başlayan kiçik, proqnozlaşdırıla bilən diapazondan verilir) və paketi birbaşa egress PE-də başqa VRF-ə göndərə bilərdi. Qoruma: CE tərəfindəki interfeys MPLS ötürülməsində iştirak etmir (Cisco: mpls ip yoxdur, interfeys show mpls interfaces-də görünmür; Junos: family mpls və protocols mpls interface qeydi yoxdur; Huawei: interfeysdə mpls yoxdur), belə interfeysə gələn etiketli paket atılır. İstisna etiketlərin qəsdən qəbul edildiyi sərhədlərdir (Inter-AS Option B/C, CSC): orada etibar control plane-ə keçir.

Inter-AS və etibar sərhədi

  • Option A (back-to-back VRF): ASBR PE kimi davranır və qonşu AS-i müştəri sayır: hər VRF üçün ayrıca (alt)interfeys və eBGP. İzolyasiya sərtdir, miqyas zəifdir; təhlükəsizlik PE-CE ilə eynidir.
  • Option B (ASBR-lər arasında MP-eBGP VPNv4): bütün müştərilərin VPN marşrutları bir sessiyadan keçir və ASBR RT müəlliflüyündə qonşuya etibar edir. Lazımdır: RT üzrə filtr (VRF-siz Cisco ASBR defolt olaraq uyğun lokal RT-si olmayan VPNv4 marşrutlarını atır, bunu no bgp default route-target filter söndürür, ona görə ASBR-də filtr açıq siyasətlə əvəz olunur), RT fəzaları fərqli olduqda RT-nin yenidən yazılması və qonşu üzrə prefiks limiti. ASBR-də qəbul edilən etiketləri məhz həmin ASBR ayırmış olmalıdır; LFIB qeydi olmayan yad etiketlər atılır.
  • Option C (RR-lər arasında multihop MP-eBGP, PE nəqliyyat /32-ləri BGP-LU-da): ASBR VPN marşrutlarını görmür, etibar isə maksimaldır. eBGP-LU-da yalnız PE/RR loopback /32-ləri prefix-list ilə buraxılır və etiketlər yalnız onlar üçün qəbul edilir; əks halda qonşu operator istənilən daxili ünvana çıxış əldə edir.

Konfiqurasiyanı yox, davranışı yoxlayın

İzolyasiya yalnız konfiqurasiya ilə yoxlanılmır: VRF A-dan B prefiksinə doğru marşrut axtarırlar (show ip route vrf A 10.220.0.0 ümumi VRF-ə dərc olunandan başqa heç nə tapmamalıdır), ixrac edən və idxal edən tərəflərdə RT siyahılarını müqayisə edirlər (show bgp vpnv4 unicast all <prefix>-də yalnız gözlənilən RT-lər olmalıdır) və marşrut limiti sayğaclarına nəzarət edirlər. VRF PE-nin öz resurslarını qorumur: müştəri VRF-indəki PE interfeys ünvanı müştəri üçün əlçatandır, control plane yükü isə ortaqdır; bununla sonrakı dərslərdə CoPP, ACL və uRPF məşğul olur. Qlobal cədvələ sızmanı global açar sözlü statik marşrutlar (Cisco ip route vrf A 0.0.0.0 0.0.0.0 ... global) və VRF-dən global-a idxal yaradır: audit yoxlama siyahısına onların axtarışını daxil edin.

Əvvəlcə nəyi yoxlamaq lazımdır

Hər VRF üçün: RT siyahısı (show vrf detail), əlaqəli map/policy, marşrut limitləri, CE interfeyslərində MPLS-in olması. Ümumi VRF üçün: o, dəqiq nəyi ixrac və idxal edir. Hər müştəri üçün: show bgp vpnv4 unicast all <prefix> yalnız ona məxsus RD və RT-ləri, üstəlik ümumi xidmətlərin xidməti RT-sini göstərir.

Memarlıq sxemi və topologiya