Nəzəri əsaslar və memarlıq
Kursun yekun layihəsi: "tələb - qərar - qəbul meyarı" zənciri üzrə Tier-2 operator şəbəkəsinin layihələndirilməsi (HLD və LLD). 1. Topologiya: AS 65000-də səkkiz qovşaq - üç PE (PE1, PE2, PE3), iki P (P1, P2), iki RR (ümumi cluster-id 100 olan RR1, RR2) və tərəfdaş AS 65001-ə ASBR1; PE3 eyni zamanda BNG rolunu oynayır. Yeganə nasazlıq nöqtəsi ASBR1-dir və risklərdə qeyd olunub. 2. Underlay: 10.255.0.<id>-dən Loopback0 /32, MTU 1600 olan /30 xətlər, IS-IS Level-2 (wide metrikalar, point-to-point) və magistral xətlərdə BFD 100 ms x 3. 3. Transport: əvvəldən SR-MPLS (SRGB 16000-23999, label = 16000 + indeks) və TI-LFA; adi rejimdə LDP və RSVP-TE istifadə olunmur; keçid hədəfi ən çox 50 ms-dir və T03 testi ilə yoxlanılır. 4. Overlay: iki RR vasitəsilə vpnv4 və EVPN ailələri ilə MP-BGP (vpnv6 plan tərəfindən nəzərdə tutulub). 5. Müştəri xidmətləri: A müştərisi - üst-üstə düşən ünvanlı L3VPN; B müştərisi - tərəfdaş AS ilə Inter-AS Option B L3VPN; C müştərisi - EVPN-MPLS E-LAN (EVI 300); BNG abunəçiləri - CGNAT və RADIUS ilə VRF SUBS. 6. Eksploatasiya: Ansible ilə yerləşdirmə, syslog, SNMP, IPFIX və gRPC telemetriyası ilə monitorinq. MikroTik nüvəyə daxil deyil və CE/CPE rolunu oynayır.
Tələblərdən layihə qərarlarına
Operator layihəsi "tələb - qərar - ölçülə bilən qəbul meyarı" zənciri üzrə qurulur. Meyarı olmayan qərarı müdafiə etmək, tələbi olmayan qərarı əsaslandırmaq mümkün deyil. Layihədə AS 65000 daxilində səkkiz qovşaq var: üç PE (PE1, PE2, PE3), iki P (P1, P2), iki RR (RR1, RR2) və tərəfdaş AS 65001 istiqamətində ASBR1. Qovşaqlar stendi şişirtmədən kursun bütün modullarını əhatə etmək üçün seçilib.
| Tələb | Qərar | Meyar (sp-acceptance testi) |
|---|---|---|
| Nüvə linki sıradan çıxanda itki 50 ms-dən çox olmasın | IS-IS L2 + SR-MPLS + TI-LFA, optikada carrier-delay 0 | T03: 10 000 pps axında ən çox 500 paket itir |
| A, B, C müştərilərinin və abunəçilərin izolyasiyası | VRF/RT planı, C üçün EVI, ayrıca VRF SUBS | T06: müştərilərarası trafikin 100% bloklanması |
| Gecikməsi nəzarət olunan səs | SR policy color 100 + EF növbəsi (TC 5) | T09, T10: 148% yükdə səs itkisi 0 |
| RR itkisi xidmətlərə təsir etmir | iki RR, eyni cluster-id 100, klientlər hər ikisi ilə peer olur | T05: itki 0, klientlərdə hər iki sessiya |
| 5000 BNG abunəçisi | BNG kimi PE3, RADIUS .50, CGNAT pool | T11: 60 s-də 5000 giriş, AAA 1 s-dən tez cavab verir |
| İstənilən dəyişikliyin geri qaytarılması | commit confirmed / configure replace / ehtiyat nüsxə | T12: bərpa ən çox 5 dəqiqə |
Nəqliyyat: niyə OSPF + LDP yox, IS-IS + SR
Güzəştlər cədvəlinin ilk sətri qalan hər şeyi müəyyən edir: nüvə SR-MPLS ilə IS-IS Level-2 üzərində qurulur, LDP və RSVP-TE isə sabit rejimdə istifadə edilmir. Səbəblər: TI-LFA bərpa yolunu qurulmaya görə hazırlayır (qrafda alternativ yol varsa) və tranzit qovşaqlarda RSVP vəziyyəti tələb etmir; SR policy kritik trafik üçün RSVP-TE-ni P-lərdə siqnalizasiyasız əvəz edir; IS-IS SID-ləri metrikalarla birlikdə TLV-lərdə daşıyır, yəni hər linkdə LDP sessiyası əvəzinə bir verilənlər bazası olur. Qiyməti: Cisco, Huawei və Juniper bu sxemi dəstəkləyir, RouterOS v7-də isə (kursun razılaşmasına görə) nə IS-IS, nə də SR var, buna görə MikroTik nüvəyə daxil deyil və A müştərisinin birləşmə nöqtəsində CE/CPE rolunu oynayır. Operatora kənarda LDP qovşağı lazımdırsa, mapping server ilə SR/LDP sərhədi qurulur (sr-migration-lab-a bax), amma layihə bunu tələb etmir.
IS-IS OSPF əvəzinə üç praktik səbəbə görə seçilib: qovşaqların IP altşəbəkələrindən asılı olmayan NET ilə ünvanlanması, IPv4 və IPv6 üçün tək proses (vpnv6/6VPE üçün lazımdır) və protokolun interfeysin IP konfiqurasiyasından asılı olmaması. IS-IS wide metrikalardan (link başına 24 bit) istifadə edir, bütün linklərdə şəbəkə tipi point-to-point, yalnız bir LSDB saxlamaq üçün level-2-only rejimidir.
Topologiya və nasazlıq domenləri
PE1, PE2, PE3 hər ikisi P1 və P2-yə qoşulub (iki müstəvi), P1 və P2 bir-biri ilə əlaqəlidir. ASBR1 hər iki müstəviyə qoşulub, RR1 yalnız P1-ə, RR2 isə yalnız P2-yə: RR-lər tranzit yoldan kənardadır və topologiyanın özü səbəbindən tranzit ola bilməz. Nasazlıq domenləri: bir link (TI-LFA), bir müstəvi (P1 və ya P2 bütövlükdə - ikinci müstəvi bütün yükü daşıyır), bir RR (ikinci RR eyni marşrutları əks etdirir). Layihədə yeganə tək nasazlıq nöqtəsi var və riskdə qeyd olunub: ASBR1; ikinci ASBR növbəti fazada əlavə olunur və o vaxta qədər AS 65001 ilə birləşmənin ehtiyatı yoxdur.
Metrikalar əsas yol müəyyən olsun deyə təyin edilir: PE-P1 = 20, PE-P2 = 25, P1-P2 = 10, ASBR-P = 20 və ya 25, RR-P = 50. PE1 - PE2 əsas yolu P1 üzərindən (40), ehtiyat yol P2 üzərindən (50) gedir. Müstəvilər bərabər olsaydı, trafik ECMP ilə gedərdi, link sıradan çıxanda axınların yarısı üçün TI-LFA lazım olmazdı və mühafizənin qurulduğu şeyi məhz yoxlamazdınız.
Ünvanlama, SID və MTU
Hər qovşağın Loopback0 ünvanı 10.255.0.<id>/32-dir; eyni id-dən NET (49.0001.0100.2550.<id4>.00) və Prefix-SID indeksi alınır: label = 16000 + indeks. Linklər 10.0.0.0/24-dən /30-dur (RFC 3021-in /31 formatı ünvana qənaət edir, lakin dörd platformada eyni dəstəklənmir və ümumi şablonları pozur). Bütün qovşaqlarda vahid SRGB 16000-23999 ona görə lazımdır ki, layihədə SR policy-lər mütləq label-lərlə yazılır (16012, 16002): fərqli SRGB-lərdə bu siyahılar işləmir. 15000-15999 diapazonu lokal label-lər üçün ehtiyatdadır və SRGB ilə kəsişmir. Nüvənin MTU-su 1600-dür: 1500 IP + xidmət label-i 4 + 6-ya qədər nəqliyyat label-i (TI-LFA və ya SR policy steki) 24 = L3VPN üçün 1528, EVPN üçün isə Ethernet kadrı 1514 + 4 + 24 + control word 4 = 1546.
RR, RD/RT və xidmətlər
RR1 və RR2 ortaq cluster-id 100 daşıyır: klient eyni marşrutu iki RR-dən alır, döngü isə klaster siyahısı ilə istisna olunur. RR VRF olmadan işləyir, ona görə üzərində RT filtri söndürülür (Cisco-da no bgp default route-target filter, Huawei-də undo policy vpn-target). RD hər PE-də hər VRF üçün unikaldır ki, PE əlavə olunanda və multipath işləyəndə müxtəlif PE-lərin marşrutları birləşməsin; RT xidmətin topologiyasını müəyyən edir. B müştərisi (Inter-AS Option B) üçün RT 65000:200 ASBR1-də VRF olmadan saxlanılır - ASBR VPN marşrutlarını lokal idxal olmadan saxlamalıdır (retain route-target); C üçün EVPN-MPLS seçilib, VPLS yalnız köhnə PE-lər üçün qalır.
QoS, BNG, monitorinq və təhlükəsizlik
Siniflər: EF/DSCP 46 -> TC 5 (prioritet 10%), AF41 -> TC 4 (20%), AF31 -> TC 3 (30%), CS6 -> TC 6 (idarəetmə protokolları, 5% zəmanət), qalanı TC 0. Tunel modeli Short-Pipe: CE istiqamətində çıxışda növbə müştərinin DSCP-sinə görə seçilir. BNG - PE3: abunəçilər VRF SUBS-da (RT 65000:500), pool 100.64.1.0/24, 198.51.100.0/28 daxilində NAT444, RADIUS 10.255.0.50. Monitorinq: syslog, SNMP traps, IPFIX və gRPC telemetriya 10.255.0.60 ünvanına, avtomatlaşdırma 10.255.0.200-dən. Təhlükəsizlik: bütün qovşaqlarda CoPP, birləşmələrdə maximum-prefix, ASBR-də filtrlər, IS-IS və BGP autentifikasiyası.
