Сети Для Самых Маленьких. Микрорелиз №6. Mpls L3Vpn И Доступ В Интернет

Это означает, что где-то в сети провайдера вам придется настроить доступ из частной сети в публичную, а значит обеспечить пересечение маршрутной информации.

У всей этой непристойности есть свое имя - Утечка маршрута - маршруты перетекают из VRF в глобальную таблицу.

Название функционала говорит само за себя: прибегать к Route Leaking, особенно через статические маршруты, следует только в крайних случаях, потому что это жуткий костыль.

Все, что остается сделать провайдеру — это настроить маршрутизацию между VRF и глобальной таблицей.

Учитывая, что трансляция будет на CE, вам нужно выбрать только одну ветку, пусть это будет TARS_2 — вот у нас публичная сеть — 100.0.1.0/30.



Как видите, для этого теста нам понадобится что-то вроде Интернета и компьютер, которому необходим доступ туда.

В GNS есть такой замечательный объект как VPCS, который отлично подходит на эту роль.

На TARS_2 вам необходимо настроить NAT, ниже его конфигурация:

TARS_2(config)#interface Loopback0 TARS_2(config-if)#ip address 172.16.255.2 255.255.255.255 TARS_2(config)#interface FastEthernet0/0 TARS_2(config-if)#description To Linkmeup TARS_2(config-if)#ip address 100.0.1.2 255.255.255.252 TARS_2(config-if)#ip nat outside TARS_2(config)#interface FastEthernet0/1 TARS_2(config-if)#description To LAN TARS_2(config-if)#ip address 172.16.1.1 255.255.255.0 TARS_2(config-if)#ip nat inside TARS_2(config)#router bgp 64502 TARS_2(config-router)#network 172.16.1.0 mask 255.255.255.0 TARS_2(config-router)#network 172.16.255.2 mask 255.255.255.255 TARS_2(config-router)#neighbor 100.0.1.1 remote-as 64500 TARS_2(config)#ip nat inside source list 100 interface FastEthernet0/0 overload TARS_2(config)#access-list 100 deny ip 172.16.0.0 0.0.255.255 172.16.0.0 0.0.255.255 TARS_2(config)#access-list 100 permit ip 172.16.0.0 0.0.255.255 any

access-list 100 состоит из двух строк - первая запрещает трансляцию адресов для пакетов, идущих из своей сети в свою, расположенную на другом конце провайдера.

Вторая строка разрешает вещание только для адресов в своей сети.

Если вы вдруг напишете Permit ip Any Any, то BGP-сессия тут же сбросится с Ссылкаmeup_R3 .

Подробности настройки NAT описаны в пятая часть СДСМ .

Конфигурация Интернета:

Internet(config)#interface Loopback0 Internet(config-if)#ip address 101.0.0.101 255.255.255.255 Internet(config)#interface FastEthernet0/0 Internet(config-if)#description To linkmeup Internet(config-if)#ip address 101.0.0.1 255.255.255.252 Internet(config)#router bgp 64501 Internet(config-router)#network 101.0.0.0 mask 255.255.240.0 Internet(config-router)#neighbor 101.0.0.2 remote-as 64500 Internet(config)#ip route 101.0.0.0 255.255.240.0 Null0

Настройки BGP включены Интернет точно такие же, как были в Балаган-Телекоме в восьмой выпуск , мы просто позволили себе некоторую вольность с IP-адресами.

Интерфейс Loopback 0 на узле с именем Интернет представляет весь Интернет. Мы проверим пинг до него.

Настроен соответственно Ссылкаmeup_R1 связаться Интернет :

Internet(config)#interface FastEthernet1/1 Internet(config-if)#description To Balagan-Telecom Internet(config-if)#ip address 101.0.0.2 255.255.255.252 Internet(config)#router bgp 64500 Internet(config-router)#network 100.0.0.0 mask 255.255.254.0 Internet(config-router)#network 101.0.0.0 mask 255.255.255.252 Internet(config-router)#neighbor 101.0.0.1 remote-as 64501 Internet(config)#ip route 100.0.0.0 255.255.254.0 Null0

Что касается выхода в интернет из VPN, то в этом случае конфигурацию нужно менять только на ближайшем к CE PE - в нашем случае Ссылкаmeup_R3 .

1. Давайте создадим маршрут по умолчанию для VRF TARS. Это сделано для того, чтобы пакеты, приходящие от TARS_2 не были отброшены назад и знали, куда двигаться.

Linkmeup_R3(config)#ip route vrf TARS 0.0.0.0 0.0.0.0 101.0.0.2 global

Здесь следует обратить внимание на две вещи: Ключевое слово Глобальный .

Там написано, что Next Hop (101.0.0.2) надо искать в Глобальный таблица маршрутизации.

Адрес ссылки выбирается в качестве адреса следующего перехода.

Ссылкаmeup_R1 в сторону Интернета.

Почему бы не Loopback, как нам нравится? Это позволяет избежать так называемой черной дыры.

Дело в том, что шлейф доступен всегда, и если канал между нашим шлюзом выйдет из строя ( Ссылкаmeup_R1 ) и Интернет TARS_2 никак этого не заметит и продолжит слать трафик на Ссылкаmeup_R3 , а он, тоже ничего не подозревая, Ссылкаmeup_R1 .

Если мы укажем адрес ссылки, она исчезнет из таблиц маршрутизации, как только линия оборвется.

В результате предыдущей операции на Linkmeup_3 появляется маршрут по умолчанию:



2. Теперь его нужно сообщить клиенту, чтобы у него тоже был маршрут по умолчанию (хотя он мог бы его настроить и сам).

address-family ipv4 vrf TARS neighbor 100.0.1.2 default-originate

Результат:



Итак, маршруты там , то есть в интернете оно у нас уже есть, теперь что касается назад .

3. На Ссылкаmeup_R3 настроим статический маршрут для сети 100.0.1.0/30:

ip route 100.0.1.0 255.255.255.252 FastEthernet1/0

Зачем нам это надо? Логично иметь маршрут. Если пакет приходит из Интернета на Ссылкаmeup_R3 , и в глобальной таблице маршрутизации не будет маршрута к 100.0.1.0/30 ( в ВРФ он конечно будет ), пакет будет отброшен.

Был:



Маршрут есть, но его нет. Пакет не будет отброшен, но и не дойдет до получателя.

Стал:



4. Далее вам нужно сообщить об этой сети соседям BGP — о ней должны знать все.

В частности, нас интересует Ссылкаmeup_R1 .

На самом деле, вся магия происходит Ссылкаmeup_R3 , и знакомый эфир на TARS_2 , то есть эти вещи по большому счету не связаны между собой, и при наличии Интернета с TARS_2 , он будет доступен из ПК1 .

Однако мы проверим:



Интернет доступен.

Ура! Если вам интересно, давайте проследим, что происходит с пакетом на пути от ПК1 в Интернет. 1) Обычно пакет достигает шлюза по умолчанию — TARS_2 2) TARS_2 видит, что адрес назначения попадает только под маршрут по умолчанию, передает пакет на интерфейс FE0/0 на Ссылкаmeup_R3 .

В последний момент он замечает, что заголовок пакета полностью соответствует списку доступа (access-list 100) и транслирует локальный адрес 172.16.1.2 в 100.0.1.2. 3) Посылка прибудет в VRF TARS Ссылкаmeup_R3 , где снова попадает под маршрут по умолчанию, указывающий на адрес 101.0.0.2 из глобальной таблицы маршрутизации.

Уже с глобальной ТМ Ссылкаmeup_R3 знает, что 101.0.0.2 доступен через 1.1.1.1 и рекурсивно через 10.0.23.2. Более того, пакету присваивается метка 16. То есть после Ссылкаmeup_R3 Пакет уже пойдет через MPLS LSP.







Пакет между Linkmeup_R3 и Provier_R2 Обратите внимание, что тега VPN здесь нет — пакет мигрировал из VPN в публичную сеть.

4) Вкл.

Ссылкаmeup_R2 транспортная метка MPLS удаляется из пакета (это происходит PHP ) и дальше Ссылкаmeup_R1 чистый IP-пакет уже передается.

5) Этот чистый IP-пакет уходит с Ссылкаmeup_R1 В Интернет (BGP сообщил маршрут к сети 101.0.0.0/20) 6) Интернет знает маршрут до 100.0.0.0/23 также через BGP и передает пакет обратно.

7) Ссылкаmeup_R1 знает, что пункт назначения находится за 3.3.3.3 — помните, мы рекламировали эту сеть в BGP? Соответственно, через MPLS доходит Ссылкаmeup_R3 .

8) Сеть 100.0.1.0/30 находится в VRF TARS, но мы прописали ее статически в интерфейсе FE1/0. Таким образом, пакет благополучно передается на интерфейс.

9) Ну а дальше обратная трансляция TARS_2 и последняя миля до моего дома.

В данном случае у нас есть центральный узел, где все операции выполняются без необходимости каких-либо действий со стороны клиента.

Единственное неудобство заключается в том, что хотя ни один клиент не может быть напрямую подключен к Egress PE, этот маршрутизатор должен будет поддерживать все VRF, с которых ему необходим доступ в Интернет. Фактически, именно поэтому он поддерживает VRF. Выходное PE в нашем случае — Ссылкаmeup_R1 , который является шлюзом в Интернет для всей сети linkmeup — на других узлах дополнительных настроек нет совершенно.

Позволять ПК2 из электронной сети C3PO ( C3PO_2 ) хочет получить доступ к Интернету.

ПК1 от TARS’ Robotics не трогаем и оставляем без изменений — они с белыми адресами — это отдельная история, хотя их тоже можно назвать точно так же.

1) Итак, прежде всего о Ссылкаmeup_R1 должен быть VRF C3PO. Оно уже существует, но если бы его не было, то ему было бы необходимо существовать.

Для этого дополнительно придется явно выполнить команду Источник информации по умолчанию .

Чтобы этот маршрут был объявлен BGP, он должен присутствовать в таблице маршрутизации:

Linkmeup_R1(config)#ip route vrf C3PO 0.0.0.0 0.0.0.0 101.0.0.1 global

Сейчас сразу не получится, потому что я слегка соврал, когда сказал, что никаких настроек нигде, кроме интернет-шлюза, не потребуется.

Дело в том, что мы сгенерировали маршрут по умолчанию для VRF C3PO на Ссылкаmeup_R1 и передал его через BGP Ссылкаmeup_R3 , но тут он застрял, не дойдя C3PO_2 — вам нужно заставить OSPF объявить маршрут по умолчанию.

То же, что и в предыдущий раз, без явной команды Источник информации по умолчанию он не сделает этого:

Linkmeup_R3(config)#router ospf 2 vrf C3PO Linkmeup_R3(config-router)# default-information originate

Мы проверяем:



Было бы странно, если бы это не сработало.

Что происходит с пакетом? 1) От ПК2 до Ссылкаmeup_R3 он приходит без видимых изменений (меняется только заголовок MAC).

На ПК2 маршрут по умолчанию настраивается вручную.

На C3PO_2 изучается на OSPF от Ссылкаmeup_R3 .

2) На интерфейсе FE0/1 пакет поступает в VRF C3PO и получает служебный тег.

3) Маршрут по умолчанию в VRF импортируется из BGP и ведет к 1.1.1.1 через 10.0.23.2:



4) От Ссылкаmeup_R3 до Ссылкаmeup_R2 пакет проходит по MPLS с двумя метками: внутренняя служба — 27 и внешняя транспортная — 18. Это видно на скриншоте выше.

Ссылкаmeup_R1 Утечка маршрута происходит из VRF C3PO в глобальную таблицу — так пакет покидает VRF. Трансляция также происходит здесь.

Ссылкаmeup_R1 записывает информацию об этом факте в свою таблицу перевода для VRF C3PO:



6) Пакет идёт в интернет естественно без тегов MPLS и с публичным адресом отправителя - 101.0.0.2 в заголовке 7) Ответный пакет на Ссылкаmeup_R1 попадает через глобальную таблицу маршрутизации - интернет знает адрес 101.0.0.2. В этом узле происходит обратная трансляция.

Адрес назначения меняется на 192.168.2.2 и его нужно искать в C3PO VRF — так сказала таблица NAT. 8) А дальше процесс вам уже известен – две отметки, долгий путь до Ссылкаmeup_R3 и дальше, пока ПК2 .

Другой подход к предоставлению доступа в Интернет – выведение его на отдельный VRF. Строго говоря, он наиболее масштабируемый, поскольку нет необходимости настраивать что-то индивидуально для каждого клиента VRF. Важным условием является то, что в сети клиента происходит NAT и в VRF Internet импортируются только маршруты до публичных префиксов клиента.

Common Services, которые часто называют Shared Services, — это продолжение рассмотренного нами вопроса взаимодействия между VRF. ранее .

Основная идея заключается в том, что экспорт/импорт осуществляется с использованием специальной настройки маршрута-цели.

Только на этот раз нужно ограничить список передаваемых префиксов, чтобы не пересекать адресные пространства, и разрешить только публичные маршруты.

Давайте еще раз рассмотрим проблему на примере TARS, поскольку у них уже есть общедоступные сети.

На шлюзе создаем VRF Интернет.

Linkmeup_R1(config)#ip vrf Internet Linkmeup_R1(config-vrf)#rd 64500:1 Linkmeup_R1(config-vrf)#route-target import 64500:11 Linkmeup_R1(config-vrf)#route-target export 64500:22

Обратите внимание, что маршрут-цель для импорта и экспорта на этот раз отличается, и теперь станет понятно, почему.