MPLS VPN.

... konulu sunumlar: "MPLS VPN."— Sunum transkripti:

1 MPLS VPN

2 PE-CE Routing

3 RIP VRF konfigurasyonu yeni bir adres family altında yapılmaktadır. Burada dikkat edilmesi gerek global RIP konfigurasyonu altında uygulanan bazı komutlar (passive-interface, version) alt adres aileleri yani vrflere’de uygulanır. Yani bir interface global konfigde pasive interface yapılmış ise vrf altındada pasif olur. Router(config)# router rip Router(config-router)# version 2 Router(config-router)# timers basic Router(config-router)# redistribute connected Router(config-router)# network Router(config-router)# default-metric 10 Router(config-router)# no auto-summary Router(config-router)# Router(config-router)# address-family ipv4 vrf abc Router(config-router-af)# timers basic Router(config-router-af)# redistribute connected Router(config-router-af)# network Router(config-router-af)# default-metric 5 Router(config-router-af)# no auto-summary Router(config-router-af)# version 2 Router(config-router-af)# exit-address-family

4 RIP RIP metriği yani hop count PE’ler arasında BGP MED communitisi ile taşınır. Yani PE’nin diğer PE’lerden duyduğu RIP routelarını CE’ye anons ederken ya default metric kullanır veya metric transparent komutu ile metric değeri korunur. CE’ler arasında backdoor link olması durumunda metriğin taşınması gerekebilir. CE CE CE CE Hop count 2 Default metric 6 Hop count 2 Default metric 3 PE PE PE Redistribute bgp metric 6 PE Redistribute bgp transparent BGP update BGP update

5 EIGRP MPLS VPN için EIGRP’de de ayrı bir adress family kullanımı vardır. AS numarası her vrf için AS number komutu ile belirtilmelidir. Her site için farklı AS numarası kullanılabilir. Fakat bu sitelar arasında backdoor kullanılması durumunda sorun oluşturabilir. Farklı site’ların routeları bir birlerine D EX olarak anons edilir. Fakat backdoordan bu routeları D olarak duyabilir ve backdoor’u best path seçebilir. PE’ler arası route özellikleri (AS ve metric) BGP extended community ile taşınır. AS numarasının sitelar’da aynı kullanılması durumundada backdoor link cost’u ve PE link cost’una dikkat edilmelidir. Cost show ip bgp vpn4 all ile bakıldığınde pre-best path ile görünen kısımdır. Eğer cost değerinin sitelar arasında önemsiz olması istenitor ise site’lar farklı AS’lerde olmalıdır. AS’lerin aynı olması durumunda BGP EIGRP redist edilirken kullanılan default metriklerin bir önemi yoktur (redist bgp x metic ). AS’ler aynı ise remote PE’den gelen route sanki local miş gibi algılanır. AS 37 AS 68 CE CE EIGRP Route Type D EIGRP Route Type D EX BGP Redistribution to EIGRP PE PE BGP

6 EIGRP AS 37 AS 68 CE CE PE PE BW Delay EIGRP AS number
/24 is subnetted, 5 subnets D EX [170/ ] via , 00:00:11, FastEthernet1/0 router eigrp 37 network auto-summary router eigrp 68 network auto-summary AS 37 AS 68 CE CE router eigrp 1 auto-summary ! address-family ipv4 vrf VPN_A redistribute bgp 1 metric network no auto-summary autonomous-system 37 exit-address-family! router eigrp 1 auto-summary ! address-family ipv4 vrf VPN_A network no auto-summary autonomous-system 68 exit-address-family ! PE PE R6#show ip eigrp vrf VPN_A 68 topologyIP-EIGRP Topology Table for AS(68)/ID( ) Routing Table: VPN_ACodes: P - Passive, A - Active, U - Update, Q - Query, R - Reply, r - reply Status, s - sia Status P /24, 1 successors, FD is via (156160/128256), FastEthernet1/1 R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /24, version 5Paths: (1 available, best #1, table VPN_A) Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric , localpref 100, valid, internal, best Extended Community: RT:1:1 Cost:pre-bestpath:128: x8800:32768: x8801:68: x8802:65281: x8803:65281: mpls labels in/out nolabel/24 BW Delay EIGRP AS number

7 EIGRP AS 37 AS 68 CE CE PE PE Metric taşınıyor
R7#show ip route eigrp /24 is subnetted, 5 subnets D [90/158720] via , 00:00:05, FastEthernet1/0D [90/33280] via , 00:00:05, FastEthernet1/0D [90/30720] via , 00:00:05, FastEthernet1/0 router eigrp 37 network auto-summary router eigrp 37 network auto-summary AS 37 AS 68 CE CE router eigrp 1 auto-summary ! address-family ipv4 vrf VPN_A redistribute bgp 1 metric network no auto-summary autonomous-system 37 exit-address-family! router eigrp 1 auto-summary ! address-family ipv4 vrf VPN_A network no auto-summary autonomous-system 37 exit-address-family ! PE PE R6#show ip eigrp vrf VPN_A 68 topologyIP-EIGRP Topology Table for AS(68)/ID( ) Routing Table: VPN_ACodes: P - Passive, A - Active, U - Update, Q - Query, R - Reply, r - reply Status, s - sia Status P /24, 1 successors, FD is via (156160/128256), FastEthernet1/1 R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /24, version 5Paths: (1 available, best #1, table VPN_A) Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric , localpref 100, valid, internal, best Extended Community: RT:1:1 Cost:pre-bestpath:128: x8800:32768: x8801:37: x8802:65281: x8803:65281: mpls labels in/out nolabel/24 Metric taşınıyor Karşı tarafın AS numarası

8 EIGRP AS 37 AS 68 CE CE PE PE Cost Metric ile taşınıyor.
router eigrp 37 network auto-summary AS 37 AS 68 CE CE PE PE show bgp vpnv4 unicast all BGP table version is 9, local router ID is Status codes: s suppressed, d damped, h history, * valid, > best, i - internal, r RIB-failure, S Stale Origin codes: i - IGP, e - EGP, ? - incomplete Network Next Hop Metric LocPrf Weight Path Route Distinguisher: 1:1 (default for vrf VPN_A) *>i / ? *> / ? *>i / ? *> / ? Cost Metric ile taşınıyor.

9 EIGRP AS 37 backdoor AS 37 AS 37 CE CE PE PE
CE’ler arasında bir backdoor link olması durumunda burada, PE’ler karşı tarafın routeları EIGRP tekrar anons ederler ve AS numaraları aynı olduğu sürece bu route’lar D olarak görülür. Dolayısı ile CE’lerin bir birleri arası trafiğinin backdoor link’I kullanmaması için PE’den gelen routeların cost değerleri ile oynamak gerekebilir. Veya basit’ce backdoor linkin cost’u yükseltilir.

10 EIGRP Site Of Origin AS 37 backdoor AS 37 AS 37 CE CE PE PE
Backdoor link’in kullanılması durumunda PE’ler arasında geçmesi gereken traffic site’lara doğru kayabilir. Veya mutual-redistribution’dan dolayı routing looplar oluşabilir. Bunun için SOO özelliği kullanılabilir. SOO ile PE’de inbound yönünde gelen routelara bir bgp extended communit’i atanır. Eğer CE tarafından bu soo com ile route gelir ise dikkat’e alınmaz. Yani tekrar BGP’ye redist etmez (tabi redistribution konfigure edilmiş ise).

11 EIGRP Site Of Origin Site of Origin Extended community PE’nin route duyduğu site’ı belirlemesine yarar. PE’ye inbound yönünde uygulanır. Burada kullanılan extended community ile aynı olan bir route site’den alır ise kullanmaz (Tabi başla bir PE BGP komşusundanda alır ise ve SOO aynı ise bunuda EIGRP göndermez). Point of Insertion backdoor hatların kullanıması durumunda kullanılışlıdır. EIGRP’den BGP ye gönderilen routelarda metriğin korunmasını ayrıca BGP best path selection sırarında bunu göz önüne almaya sağlar.

12 OSPF PE – CE arasında OSPF kullanılması için ayrı bir OSPF process yaratılmalı ve o VRF ile ilişkilendirilir. router ospf 1 vrf XYZ gibi. OSPF kullanılırken dikkat edilmesi gereken sorun, BGP’den OSPF redistribution edilirken oluşan LSA’ler ve tipleri, aynı zamandada routing loopları önlemek için kullanılan down biti uygulamasıdır. CE CE PE PE

13 OSPF Site’lar arasındaki OSPF route’lar BGP ile taşınırken, bazı özelliklerininde taşınması gerekir. Bunlar söz konusu LSA ait, type originator router ID ve ospf domain-id’dir. Default olarak domain-id, PE üzerinde söz konusu site için yaratılan ospf process id dir. Fakat manul olarakda değiştirilebilir. Domain-id söz konusu LSA’in tekrar OSPF anons edilmesi sırasında LSA tipinin ne olacağını belirler. PE ler arasında OSPF domain’ni müşteri OSPF domain’nine bir superbackbone, area 0 gibi görünür. Fakat route’lar her zaman O IA. Yani sitelar ile area 0 bile konusulsa diger sitelerın routelar IA olur. CE CE PE PE

14 OSPF Process id’ler PE lerde aynı
router ospf 1 log-adjacency-changes network area 0 network area 0 router ospf 1 log-adjacency-changes network area 0 network area 0 CE CE O IA /32 [110/2] via , 00:02:37, FastEthernet1/0 Route tipi E2 router ospf 1 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 PE PE router ospf 1 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 1 vrf VPN_A router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 1 vrf VPN_A R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /32, version 116 Paths: (1 available, best #1, table VPN_A) Flag: 0x820 Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric 2, localpref 100, valid, internal, best Extended Community: SoO:1:1 RT:1:1 OSPF DOMAIN ID:0x0005:0x OSPF RT: :2:0 OSPF ROUTER ID: :0 mpls labels in/out nolabel/26

15 OSPF Process id’ler PE lerde farklı
router ospf 1 log-adjacency-changes network area 0 network area 0 router ospf 1 log-adjacency-changes network area 0 network area 0 CE CE O E /32 [110/2] via , 00:02:37, FastEthernet1/0 Route tipi E2 router ospf 1 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 PE PE router ospf 2 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 1 vrf VPN_A router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 2 vrf VPN_A R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /32, version 116 Paths: (1 available, best #1, table VPN_A) Flag: 0x820 Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric 2, localpref 100, valid, internal, best Extended Community: SoO:1:1 RT:1:1 OSPF DOMAIN ID:0x0005:0x OSPF RT: :2:0 OSPF ROUTER ID: :0 mpls labels in/out nolabel/26 area = Lsa type 2 LSA type 5 olması durumunda E1/E2 veya N1 N2 olup olmadığı

16 OSPF Process id’ler PE lerde farklı domain-id’ler aynı
router ospf 1 log-adjacency-changes network area 0 network area 0 router ospf 1 log-adjacency-changes network area 0 network area 0 CE CE O IA /32 [110/2] via , 00:02:37, FastEthernet1/0 Route tipi E2 router ospf 1 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 PE PE router ospf 2 vrf VPN_A log-adjacency-changes redistribute bgp 1 subnets network area 0 router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 1 vrf VPN_A router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 2 vrf VPN_A match internetl external R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /32, version 146Paths: (1 available, best #1, table VPN_A)Flag: 0x820 Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric 2, localpref 100, valid, internal, best Extended Community: SoO:1:1 RT:1:1 OSPF DOMAIN ID:0x0005:0x OSPF RT: :2:0 OSPF ROUTER ID: : mpls labels in/out nolabel/30 area = Lsa type 2 LSA type 5 olması durumunda E1/E2 veya N1 N2 olup olmadığı

17 OSPF Sham Link and backdoor link between site’s
Daha önceki sunumlardada görüldüğü gibi, process-id veya domain-id aynı olasun veya olmasın siteların routeları bir birlerine type 3 veya type 5 olarak görünür. Sitelar arasında bir backdoor kullanılması durumunda MPLS networkü hiç bir zaman seçilemez. Çünkü backdoordan duyalacak routelar type 2 olacakdır ve her zaman intra are routelar ustundur. Bunu düzenlemek için PE’ler arasında ospf sham link kullanılır. Tabi sham linkin sitelardaki ospf alanları ile aynı alanda olması gerekir, yoksa site routeları yine IA olarak görünür. type 2 type 2 type 2 type 2 CE CE CE CE type 2 type 2 PE PE PE PE Type 2 Type 3 Sham link for site’s area’s PE’ler diper site’lara local linklerinden gider type 2 type 3 tercih edilir

18 OSPF sham link CE CE Route tipi E2 PE PE
router ospf 1 log-adjacency-changes network area 1 network area 1 router ospf 1 log-adjacency-changes network area 1 network area 1 CE CE O /32 [110/2] via , 00:02:37, FastEthernet1/0 Route tipi E2 router ospf 2 vrf VPN_A domain-id log-adjacency-changes area 1 sham-link redistribute bgp 1 subnets network area 1 network area 1 PE PE router ospf 2 vrf VPN_A domain-id log-adjacency-changes area 1 sham-link redistribute bgp 1 subnets network area 1 network area 1 router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 1 vrf VPN_A router bgp 1 address-family ipv4 vrf VPN_A redistribute ospf 2 vrf VPN_A match internetl external R3#show ip bgp vpnv4 all BGP routing table entry for 1:1: /32, version 146Paths: (1 available, best #1, table VPN_A)Flag: 0x820 Not advertised to any peer Local (metric 30) from ( ) Origin incomplete, metric 2, localpref 100, valid, internal, best Extended Community: SoO:1:1 RT:1:1 OSPF DOMAIN ID:0x0005:0x OSPF RT: :2:0 OSPF ROUTER ID: : mpls labels in/out nolabel/30 area = Lsa type 2 LSA type 5 olması durumunda E1/E2 veya N1 N2 olup olmadığı

19 BGP PE – CE arasında EBGP kullanımlası durumunda BGP altındaki ipv4 adress family altında karşı CE komşuluğu tanımlanır. Buradaki sorun site’lar arasındaki routeların geçişindedir. Bir site route diğer site gittiğinde default olarak drop olur çünkü kendi AS numarasını AS Path listesinde görür (default BGP loop preventation). Bunu aşmak için iki yol vardır. 1 – CE ‘ler üzerinde kendi AS kabul etmesini sağlıyan allows-in komutunu 2 – PE’ler üzerinde as-override ile as path manupule etmek. AS 100 AS 100 CE CE Buradaki CE bu update drop eder cunku kendi AS numarası AS path listesinde vardır. PE PE

20 BGP Allows-in AS 100 AS 100 CE CE Allows in PE PE

21 BGP As-override AS 100 AS 100 CE CE Allows in PE PE
*> / *> / PE PE