Δύο κυκλώματα, ένας router. DMVPN διπλού cloud που χρησιμοποιεί και τις δύο γραμμές

Τα περισσότερα υποκαταστήματα με δύο WAN κυκλώματα χρησιμοποιούν το ένα. Το δεύτερο κάθεται ως εφεδρικό, πληρώνεται κάθε μήνα και δοκιμάζεται μόνο όταν αποτύχει το πρώτο, που είναι και η πρώτη φορά που μαθαίνει κανείς αν το failover δουλεύει πραγματικά. Με DMVPN και BGP μπορείτε να τρέχετε και τα δύο κυκλώματα συνεχώς, να κάνετε failover μεταξύ τους χωρίς να το σκέφτεστε, και να αποδείξετε ότι και τα δύο μεταφέρουν κίνηση. Να η μέθοδος.

Μια γρήγορη υπενθύμιση για το DMVPN

Τρέχουμε BGP πάνω από DMVPN (mGRE, NHRP, IPsec), ώστε η προσθήκη ή η απώλεια ενός site να είναι γεγονός δρομολόγησης και όχι αναδιαμόρφωση.

Ο συνηθισμένος σχεδιασμός για πλεονασμό είναι δύο hubs σε ένα cloud. Αυτό προστατεύει από την αποτυχία ενός hub. Δεν κάνει τίποτα για ένα spoke με δύο κυκλώματα, γιατί το μοναδικό tunnel interface του spoke πηγάζει από το ένα από αυτά.

Ο σχεδιασμός διπλού cloud

Η λύση είναι ένα δεύτερο, ανεξάρτητο DMVPN cloud, που πηγάζει από το δεύτερο κύκλωμα. Η συνηθισμένη αντίρρηση είναι ότι σημαίνει νέες δημόσιες διευθύνσεις, νέους κανόνες firewall και νέα διαμόρφωση hub. Δεν χρειάζεται, αν διαχωρίσετε τα clouds με ένα tunnel key. Το GRE μεταφέρει το key στο header του, άρα το hub μπορεί να τερματίσει δύο multipoint tunnels στο ίδιο φυσικό interface και στην ίδια δημόσια διεύθυνση και πάλι να τα ξεχωρίζει.

Στο hub, το δεύτερο cloud είναι αντίγραφο του πρώτου με δικό του tunnel subnet, NHRP network ID και key:

interface Tunnel1
 ip address 10.10.1.1 255.255.255.0
 ip nhrp network-id 1
 ip nhrp authentication <secret>
 ip nhrp redirect
 tunnel source GigabitEthernet0/0/0
 tunnel mode gre multipoint
 tunnel key 1
 tunnel protection ipsec profile DMVPN-PROF shared
!
interface Tunnel2
 ip address 10.10.2.1 255.255.255.0
 ip nhrp network-id 2
 ip nhrp authentication <secret>
 ip nhrp redirect
 tunnel source GigabitEthernet0/0/0
 tunnel mode gre multipoint
 tunnel key 2
 tunnel protection ipsec profile DMVPN-PROF shared

Η λέξη-κλειδί shared στο protection profile έχει σημασία όταν δύο tunnels μοιράζονται πηγή: χωρίς αυτήν, τα IPsec security associations των δύο tunnels συγκρούονται.

Στο spoke, το Tunnel1 πηγάζει από το πρώτο κύκλωμα και το Tunnel2 από το δεύτερο, καθένα δείχνοντας στην ίδια διεύθυνση hub με το δικό του key. Τίποτα δεν αλλάζει για κανένα άλλο spoke.

Κάντε τη δρομολόγηση να χρησιμοποιεί και τα δύο

Δύο tunnels σάς δίνουν δύο BGP sessions προς το hub, και επομένως δύο διαδρομές προς κάθε προορισμό. Από προεπιλογή το BGP εξακολουθεί να διαλέγει μία. Δύο ρυθμίσεις το αλλάζουν:

router bgp 65010
 address-family ipv4
  maximum-paths 2
  maximum-paths ibgp 2

Και τα δύο sessions πρέπει να καταλήγουν στον ίδιο πίνακα δρομολόγησης ώστε οι διαδρομές να είναι πραγματικά ισότιμες. Μετά βεβαιωθείτε ότι το hash προώθησης απλώνει flows και όχι ολόκληρα ζεύγη πηγής και προορισμού. Ένα hash που περιλαμβάνει θύρες layer 4 βάζει παράλληλα flows ανάμεσα στους ίδιους δύο hosts σε διαφορετικά κυκλώματα, που είναι αυτό που θέλετε για backups και replication:

ip cef load-sharing algorithm include-ports source destination

Αποδείξτε το, μην το υποθέτετε

Το show ip route που δείχνει δύο next hops αποδεικνύει ότι το multipath είναι διαμορφωμένο. Δεν αποδεικνύει ότι η κίνηση χρησιμοποιεί και τα δύο κυκλώματα. Η μόνη αποδεκτή απόδειξη είναι ένα throughput test με αρκετά παράλληλα flows που πετυχαίνει σε κάθε κατεύθυνση περισσότερα απ' όσα θα μπορούσε να μεταφέρει το καθένα κύκλωμα μόνο του, ενώ παρακολουθείτε τους μετρητές και στα δύο φυσικά interfaces να ανεβαίνουν μαζί:

iperf3 -c <far-end> -P 8 -t 60
iperf3 -c <far-end> -P 8 -t 60 -R
show interfaces GigabitEthernet0/0/1 | include rate
show interfaces GigabitEthernet0/0/2 | include rate

Αν το ένα interface κάνει όλη τη δουλειά, κοιτάξτε το hash και το αν και οι δύο διαδρομές BGP είναι πραγματικά εγκατεστημένες.

Διαστασιολογήστε από το crypto engine, όχι από την άδεια

Κάθε router έχει ένα αδειοδοτημένο throughput και ένα πραγματικό όριο κρυπτογράφησης, και τα δύο δεν είναι το ίδιο. Το όριο εξαρτάται από το crypto hardware, τα μεγέθη πακέτων και το πόσα άλλα κάνει ο router. Μετρήστε το με ρεαλιστική κίνηση, όχι με το καλύτερο δυνατό μέγεθος πακέτου από ένα datasheet, και διαστασιολογήστε με βάση αυτό που μετρήσατε.

Στο backbone μας αυτή η μετρημένη τιμή είναι περίπου 11 Gbit/s κρυπτογραφημένης κίνησης ανά hub. Όταν ένας πελάτης χρειάζεται περισσότερα μεταξύ sites, δεν περιμένουμε ένα μεγαλύτερο κουτί: απλώνουμε την κίνηση σε περισσότερα hubs με equal-cost multipath, που ανεβάζει την κρυπτογραφημένη χωρητικότητα στα 30 έως 40 Gbit/s. Η ίδια αρχή που κάνει ένα υποκατάστημα να χρησιμοποιεί και τα δύο κυκλώματά του κάνει ένα backbone να χρησιμοποιεί όλα τα hubs του.

Χρησιμοποιούμε virtual routers για ήσυχα sites και hardware routers για τα πολυάσχολα.

Πλεονάζοντα hubs που δεν μπαίνουν στη μέση

Ένα standby hub πρέπει να είναι ήσυχο μέχρι να χρειαστεί. Δώστε του δικό του BGP AS ή μια εσκεμμένα χαμηλότερη προτίμηση εξόδου ώστε τα spokes να προτιμούν τον primary, και χρησιμοποιήστε BFD στα tunnels ώστε ένας νεκρός primary να εντοπίζεται σε δευτερόλεπτα και όχι στο BGP hold timer. Τα spokes κάνουν τότε failover μόνο με δρομολόγηση. Κανείς δεν αγγίζει router υποκαταστήματος επειδή άλλαξε ένα hub.

Μια λίστα ελέγχου για το δικό σας WAN

• Χρησιμοποιεί κάθε site με δύο κυκλώματα και τα δύο, και μπορείτε να το δείξετε με throughput test;
• Είναι τα δύο clouds διαχωρισμένα με tunnel key, με shared IPsec protection;
• Είναι ενεργοποιημένο το BGP multipath και περιλαμβάνει το hash προώθησης τις θύρες;
• Τρέχει BFD σε κάθε tunnel;
• Ξέρετε το μετρημένο όριο κρυπτογράφησης ανά hub, όχι το αδειοδοτημένο;
• Θα απαιτούσε μια αποτυχία hub να αγγίξετε έστω ένα spoke;

Τρέχουμε αυτόν τον σχεδιασμό στα datacenters μας σε Αθήνα, Άμστερνταμ και Τορόντο, με πλεονάζοντα hubs σε καθένα, και χτίζουμε το ίδιο για πελάτες που θέλουν τα δικά τους γραφεία συνδεδεμένα με την πλατφόρμα τους. Αν θέλετε βοήθεια στον σχεδιασμό του δικού σας, θα χαρούμε να μιλήσουμε.

Μιλήστε με έναν μηχανικό

Related

Σχετικά: Κρυπτογραφημένο backbone πολλών sites: το DMVPN mesh · Ιδιωτική διασύνδεση: VPN gateways και μισθωμένες γραμμές · Παρακολούθηση δικτύου και τεκμήρια