Amaç
İki siteyi doğrudan değil, bir merkez (hub) üzerinden haberleştiren VPN tasarımını, route-target’larla (100:1 / 200:1) nasıl kurulduğunu anlamak.
Mimari
PE1 ve PE2 spoke VRF’lerinde 100:1 export, 200:1 import eder. Hub PE’de (PEH) iki VRF vardır: HUB-IN yalnızca 100:1 import eder (spoke rotalarını alır ve hub CE’sine iletir), HUB-OUT yalnızca 200:1 export eder (hub CE’sinden gelen toplu rotayı spoke’lara verir). Hub CE’si (CEH) iki ayrı linkle PEH’e bağlanır; spoke’tan spoke’a giden paket CEH üzerinden dönerek gider. Underlay: OSPF + LDP; PEH–PE1 ve PEH–PE2 arasında MP-BGP VPNv4 (spoke PE’ler birbiriyle komşu değildir). Platform: Huawei VRP.
Topoloji
IP planı
| Cihaz | Loopback / LAN | Adresler | Not |
|---|---|---|---|
| CEH | LAN 192.168.0.1/24 | 10.10.10.2/30 (IN), 10.10.11.2/30 (OUT) | - |
| PEH | 1.1.1.1/32 | 10.10.10.1/30 (HUB-IN), 10.10.11.1/30 (HUB-OUT) | 10.1.12.1/30 (P) |
| P | 2.2.2.2/32 | 10.1.12.2, 10.1.23.1, 10.1.24.1 | - |
| PE1 | 3.3.3.3/32 | 10.1.23.2/30 (P) | 10.10.1.1/30 (CE1, VRF) |
| PE2 | 4.4.4.4/32 | 10.1.24.2/30 (P) | 10.10.2.1/30 (CE2, VRF) |
| CE1 | LAN 192.168.1.1/24 | 10.10.1.2/30 | default → PE1 |
| CE2 | LAN 192.168.2.1/24 | 10.10.2.2/30 | default → PE2 |
Görevler ve Canlı CLI
Aşağıdaki parlayan başlığa tıkla, laboratuvar açılsın. Solda cihaz terminalleri, sağda görevler var; bir görevi doğru yapınca yeşil tik yanar. Yanlış görevin üstüne tıklarsan neyin eksik olduğunu ve kısa bir ipucunu görürsün. İlerleme tarayıcında saklanır.
Kontrol soruları
- Hub-and-spoke yerine full-mesh L3VPN’de route-target tasarımı nasıl olurdu?
- PEH’de neden tek VRF yerine IN ve OUT olmak üzere iki VRF kullanıyoruz? Tek VRF olsaydı paket hubı atlar mıydı?
- Spoke’ların 100:1 export, 200:1 import etmesi hangi trafik akışını zorlar?
- Hub CE’sinde statik rotaların IN tarafına, OUT tarafına dönüş yolunun ise toplu rotaya bakmasının nedeni nedir?
- Full-mesh’te tüm site VRF’leri aynı RT’yi hem export hem import eder (örneğin hepsi 100:1). Böylece her site diğer tüm sitelerin rotalarını öğrenir ve trafik doğrudan siteler arasında akar. Hub-and-spoke’ta ise spoke’lar yalnızca hub’ın rotalarını import eder (farklı RT’lerle), bu yüzden spoke’lar birbirini göremez.
- Tek VRF hem spoke rotalarını import edip hem hub’a ait toplu rotayı export etseydi, PEH spoke’tan gelen paketi en spesifik rotayla doğrudan diğer spoke’a yollardı ve paket hub CE’sine (güvenlik duvarı gibi) hiç uğramazdı. İki VRF ile spoke trafiği önce OUT VRF’in toplu rotasıyla hub CE’ye gitmek zorunda kalır, CE’den dönünce IN VRF’te spesifik rotayla hedef spoke’a ulaşır.
- Spoke’lar kendi rotalarını 100:1 ile export eder; bunu yalnızca hub IN VRF’i import eder. Spoke’lar ise yalnızca hub OUT VRF’in 200:1 ile export ettiği toplu rotayı import eder. Spoke’lar birbirinin rotalarını hiç almadığı için, bir spoke’tan diğerine giden her paket toplu rotayı izleyerek hub’a gitmek zorundadır. Trafik hep spoke → hub → spoke biçiminde akar.
- Spoke’tan gelen paket, OUT VRF’in toplu rotasıyla CEH’e OUT linkinden ulaşır. CEH, spoke LAN’ları için statik rotaları IN linkine (10.10.10.1) yönlendirir; paket IN linkinden PEH’e girer ve IN VRF’te spesifik spoke rotasını bulup hedef spoke’a gider. Statik rotalar OUT tarafına yönlendirilseydi paket OUT VRF’in toplu rotasına takılıp tekrar CEH’e dönerdi ve döngü oluşurdu. IN/OUT ayrımı bu döngüyü önler.