MPLS L3 VPN BGP Allowas-In Sample Configuration(Cisco IOL)

1. MPLS L3 VPN BGP Allowas-In Sample Configuration 구성도

• 테스트 장비
  • 에뮬레이터 : EVE-NG
  • 라우터 : Cisco IOL I86BI_LINUX-ADVENTERPRISEK9-M, Version 15.5(2)T
• 위 구성도와 같이 Customer가 두 Site에 동일한 ASN을 사용할 때, eBGP Loop Mechanism에 따라 두 CE는 서로 NLRI 정보 학습 불가능
• 본 글은 CE 라우터에서 'allowas-in'을 사용하여 eBGP Loop Mechanism을 비활성화하여 NLRI 정보를 학습하는 것이 목표
  • 즉, eBGP Peer로부터 수신한 Update Message에 Local-AS가 있어도 Loop으로 인지하지 않는 것
• 해당 솔루션을 사용할 때, 반드시 Loop이 발생할 수 있는지 먼저 확인이 필요
  • Customer Site가 Multihome 구조이거나 Backdoor Link가 존재하는 경우 BGP SoO(Site of Origin) Community를 사용하여 Loop이 없는 토폴로지를 먼저 확보
• 본 글은 BGP Study 진행 시, 중요한 내용이 아니라고 생각되므로 넘어가도 무방

 

 

2. MPLS L3 VPN BGP Allowas-In Sample Configuration

1) MPLS L3 VPN and BGP Basic Configuration

• 해당 시나리오를 테스트하기 위해 MPLS L3 VPN을 설정하지만 MPLS VPN에 대한 내용은 나중에 학습해도 되며 현재는 eBGP Peer로부터 수신한 Update Message의 AS-Path에 Local-AS Number가 있으면 Loop로 인지한다는 것만 알아도 무방
• MPLS L3 VPN은 VRF가 기본적으로 동작하므로 VRF에 설정
• MPLS L3 VPN을 사용하기 위해 RD와 RT를 지정

 

• Customer와 연결될 Interface에 어떤 VRF가 사용될지 설정 후, Interface IP를 지정

 

• Label을 자동 분배하기 위해 NNI 구간에 LDP를 활성화

 

• PE2와 기본적인 MP-BGP Peer를 맺기 위한 설정
• PE2와 Community를 교환하기 위해 'send-community extended'설정
  • Cisco는 기본적으로 Community를 전달하지 않으므로 Community를 전달하기 위해 해당 설정이 필요
  • MPLS L3 VPN에 사용되는 Route-Target 값이 Community로 전달

 

• PE2도 PE1과 비슷하게 설정

 

• P 장비는 특별히 구성할 것이 없으며 NNI 부분에 LDP를 사용하기 위해 'mpls ip'만 입력

 

• Customer 장비는 Provider 망에서 MPLS L3 VPN을 사용하는지 관심이 없으므로 특별한 설정은 없으며 일반적인 BGP 설정만 진행

 

2) Customer eBGP Loop Verification

• CE 라우터 BGP 테이블에 4.4.4.4/32와 5.5.5.5/32 NLRI 정보가 있어야 하지만 현재 없을 것으로 예상
• 먼저 PE 라우터 BGP 테이블에 4.4.4.4/32와 5.5.5.5/32 NLRI 정보가 있다는 것을 확인

 

• PE 라우터는 Remote CE NLRI를 Local CE 라우터로 광고하고 있다는 것을 확인

 

• CE 라우터 BGP 테이블에 Local NLRI만 보유한 상태
• PE 라우터가 전송한 NLRI 정보를 거부한 이유를 알고 있지만 Debug를 통해 정확한 확인이 필요

 

• CE1은 PE1으로 Route-Refresh Message를 전송하여 NLRI를 다시 수신

 

• 예상대로 CE1 라우터는 AS-Path에서 Local-AS Number가 존재하여 해당 BGP Update를 거부

 

3) BGP Allowas-In Configuration

• CE1은 PE1으로부터 수신한 Update Message 중에 Local-AS Number를 가진 NLRI도 허용

 

• CE1 라우터에서 5.5.5.5/32 NLRI를 학습한 것을 확인

 

• CE2도 CE1과 동일하게 PE2로부터 수신한 Update Message 중에 Local-AS Number를 가진 NLRI를 허용

 

• CE1↔CE2 Ping 테스트 정상 확인