L3 Услуга IPVPN: частная сеть клиента
Финал пути. Здесь всё, что мы учили по отдельности — VRF, BGP, RD/RT — собирается в одну реальную услугу. IPVPN (он же L3VPN) — это когда у клиента много офисов в разных городах, и оператор объединяет их в одну защищённую сеть, маршрутизируя трафик между ними по IP.
- Что такое IPVPN и чем он отличается от EPL
- Как VRF + BGP + MPLS работают вместе в одной услуге
- Полный путь пакета от офиса A к офису B
- Где здесь RD и RT (наконец-то на практике)
- Как читать состояние услуги в CLI
- Плейбук «офис не видит офис» — полная цепочка диагностики
- Чек-лист выпускника пути: что ты теперь умеешь
Урок 3: VRF — отдельная таблица маршрутов на клиента; RD делает адреса уникальными, RT раздаёт
их «своим»; все команды — с vrf ИМЯ. Урок 4: eBGP на стыке PE–CE приносит сети
клиента в его VRF; iBGP разносит маршруты между роутерами оператора; диагностика начинается с
show ip bgp … summary. Если что-то из этого звучит смутно — вернись, этот урок
стоит на них целиком.
1. Что такое IPVPN
IPVPN (IP Virtual Private Network, он же L3VPN или MPLS L3VPN) — услуга, в которой оператор объединяет несколько площадок клиента в единую частную IP-сеть и маршрутизирует трафик между ними. В отличие от EPL, здесь оператор активно участвует в L3: он держит маршруты клиента, знает его сети и решает, куда какой пакет отправить.
Три ключевых отличия от EPL сразу, чтобы уложилось:
| EPL (прошлый урок) | IPVPN (этот урок) | |
|---|---|---|
| Уровень | L2 — возит кадры | L3 — маршрутизирует пакеты |
| Топология | точка-точка (2 офиса) | любая, много офисов (3, 10, 100…) |
| Подсети офисов | одна общая | разные, оператор их знает и связывает |
| Оператор участвует в IP? | нет | да — держит VRF и BGP клиента |
| Что видит клиент | «один большой свитч» | «один большой роутер» между офисами |
IPVPN = корпоративная курьерская служба только для одной компании
У компании офисы по всей стране. IPVPN — как частная курьерская служба, которая возит документы только между офисами этой компании, знает адреса всех филиалов и строит маршруты. Чужие письма туда не попадают, а письма компании не утекают наружу. При этом одна и та же курьерская служба (оператор) обслуживает много компаний — но у каждой своя изолированная «сеть доставки» (VRF).
2. Из чего собран IPVPN — три знакомых компонента
Хорошая новость: ничего нового. IPVPN — это три уже изученных механизма, работающих в связке:
3. Путь пакета от офиса A к офису B
Проследим, что происходит, когда ПК в офисе A (10.1.0.5) шлёт пакет в офис B
(10.2.0.9):
4. Где здесь RD и RT — теперь на практике
Помнишь «страшные» RD и RT из урока про VRF? Вот их момент славы:
- RD делает сети клиента уникальными в транспорте. Если у «Ромашки» и у «Кактуса»
обе используют
10.1.0.0/24, RD (65000:1vs65000:2) превращает их в разные записи VPNv4 — не перепутаются на магистрали. - RT определяет, кто «свой». Все PE клиента «Ромашка» экспортируют и импортируют
RT
65000:100— так офис A, B и C узнают маршруты друг друга, но не видят «Кактус» с его RT65000:200.
VRF — изолирует клиента на роутере. RD — не даёт слипнуться одинаковым адресам в транспорте. RT — определяет, какие офисы клиента видят друг друга. MP-BGP — везёт всё это между PE. MPLS — физически доставляет пакет через магистраль. Вот и весь IPVPN.
5. Как читать состояние услуги
6. Плейбук: «офис A не видит офис B» — полная цепочка
Это самая частая заявка по IPVPN, и теперь у тебя есть знания для полного разбора. Пройди цепочку в этом порядке — она покрывает практически все случаи:
ping vrf ROMASHKA 10.1.0.1 (CE офиса A). Нет — плейбуки
уроков 1–2: порт, ARP, адреса. Дальше не иди, пока не оживёт.show ip route vrf ROMASHKA 10.2.0.0. Есть (буква B, via loopback
PE2) — иди к шагу 5. Нет — дальше.show ip bgp vpnv4 vrf ROMASHKA summary — сессия с CE офиса B
Established? PfxRcd > 0? Если нет — плейбуки урока 4 (сессия/объявления) на дальнем стыке.show run vrf ROMASHKA — RT export на PE2 должен
совпадать с RT import на PE1. Разные RT — классическая причина «всё настроено, а маршрутов нет».
Заодно проверь, жив ли iBGP между PE (show bgp vpnv4 unicast all summary).ping vrf ROMASHKA 10.2.0.9 source Gig0/1 — от имени ближнего офиса.
Не проходит при живых маршрутах — смотри транспорт (MPLS/MTU) и обратный маршрут: до 10.1.0.0/24
с PE2 тоже должен быть маршрут! Связь — это всегда два направления.7. Словарик урока
| Термин | По-английски | Смысл в одну строку |
|---|---|---|
| IPVPN / L3VPN | IP VPN, MPLS L3VPN | частная маршрутизируемая сеть офисов клиента поверх сети оператора |
| MP-BGP / VPNv4 | Multiprotocol BGP | «расширенный» BGP, который возит клиентские маршруты с RD/RT между PE |
| MPLS | MPLS | транспорт по меткам через магистраль — быстро и изолированно |
| Метка | label | короткий ярлык на пакете: «до какого PE» и «в какую VRF» |
| P-роутер | provider router | внутренний роутер магистрали — двигает метки, клиентов не знает |
| Full mesh / hub-and-spoke | — | топологии VPN: «все видят всех» / «все через центр» (игрой RT) |
8. Итог всего пути
Ты прошёл дорогу от «что такое IP-адрес» до реальных услуг оператора. Собери картинку целиком:
🔌 EPL — L2
- Возит кадры по MAC
- У оператора нет IP
- Два офиса, одна подсеть
- «Один длинный патч-корд»
🏢 IPVPN — L3
- Маршрутизирует пакеты по IP
- Оператор держит VRF+BGP клиента
- Много офисов, разные подсети
- «Один большой частный роутер»
🌍 IP access — L3
- Выход в Интернет
- Белые адреса, стык /30
- Статика или BGP
- «Съезд на общую трассу»
show ip route vrf, show bgp vpnv4, ping vrf.
В отличие от EPL (L2, без IP у оператора) здесь оператор — полноценный участник L3.
Главное отличие IPVPN от EPL в одном предложении?
EPL — это L2 (оператор возит кадры, офисы в одной подсети, у оператора нет IP), а IPVPN — это L3 (оператор маршрутизирует пакеты по IP, офисы в разных подсетях, оператор держит VRF и BGP клиента).
Какие три технологии собирают IPVPN вместе?
VRF (изоляция клиента), MP-BGP/VPNv4 (перенос маршрутов между PE) и MPLS (транспорт через магистраль). Плюс RD/RT как «ярлыки» на маршрутах.
Офис A не видит офис B, хотя оба настроены. Что часто виновато?
Несовпадение RT импорта/экспорта на разных PE, либо не поднялся eBGP с CE второго офиса. Проверяй маршрут в VRF, состояние BGP и совпадение RT.
Клиент хочет соединить 15 офисов в разных городах в одну сеть с маршрутизацией. Какая услуга?
IPVPN (L3VPN). EPL тут не подойдёт — он точка-точка и L2; для 15 маршрутизируемых площадок нужен именно L3VPN.
9. Чек-лист выпускника пути
Пройдись по списку честно. Каждый пункт — то, что реально спрашивают на работе и собеседовании:
Могу объяснить соседу-гуманитарию, что такое IP, маска и шлюз
Урок 1. Адрес устройства; граница «улица/квартира»; выход в другие сети. Плюс: /30 и /31 на стыках, loopback /32, серые и белые адреса, «сосед или чужой».
Знаю, что происходит между «ping 8.8.8.8» и первым ответом
Урок 2. Определение «чужая сеть» → ARP-запрос на шлюз → кадр шлюзу с IP получателя внутри → подмена MAC на каждом хопе. И умею читать show ip arp со всеми состояниями.
Не забываю «vrf ИМЯ» ни в одной команде при работе с клиентом
Урок 3. show ip route vrf, ping vrf, show ip arp vrf. Помню ловушку: vrf forwarding стирает IP с интерфейса. Могу объяснить RD и RT одной фразой каждый.
По show ip bgp summary за 10 секунд говорю, что с сессией
Урок 4. Число = ОК; Idle/Active — чини связность; OpenSent — сверяй AS; 0 префиксов — фильтры или network; флап — думай про MTU. И всегда: сначала ping, потом BGP.
Отличаю три услуги и знаю, что у каждой проверять
Уроки 5–7. IP access — L3-доступ в мир (порт → пинг → маршруты → сквозной трафик). EPL — L2-провод (PW UP? MAC ходят? MTU?). IPVPN — VRF+BGP+MPLS (маршрут в VRF → BGP на дальней стороне → RT → сквозной пинг).
Этот путь дал прикладной срез для работы. Следующий уровень глубины — трек «Сети передачи данных — для инженера»: там OSPF, STP, полный BGP с атрибутами выбора пути, MPLS изнутри, packet capture и troubleshooting уровня CCNA→CCNP. А если тянет в сторону Linux и автоматизации — начни параллельно Linux-трек: связка «сеть + Linux» — самый короткий путь в DevOps.