Características del servidor de rutas dinámicas

El servidor de enrutamiento dinámico para VPC incluye las siguientes características:

Intercambio dinámico de rutas

Establece sesiones d eBGP con pares externos, como routers, cortafuegos, dispositivos SD-WAN y puertas de enlace de tránsito, para aprender y anunciar dinámicamente las rutas de red.

Enrutamiento basado en políticas

Utiliza las políticas de enrutamiento que usted defina para controlar cómo se aprenden, se reflejan, se anuncian o se añaden las rutas a las tablas de enrutamiento de VPC.

Integración con Transit Gateway

Se integra con IBM Cloud® Transit Gateway como un nodo secundario de solo lectura mediante el uso de túneles GRE redundantes con eBGP, lo que permite el intercambio dinámico de rutas.

Alta disponibilidad

Respalda la instancia de servidor con uno o más miembros desplegados en distintas zonas de disponibilidad. Este diseño proporciona redundancia a nivel de dispositivo e intercambio continuo de rutas durante los fallos.

Direccionamiento estático

Añade dinámicamente rutas estáticas a las tablas de enrutamiento de VPC. A diferencia de las rutas estáticas tradicionales, estas rutas estáticas tienen en cuenta el estado de funcionamiento y se añaden o eliminan automáticamente en función del estado del grupo de pares del siguiente salto.

Caso de uso 1: Enrutar el tráfico a través de un único cortafuegos como siguiente salto

Puede utilizar un servidor de rutas dinámico para anunciar rutas a través de un único cortafuegos que actúe como dispositivo de siguiente salto para el tráfico de la VPC. El servidor de rutas dinámicas obtiene las rutas de los pares BGP y añade dinámicamente rutas con información sobre el estado a las tablas de enrutamiento de la VPC para dirigir el tráfico a través del cortafuegos con el fin de someterlo a inspección. Si el cortafuegos deja de estar disponible, las rutas asociadas se retiran para evitar que el tráfico se pierda en un agujero negro.

Un

Las direcciones IP, los rangos CIDR, los ASN y los nombres de recursos utilizados en este ejemplo tienen carácter meramente ilustrativo. Sustitúyelos por valores que se ajusten a tu entorno. Para realizar esta configuración, siga estos pasos:

1. Crea la infraestructura de VPC.

   1. Crear una VPC de perímetro con CIDR 10.240.0.0/16.
   2. Crea una subred en la VPC periférica para el servidor de rutas dinámicas y el cortafuegos, por ejemplo 10.240.0.0/24.
   3. Crear una VPC de carga de trabajo con CIDR 172.16.0.0/16.
   4. Crea una subred de carga de trabajo, por ejemplo 172.16.0.0/24.
   5. Configure los grupos de seguridad para permitir el tráfico BGP, BFD y cualquier otro tráfico específico adicional que sea necesario para el control del enrutamiento.

   Para obtener más información, consulta Introducción a Virtual Private Cloud(VPC) y Uso de la consola de IBM Cloud para crear recursos de VPC.

2. Configurar la conectividad de Direct Link y Transit Gateway

   1. Solicita una conexión Direct Link entre tu red local (10.0.0.0/16) y IBM Cloud.

      • Conecta la red local (10.0.0.0/16) a Direct Link.
      • Conecta la VPC de perímetro (10.240.0.0/16) a Direct Link.

   2. Crear una conexión de Transit Gateway.

      • Conecta la VPC de la carga de trabajo (172.16.0.0/16) a Transit Gateway.
      • Conecta la VPC de perímetro (10.240.0.0/16) a Transit Gateway.
      • Configure un filtro de prefijos de denegación de y 10.0.0.0/8 en 172.16.0.0/16 la conexión VPC perimetral.

   3. Comprueba que se hayan establecido las siguientes conexiones:

      • Red local a Direct Link
      • Edge VPC a Direct Link
      • VPC de carga de trabajo a Transit Gateway
      • Edge VPC a Transit Gateway

   Para obtener más información, consulta Introducción a IBM Cloud Direct Link y Creación de una pasarela de tránsito.

3. Aprovisionar las instancias de servidor virtual

   1. Asigna una dirección IP al 10.240.1.10 cortafuegos, FW-1.
   2. Activa el reenvío de direcciones IP en el cortafuegos.
   3. Asegúrate de que un host de tu red local (10.0.0.0/16) pueda enviar tráfico a través de Direct Link.
   4. Implementa un host de carga de trabajo en la VPC de la carga de trabajo con la dirección IP 172.16.0.10.

   Para obtener más información, consulta Creación de servidores virtuales para VPC.

4. Configurar el servidor de rutas dinámicas

   1. Crea una tabla de enrutamiento de entrada en la VPC periférica.
   2. Crea una interfaz de red virtual (VNI) en la subred VPC periférica.
   3. Asigna una dirección IP 10.240.0.4 al VNI.
   4. Asigne el VNI al servidor de rutas dinámicas y configure el ASN.
   5. Aprovisionar una instancia de servidor de rutas dinámicas.

   Para obtener más información, consulta Acerca de las tablas de enrutamiento y las rutas y Creación de un servidor de rutas dinámico.

5. Conecta el servidor de enrutamiento dinámico a Transit Gateway

   1. Asegúrese de que se establezca un túnel GRE entre el servidor de rutas dinámicas y Transit Gateway.
   2. Comprueba que se haya establecido el peering BGP.
   3. Comprueba que el servidor de enrutamiento dinámico obtenga el prefijo de la VPC de la carga de trabajo desde 172.16.0.0/16 la puerta de enlace de tránsito.

6. Configurar el grupo de pares del cortafuegos y la difusión de rutas

   1. Crea un grupo de pares de cortafuegos en el servidor de rutas dinámicas.
   2. Añade FW-1 (10.240.1.10) como par de siguiente salto y activa BFD en el par.
   3. Crea una política de grupo de pares de tipo tabla de enrutamiento VPC para el destino 172.16.0.0/16 con el siguiente salto 10.240.1.10.
   4. Crea una política de grupo de pares de tipo tabla de enrutamiento VPC para el destino 10.0.0.0/8 con el siguiente salto 10.240.1.10.
   5. Configura ambas políticas para añadir rutas a la tabla de enrutamiento de entrada de la VPC perimetral.

   Para obtener más información, consulta Cómo asociar un nodo a un grupo de nodos y Cómo crear una política de grupo de nodos.

7. Comprobar las actualizaciones de rutas

   1. Comprueba que la tabla de enrutamiento de entrada contenga los siguientes rangos CIDR:
      • 172.16.0.0/16 a 10.240.1.10
      • 10.0.0.0/8 a 10.240.1.10
   2. Comprueba que el servidor de rutas dinámicas anuncie ambas rutas.

8. Validar el flujo de tráfico y la conmutación por error

   1. Desde el servidor local, envía el tráfico al servidor de la carga de trabajo 172.16.0.10.
   2. Comprueba que el tráfico pase por el cortafuegos FW-1.
   3. Elimina la política de 172.16.0.0/16 y comprueba que se pierde la conectividad.
   4. Vuelve a crear la política y comprueba que se ha restablecido la conectividad.
   5. Detenga el cortafuegos FW-1 y compruebe que el servidor de rutas dinámicas retira las rutas añadidas.
   6. Reinicie el cortafuegos FW-1 y compruebe que las rutas se restablecen automáticamente y que se recupera la conectividad.

Esta configuración permite al servidor de enrutamiento dinámico dirigir el tráfico de forma dinámica a través de un único cortafuegos, al tiempo que retira automáticamente las rutas en caso de fallo del cortafuegos para evitar que el tráfico quede bloqueado.

Caso de uso 2: Enrutamiento del tráfico a través de dos cortafuegos con conmutación por error basada en prioridades

Puede utilizar un servidor de enrutamiento dinámico con dos dispositivos de cortafuegos en la misma zona de disponibilidad para proporcionar una ruta de tráfico activa y otra en espera. Cada cortafuegos se añade como un par de siguiente salto en el mismo grupo de pares con una prioridad diferente. El servidor de rutas dinámicas añade rutas a la tabla de enrutamiento de entrada de la VPC para ambos cortafuegos simultáneamente, pero la tabla de enrutamiento de la VPC utiliza el valor de prioridad numéricamente más bajo como ruta activa. Cuando el cortafuegos principal deja de estar disponible, el servidor de rutas dinámicas detecta el fallo a través de BFD y elimina la entrada de ruta principal. A continuación, la tabla de enrutamiento de la VPC utiliza automáticamente la entrada de ruta del cortafuegos en espera, que ya estaba presente, redirigiendo el tráfico sin necesidad de intervención manual. Cuando el cortafuegos principal se recupera, se restablece su entrada de ruta y el tráfico vuelve a la ruta principal.

Antes de configurar dos cortafuegos, completa la configuración de la infraestructura VPC, la pasarela de tránsito y el servidor de rutas dinámicas descrita en el caso de uso 1. A continuación, añade un segundo cortafuegos al mismo grupo de pares con un número de prioridad más alto.

Caso de uso 3: Implementación de cortafuegos en varias zonas de disponibilidad

Se puede utilizar un servidor de enrutamiento dinámico en una arquitectura multizona para mantener el direccionamiento del tráfico a través de los cortafuegos, incluso cuando toda una zona de disponibilidad quede fuera de servicio. En esta topología, los cortafuegos se implementan en dos o más zonas de disponibilidad y se añaden al mismo grupo de pares de siguiente salto con prioridades que tienen en cuenta la zona. Los cortafuegos de la zona principal reciben los números de prioridad más bajos y son los preferidos para el reenvío. Los cortafuegos de las zonas secundarias reciben números de prioridad más altos y sirven como solución alternativa entre zonas.

El servidor de rutas dinámicas añade simultáneamente entradas de ruta para todos los cortafuegos a la tabla de enrutamiento de entrada de la VPC. Siempre que el cortafuegos de la zona principal esté en buen estado, todo el tráfico utilizará el cortafuegos de esa zona. Si fallan todos los cortafuegos de la zona principal, el servidor de rutas dinámicas elimina esas entradas de ruta y la tabla de enrutamiento de la VPC comienza automáticamente a utilizar las entradas de prioridad inmediatamente inferior, que pertenecen a cortafuegos de otra zona. Cuando la zona principal se recupera, sus cortafuegos vuelven a funcionar como ruta activa.

La diferencia clave con respecto al caso de uso 2 es la ubicación de la zona. El caso de uso 2 utiliza dos cortafuegos en la misma zona para lograr redundancia dentro de la zona. En este caso de uso, los cortafuegos se distribuyen entre las distintas zonas para garantizar la tolerancia a fallos a nivel de zona, de modo que la configuración de enrutamiento se mantenga intacta incluso en caso de una interrupción total del servicio en una zona. Ambos utilizan el mismo mecanismo basado en prioridades.

Caso de uso 4: Aprendizaje de rutas a partir de grupos de pares de routers

Puede utilizar un servidor de rutas dinámico para establecer un peering BGP con uno o varios routers a través de un grupo de pares de routers y utilizar políticas para controlar cómo se distribuyen las rutas aprendidas por toda su red. En esta topología, el servidor de rutas dinámicas se empareja con un router de la VPC de la carga de trabajo que anuncia prefijos de red superpuesta. Una política de rutas aprendidas refleja esos prefijos a otros grupos de pares, y una política de la tabla de enrutamiento de la VPC los añade a la tabla de enrutamiento de entrada con el cortafuegos como siguiente salto. Este proceso permite que el servidor de rutas dinámicas actúe como un reflector de rutas entre dominios de enrutamiento, de modo que los hosts locales puedan acceder a las cargas de trabajo superpuestas sin necesidad de actualizaciones manuales de las rutas.

Un grupo de pares de enrutadores se configura con el rol Router, lo que significa que el par participa en el intercambio de rutas a través de BGP. Esta configuración difiere de un grupo de pares de siguiente salto, en el que el par es únicamente un destino de reenvío. Al configurar un grupo de pares de routers, se deben indicar la dirección IP y el ASN del router del grupo. El servidor de rutas dinámicas establece una sesión BGP con el enrutador y comienza a aprender las rutas que este anuncia.

Aprendizaje de

Caso de uso 5: Enrutamiento del tráfico a través de cortafuegos activos y en espera en una única VPC

Puede utilizar un servidor de enrutamiento dinámico para dirigir todo el tráfico norte-sur y este-oeste dentro de una única VPC a través de un par de funciones de red virtual (VNF) activas y en espera que actúan como cortafuegos o dispositivos de seguridad. El servidor de enrutamiento establece un peering BGP con ambas VNF en sus interfaces de sentido ascendente y descendente, aprende las rutas de carga de trabajo y las rutas predeterminadas, y añade dinámicamente rutas que tienen en cuenta el estado de funcionamiento a las tablas de enrutamiento de la VPC. Con BFD activado, el servidor de rutas dinámicas puede detectar fallos en las VNF en menos de un segundo y redirigir automáticamente el tráfico a la VNF en espera sin necesidad de intervención manual.

Caso de uso 6: Configuración de una ruta fija local mediante una ruta estática

Las rutas estáticas funcionan de forma diferente a las rutas aprendidas. Su destino, el grupo de pares de siguiente salto y las tablas de enrutamiento de destino proceden de tu configuración, no de una sesión BGP. El servidor de rutas dinámicas utiliza la zona y la prioridad de los pares del grupo de pares del siguiente salto para determinar qué entradas de ruta añadir. Se aplican las mismas reglas de clasificación de entrada y salida, pero no se requiere ningún anuncio BGP por parte de un par.

Esta configuración resulta útil cuando el prefijo de destino es fijo y bien conocido, y no se desea depender de un par BGP para anunciarlo. Un ejemplo habitual es un CIDR local estable, como 10.0.0.0/8.

En la misma topología que el caso de uso 1, puede definir una ruta estática directamente en el servidor de rutas dinámicas en lugar de recurrir a una política de rutas personalizada:

• Destino: 10.0.0.0/8
• Grupo de pares de siguiente salto: el grupo de pares del cortafuegos
• Tabla de enrutamiento de destino: la tabla de enrutamiento de entrada de la VPC periférica
• Publicidad: activada

El servidor de enrutamiento dinámico añade la ruta de destino 10.0.0.0/8 a la tabla de enrutamiento de entrada con el cortafuegos como siguiente salto. Este proceso no requiere que ningún par anuncie la ruta. Cuando se habilita la publicidad en la ruta estática, la ruta se transmite a la puerta de enlace de tránsito a través de la conexión VPC periférica, de modo que el resto de conexiones de la VPC de la carga de trabajo tengan conocimiento de ella.

El comportamiento de supervisión del estado de las rutas estáticas es el mismo que el de las rutas aprendidas. Si el grupo de pares del cortafuegos deja de funcionar correctamente, se retira la entrada de ruta estática. Cuando el grupo de pares se recupere, se restablecerá la entrada. Este mecanismo es lo que lo diferencia de una ruta estática normal de VPC: el servidor de rutas dinámicas gestiona el ciclo de vida de la ruta y la vincula al estado de los pares.