Auf dieser Seite
Das Wichtigste
- Einen klaren Auftrag festlegenTunnelabschluss, Routensteuerung und Paketweiterleitung benötigen unterschiedliche Ressourcen und Nachweise.
- Den gesamten Pfad dimensionierenDie angezeigte Geschwindigkeit einer virtuellen Schnittstelle misst nicht die Kapazität von Gast, Host und physischem Link.
- Einen echten Dienst prüfenEine zweite BGP-Sitzung hilft erst, wenn Routenauswahl und Anwendungspfad wie vorgesehen wieder funktionieren.
Die Aufgaben der VM vor ihrer Größe festlegen
Eine Router-VM kann eine freigegebene GRE-Übergabe terminieren, BGP-Sitzungen betreiben oder zwischen Netzen routen. Halten Sie die benötigten Aufgaben fest. Routensteuerung und Paketweiterleitung hängen zusammen, sind aber verschiedene Funktionen: Eine VM, die Routen austauscht, ohne Anwendungsverkehr weiterzuleiten, wird anders dimensioniert als ein Gateway im Datenpfad.
Zeichnen Sie den tatsächlichen Weg über öffentlichen Eingang, Tunnelabschluss, Anwendungsnetze, Rückweg und Managementzugang. Benennen Sie die Zuständigkeit an jeder Grenze. Berücksichtigen Sie IPv4 und IPv6 getrennt. So lässt sich ein Problem im Gast von einem Problem auf dem Host, beim Anbieter oder am entfernten Endpunkt unterscheiden.
Ein vorhandener dedizierter Server übernimmt möglicherweise bereits einige Aufgaben. Eine zusätzliche VM sollte ein konkretes Problem lösen, etwa die Routingfunktion trennen oder eine weitere freigegebene Übergabe vorbereiten. Dieselben Abhängigkeiten auf zwei Prozesse zu verteilen schafft noch keine unabhängige Redundanz.
Routenrichtlinien in die Übergabespezifikation aufnehmen
Vereinbaren Sie für jeden BGP-Nachbarn lokale und entfernte ASN, Adressfamilie, Quell- und Peer-Adresse, erlaubte Ankündigungen und erwartete empfangene Routen. Standardroute, begrenzter Routensatz und vollständige Internet-Tabelle stellen unterschiedliche Anforderungen. BGP-Unterstützung bedeutet nicht automatisch, dass eine vollständige Tabelle enthalten ist.
Dokumentieren Sie erlaubte Importe und Exporte, Präfixgrenzen und das Verhalten bei Überschreitung. Bewahren Sie Eigentums- und Autorisierungsnachweise für angekündigte Präfixe auf. Betriebliche BGP-Sicherheit umfasst Routenrichtlinien und Sitzungsschutz; RFC 7454 bietet dafür eine hilfreiche Prüfreferenz.
Prüfen Sie nach dem Sitzungsaufbau die angenommenen sowie die für relevante Ziele installierten Routen. Kontrollieren Sie Next Hop und Weiterleitung von der Anwendungsseite aus. Der Sitzungsstatus beweist weder den Empfang einer Standardroute noch die Annahme Ihrer Präfixe oder einen funktionierenden Rückweg.
Den virtualisierten Weiterleitungspfad messen
Die im Gast angezeigte Schnittstellengeschwindigkeit ist keine Zusage für dauerhaft erreichbaren Durchsatz. Erfassen Sie CPU, RAM, Gasttreiber, virtuelle Netzwerkkarte und Queue-Konfiguration sowie die tatsächlich verfügbaren Host-Ressourcen. Host-Konkurrenz und physischer Uplink bleiben Bestandteile des Pfads.
Messen Sie Datenvolumen und Paketrate in der relevanten Richtung. Große und viele kleine Pakete können ähnliche Bandbreite beanspruchen, aber sehr unterschiedliche Zahlen von Verarbeitungsschritten erfordern. Beziehen Sie NAT, Filter, Tunnelverarbeitung und weitere später aktive Funktionen in die Prüfung ein.
Untersuchen Sie Verluste und Auslastung an Gast- und Host-Grenzen, soweit Daten verfügbar sind. Eine niedrige mittlere CPU-Auslastung kann einen überlasteten Kern oder eine Queue verdecken. Die Linux-Netzwerkdokumentation beschreibt RSS, RPS und verwandte Mechanismen; ihre Einstellung braucht eine konkrete Bewertung statt einer universellen Queue-Anzahl.
Kapselung und MTU getrennt abnehmen
Halten Sie für jeden Tunnel äußeren Endpunkt, innere Adressierung, Kapselung und ausgelieferte MTU fest. Einfaches GRE über IPv4 benötigt 24 Byte vor optionalen Feldern oder weiterer Kapselung. Diese Rechnung bestimmt nicht die reale Pfad-MTU. Primär- und Ersatztunnel können unterschiedliche Transportgrenzen haben.
Prüfen Sie neben kurzen Erreichbarkeitstests repräsentative Anwendungen mit größeren Nutzdaten. Ein kleiner Ping oder eine aufgebaute BGP-Sitzung reicht als Nachweis für alle TCP- und UDP-Dienste nicht aus. Prüfen Sie Rückweg und Pfad-MTU-Verhalten mit dem Netzteam; eine geänderte TCP-MSS löst nicht jedes Problem mit zu großen UDP-Datagrammen.
Festlegen, welchen Ausfall die Reserve überstehen soll
Eine zweite VM auf demselben Host kann einen gastbezogenen Fehler überstehen, teilt aber möglicherweise Stromversorgung, Hypervisor, physische NIC und Upstreams. Erfassen Sie diese Gemeinsamkeiten vor einer Redundanzaussage. Zwei aufgebaute Sitzungen beweisen keine unabhängigen Datenpfade.
Vereinbaren Sie primäre und alternative Routenauswahl für beide Verkehrsrichtungen. Welches Ereignis entfernt die primäre Route oder senkt ihre Priorität? Ist eine Alternative zulässig? Was passiert bei der Rückkehr? Prüfen Sie neben BGP auch dauerhafte statische Routen: Eine davon kann weiterhin einen ausgefallenen Pfad auswählen.
Nutzen Sie einen genehmigten Wartungstest mit einer funktionierenden Referenzanwendung und einer für den Rückbau verantwortlichen Person. Vergleichen Sie gewählte Route, Verkehrszähler und Anwendungsergebnis beim konkret getesteten Ausfall. Dokumentieren Sie Wiederanlaufzeit und Auswirkungen auf bestehende Verbindungen. Ein Gastneustart beweist keine Absicherung gegen Host- oder Upstream-Ausfälle.
Das Deployment anhand beobachtbarer Ergebnisse abnehmen
Vereinbaren Sie vor einer wichtigen Produktionsabhängigkeit einen kurzen Abnahmenachweis. Überlastungstests gehören in eine isolierte Umgebung, aus der kein Testverkehr zu Kunden gelangen kann. RFC 6815 erläutert, warum RFC-2544-Kapazitätstests für Produktionsnetze ungeeignet sind.
| Prüfung | Aufzubewahrender Nachweis | Aussagegrenze |
|---|---|---|
| Routing | Erwartete Importe, Exporte, installierte Routen und Next Hops | Established beschreibt nur den BGP-Sitzungsstatus |
| Anwendungspfad | Abgeschlossener Austausch über geplanten Hin- und Rückweg | Eine Anwendung bestätigt nicht jedes Protokoll |
| MTU | Gelieferte Werte und repräsentative größere Übertragungen auf jedem Pfad | Eine Byte-Rechnung ist keine Pfadmessung |
| Weiterleitung | Zähler beider Richtungen, Paketgrößen, aktive Funktionen und Verluste | Virtuelle Portgeschwindigkeit ist keine gemessene Weiterleitungskapazität |
| Wiederanlauf | Routenauswahl, Nutzerwirkung, Wiederanlaufzeit und Rückkehrverhalten | Abgedeckt sind nur der geprüfte Fehler und seine Abhängigkeiten |
Fragen vor der Bestellung einer Router-VM
Ersetzt eine Router-VM vorgelagerten DDoS-Schutz?
Nicht allein. Sie kann Routing oder Übergabe übernehmen, benötigt dafür aber weiterhin einen nutzbaren Netzpfad. Unterscheiden Sie Upstream-Kapazität, Filterung, virtuelle Ressourcen und Leistungsumfang.
Ist bei BGP-Unterstützung eine vollständige Tabelle enthalten?
Nein. Bestätigen Sie Adressfamilien, empfangene Routen, Präfixgrenzen und tatsächliche Vertragsbedingungen. Speicherbedarf und Verarbeitung von Routenänderungen müssen zur vereinbarten Richtlinie passen.
Welche Angaben helfen bei der Vorbereitung?
Beschreiben Sie Routingrolle, gegebenenfalls ASN und autorisierte Präfixe, Tunnelübergabe, erwartete Gbit/s und Pakete/s, aktive Netzwerkfunktionen und Wiederanlaufanforderungen. Übermitteln Sie keine Zugangsdaten oder privaten Schlüssel.
