Problema
El conjunto de IP configurado con una subred /20 muestra dos subredes /22 instaladas en las rutas de la nube en lugar de las dos subredes /21 esperadas. Esta configuración sólo proporciona la mitad del espacio de direcciones esperado.
Entorno
- Tecnología: Asistencia para soluciones (SSPT, contrato necesario)
- Subtecnología: Acceso seguro
- Familia de productos: SECACCS
- Versión del software: ALL
- Configuración: Agrupaciones IP con configuraciones de subred /20
- Infraestructura: Dos cabeceras VPN activas con anuncio de ruta BGP
Resolución
Tamaño del Pool VPN de Usuario y Anuncio BGP
El BGP de acceso seguro no anuncia un prefijo mayor que /22. Cuando configura un grupo de VPN de usuario para VPN de acceso remoto (RAVPN) en Secure Access, la plataforma procesa la red de la manera correspondiente:
- Si la red proporcionada es mayor que /22 (como /20), la plataforma divide automáticamente la red internamente en varios fragmentos /22.
Ejemplo:
Debe proporcionar un conjunto /20.
Secure Access lo divide en 4 × /22 subredes internamente.
Cada /22 se alquila a demanda por un Data Center de la región.
Cuando un centro de datos arrienda un /22, anuncia solamente ese /22 (o más pequeño) sobre BGP — no el /20 completo.
- Si la red proporcionada es /22 o menor (como /24), la plataforma divide la red en al menos dos subredes más pequeñas para admitir una alta disponibilidad en un mínimo de dos Data Centers de la región.
Ejemplo:
Debe proporcionar un conjunto /24.
Secure Access lo divide en 2 × /25 subredes.
Cada /25 se asigna a un Data Center diferente en la región.
Cada centro de datos anuncia su /25 respectivo sobre BGP.
No todas las subredes del conjunto VPN se anuncian simultáneamente. En su lugar, se asignan y se anuncian a demanda a medida que aumenta el número de conexiones del cliente VPN de RA:
- Inicialmente, sólo la primera subred (como el primer /22 de un /20) se arrienda y se anuncia a través de BGP.
- A medida que crece la demanda, los Data Centers alquilan subredes adicionales, que posteriormente se anuncian.
- Esto es coherente con la forma en que se amplían dinámicamente los recursos de la nube.
Ejemplo:
Configure 4 × /22 grupos para cubrir un rango /20.
Con un volumen de conexión bajo, BGP anuncia solamente el primer /22.
A medida que aumentan las conexiones RAVPN, los /22 agrupamientos restantes se activan y anuncian incrementalmente.
Importante: Si observa que sólo se está anunciando uno de los pools configurados, se espera este comportamiento. Los pools adicionales se anuncian según lo requiera la ampliación.
Summary
| Tamaño de conjunto proporcionado | División interna | anuncio BGP | Motivo |
| Mayor que /22 (como /20) | Dividir en varios /22 s (como 4 × /22) | Cada /22 o menos, a demanda | El prefijo máximo anunciado es /22; escala a petición |
| /22 | Dividir en 2 o más subredes más pequeñas | Cada subred más pequeña, a demanda | Alta disponibilidad entre ≥2 Data Centers |
| Menor que /22 (como /24) | Dividir en al menos 2 subredes (como 2 × /25) | Cada subred, a demanda | Alta disponibilidad entre ≥2 Data Centers |
- Prefijo máximo anunciado de BGP: /22 — Secure Access nunca anuncia una red mayor que /22 sobre BGP.
- División automática: las redes se dividen internamente para ofrecer alta disponibilidad (mínimo 2 Data Centers por región) y escalabilidad.
- Anuncio a petición: las subredes se anuncian a través de BGP sólo cuando un Data Center las arrienda de forma activa para servir conexiones. No todos los agrupamientos aparecen en BGP a la vez.
- La escalabilidad es dinámica: las subredes de grupos adicionales se activan a medida que aumentan los recuentos de conexiones de clientes RAVPN, en cumplimiento con los principios de escalabilidad de recursos nativos de la nube.
Causa
Este es el comportamiento diseñado del algoritmo de asignación de subredes del sistema Secure Access. El sistema divide automáticamente las subredes configuradas en subredes más pequeñas de igual tamaño y las distribuye entre las cabeceras VPN disponibles mediante la ordenación lexicográfica para garantizar patrones de asignación coherentes y predecibles.
Contenido relacionado
Comentarios