BGP het die voorvoegsel geleer, maar verkeer slaan steeds die tonnel oor

Die takpoort wys die wolkvoorvoegsel in sy BGP-tabel, die sessie na die diensverskaffer is gevestig, en 'n gebruiker se versoek na daardie voorvoegsel verlaat steeds deur die verkeerde koppelvlak. Niks is fout op die manier wat die monitering voorstel nie, want “BGP het dit geleer” is 'n stelling oor die beheervlak. Tussen daardie tabel en die pakkie is daar vier afsonderlike oorgange, en die vloei stop by presies een daarvan. Gaan die hekke in volgorde deur en stop by die eerste een wat misluk.

Eerste hek: wat die buur werklik gestuur het

Begin met die voorvoegsel soos ontvang, nie soos opgesom nie. Soek die presiese netwerk en masker in die BGP-tabel op en teken die volgende sprong, die AS-pad en enige gemeenskap aan wat 'n invoerbeleid dalk pas. 'n Opsommingroete in 'n paneel kan die feit verberg dat die spesifieke voorvoegsel nooit aanvaar is nie.

Invoerbeleid is die gewone plek waar 'n roete sonder 'n fout verdwyn. 'n Voorvoegsellys, 'n gemeenskapsfilter of 'n inkomende roetekaart kan die opdatering laat val terwyl die sessie op en gesond bly, en dit is waarom 'n groen buurlig so min bewys. Die afwesigheid van 'n logreël beteken nie die afwesigheid van 'n besluit nie. Dit beteken gewoonlik die besluit is stil, presies soos gekonfigureer, geneem.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Lees die uitset in daardie volgorde. Die eerste twee sê vir jou of die inligting aangekom het en wat die eweknie sê hy gestuur het; die laaste twee sê of enigiets die roete- en aanstuurtabelle bereik het. 'n Voorvoegsel wat in die eerste opdrag teenwoordig is en in die derde afwesig is, is 'n keuse- of installasieprobleem, nie 'n verbindingsprobleem nie.

Tweede hek: keuse, dan installasie

BGP kies 'n beste pad, en die gekose pad word nie outomaties geïnstalleer nie. Die volgende sprong moet oplos, en 'n ander roetebron besit dalk reeds daardie voorvoegsel met 'n beter administratiewe afstand. 'n Statiese roete wat van die migrasie oorgebly het, sal maklik oor 'n geldige BGP-pad wen en die verkeer elders heen stuur.

RFC 4271 hou drie idees apart: wat 'n eweknie gestuur het, wat hierdie spreker as beste gekies het, en wat hy verder sal adverteer. Dit is konseptuele rolle eerder as drie fisiese databasisse wat 'n verskaffer moet blootlê, maar juis die skeiding maak “dit is in BGP” 'n onvolledige antwoord.

Kontroleer ook watter roetekonteks jy lees. 'n Roete wat in 'n VRF geïnstalleer is waaraan die gebruiker se koppelvlak nie behoort nie, is onsigbaar vir daardie gebruiker se pakkies, en die tabel lyk die hele tyd korrek.

Derde hek: die opsoek wat op hierdie vloei van toepassing is

Hou nou op om oor die roete te vra en begin oor die pakkie vra. Teken die gebruiker se bronadres, bestemming, protokol, poort en inkomende koppelvlak aan, want elkeen van dié kan 'n ander beleid kies. Kyk dan na die opsoek wat op daardie kombinasie van toepassing is, eerder as na die algemene roetetabel.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

'n Meer spesifieke voorvoegsel is die algemeenste verrassing hier, en 'n beleidsroete is die tweede. Albei oorheers die samevatting waarna jy gekyk het, en nie een is in 'n opsomming van die BGP-tabel sigbaar nie.

'n Ping vanaf die poort self is nie bewys oor 'n gebruiker se sessie nie. Ander bronadres, ander beleidspad, en dikwels 'n ander resultaat. Toets met dieselfde bron wat die toepassing gebruik, of aanvaar dat die toets 'n ander vraag beantwoord.

Vierde hek: die verre helfte van die pad

As die plaaslike opsoek wel die tonnel kies, moet die pakkie steeds deur die beskermingsbeleid aanvaar, deur die aanstuurreël toegelaat en deur iets aan die ander kant beantwoord word. 'n Kripto-ACL wat nie die adrespaar insluit nie, sal die verkeer laat val terwyl die tonnel homself as op rapporteer, wat 'n tyduitloop skep wat nie van 'n roetefout te onderskei is nie.

Die terugpad maak net soveel saak as die uitgaande een. Die wolkkant moet weet hoe om die takbron te bereik, hetsy deur 'n roete of deur 'n vertaling wat jy doelbewus opgestel het. Asimmetriese terugpaaie is algemeen in ontwerpe wat net uit een rigting getoets is.

Korreleer 'n vars gemagtigde verbinding oor drie waarnemings: die plaaslike beleid wat gepas het, die tonneltellers wat beweeg het, en die ontvangs aan die verre kant waar dit sigbaar is. As die tellers nie beweeg nie, het die pakkie nooit die tonnel binnegegaan nie, ongeag wat die roetetabel sê. As hulle beweeg en niks kom aan nie, laat val of verkeerdroeteer die verre kant dit. Daardie twee uitkomste lei na heeltemal verskillende spanne.

Noem die oorgang wat misluk het

Skryf die resultaat as een van vyf toestande: nie ontvang nie, nie deur beleid aanvaar nie, nie gekies nie, nie geïnstalleer nie, of nie deur hierdie vloei gepas nie. Voeg 'n sesde by vir die geval waar die plaaslike pad korrek is en die verre punt nie kan antwoord nie. Daardie sin is die lewering, en dit is veel nuttiger as 'n skermskoot van 'n gevestigde buur.

Hou ook 'n negatiewe toets in die aanvaardingsplan: 'n bestemming wat nie deur die tonnel mag gaan nie, na die verandering geverifieer. 'n Kontrolelys wat net die gelukkige pad bewys, sal nie die breë beleidsreël vang wat iemand by die volgende onderhoudsvenster byvoeg nie.