Tunnel staan, roete weg: twee VPN-foute uitmekaar gehou

Een gasheer raak onbereikbaar terwyl die tonnelkoppelvlak homself steeds as gevestig rapporteer, en die twee waarnemings is nie in stryd nie. Iets het die pad wat die verkeer gebruik het, verwyder: ’n buur het sy prefiks teruggetrek, ’n gevolgde statiese roete is onttrek, of ’n ander roete het voorkeur gekry. Die sekuriteitsassosiasie kan deur al drie heeltemal gesond bly. Om die gebeure te skei beteken om te vra watter laag eerste verander het, eerder as of die VPN gefaal het.

Drie stadiums wat soos een gebeurtenis lyk

’n Roetebesluit het drie stadiums. Die prefiks word ontvang, dit word as die beste gekies, en dit word in die aanstuur-tabel geïnstalleer. Elke stadium kan op sy eie faal, en die fout lyk dieselfde van die toepassing se kant. ’n Prefiks wat geleer is maar die keuring verloor het, is nie te onderskei van een wat nooit aangekom het nie, wanneer die enigste bewys waarna jy kyk die aanstuur-tabel is.

Daarom is die eerste vraag watter stadium gebreek het, nie watter protokol skuldig is nie. Die antwoord bepaal wie die voorval besit en watter gereedskap die volgende kontrole gebruik.

Lees eers die geïnstalleerde roete

Vra die kernel waarheen verkeer na die falende bestemming werklik gaan. ip route get druk die volgende sprong, die koppelvlak en die bronadres wat die kernel sou gebruik, en dit antwoord vir een bestemming eerder as vir die hele tabel. As die antwoord die tonnel noem, glo die aanstuur-tabel steeds dat die pad bestaan en sit die probleem bokant dit.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

’n Antwoord van “unreachable” beteken glad geen geïnstalleerde roete nie, wat op ’n terugtrekking of ’n ontbrekende installasie dui. ’n Antwoord wat ’n fisiese koppelvlak noem, beteken die verkeer het die tonnel verlaat sonder dat iemand dit besluit het, en die volgende kontrole is die voorkeur wat gewen het. ’n Antwoord wat die tonnel noem terwyl pakkette steeds verdwyn, dui verder af in die pad, by filtering of aan die oorkant.

Kyk dan na die protokol se eie siening

’n Roetedemon hou meer as een tabel, en die interessante vergelyking is tussen hulle. Vir BGP is die buursessie se toestand, die ontvangde aankondiging en die geïnstalleerde roete drie afsonderlike stukke bewyse. ’n Prefiks kan in die ontvangde tabel sit en nooit die kernel bereik nie, omdat ’n roete met ’n korter administratiewe afstand wen. Kontroleer al drie voordat jy aflei dat die ander kant opgehou aankondig het.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Die opsomming vertel of die sessie gevestig is, die siening per prefiks vertel of die prefiks aanvaar is, en die kernel-soektog vertel of dit geïnstalleer is. Om hulle in daardie volgorde te lees, verhoed dat ’n sessie-fladder vir ’n terugtrekking aangesien word, en ’n terugtrekking vir ’n beleidsverwerping.

Wanneer die horlosies verskil

Plaas die tonnel-log, die roete-log en die eerste toepassingsfout op een tydlyn met hul werklike tydsones. As buurverlies eerste kom, het die tonnel die roete saam met hom laat val. As die terugtrekking eerste kom, het roetering verander en het die tonnel daarna gereageer. Dit is verskillende voorvalle met verskillende eienaars, en die volgorde is die hele bevinding.

Een minuut klokafwyking is genoeg om daardie gevolgtrekking om te keer, so bevestig die tydsone en die afwyking voordat jy die volgorde vertrou. Toestelle wat in plaaslike tyd sonder ’n afwyking log, is die gewone bron van ’n selfversekerde maar verkeerde tydlyn.

Herstel sonder ’n lus

Twee paaie kan na ’n terugtrekking in aanmerking kom: die een wat die protokol kies, en die een wat jy met die hand vaspen. Net die eerste is ’n besluit wat die netwerk aanhou vir jou neem, daarom is ’n handmatige roete ’n noodoplossing eerder as ’n herstelplan. ’n Alternatiewe aankondiging bewaar ook nie die firewall- of NAT-toestand vir ’n sessie wat al gevestig is nie, so nuwe strome kan werk terwyl die oorspronklike een gebreek bly. Bevestig watter rugsteun aktief moet word en of die afgeleë terrein ’n terugkeerpad daardeur sal aanvaar.

Moenie ’n permanente statiese oorheersing installeer voordat jy verstaan waarom die terugtrekking gebeur het nie. Daardie kortpad kan verkeer aan ’n mislukte pad vaspen of ’n doelbewuste roetebeleid stilweg omseil, en dit begrawe die oorspronklike oorsaak onder ’n nuwe konfigurasie. Toets die toepassing weer sodra die roete herstel is, en bevestig dat die gekose prefiks ’n werkende datapad het en nie net ’n inskrywing in ’n tabel nie.