BGP prefiksi öyrəndi, amma trafik hələ də tuneldən yan keçir

Filial şlüzü bulud prefiksini BGP cədvəlində göstərir, provayderlə sessiya qurulub, lakin istifadəçinin həmin prefiksə sorğusu yenə də səhv interfeysdən çıxır. Monitorinqin təklif etdiyi şəkildə heç nə pozulmayıb, çünki «BGP bunu öyrəndi» idarəetmə müstəvisi haqqında ifadədir. O cədvəllə paket arasında dörd ayrı keçid var və axın məhz onlardan birində dayanır. Qapıları sıra ilə keçin və ilk uğursuz olanında dayanın.

Birinci qapı: qonşu əslində nə göndərdi

Prefikslə yekunlaşdırılmış kimi deyil, alındığı kimi başlayın. Dəqiq şəbəkəni və maskanı BGP cədvəlində tapın və növbəti hopu, AS yolunu və idxal siyasətinin uyğunlaşa biləcəyi hər hansı community-ni qeyd edin. İdarəetmə panelindəki xülasə marşrutu konkret prefiksin heç vaxt qəbul edilmədiyini gizlədə bilər.

İdxal siyasəti marşrutun xəta olmadan yox olduğu adi yerdir. Prefiks siyahısı, community filtri və ya daxil olan marşrut xəritəsi sessiya işlək və sağlam qalarkən yeniləməni ata bilər; buna görə yaşıl qonşu işığı bu qədər az sübut edir. Jurnal sətrinin olmaması qərarın olmaması demək deyil. Bu, adətən qərarın səssizcə, tam konfiqurasiya edildiyi kimi verildiyini bildirir.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Çıxışı bu sıra ilə oxuyun. İlk iki əmr məlumatın gəlib-gəlmədiyini və qonşunun nə göndərdiyini söylədiyini bildirir; son iki əmr isə nəyinsə marşrut və yönləndirmə cədvəllərinə çatıb-çatmadığını göstərir. Birinci əmrdə olub üçüncüdə olmayan prefiks seçim və ya quraşdırma problemidir, bağlantı problemi deyil.

İkinci qapı: seçim, sonra quraşdırma

BGP ən yaxşı yolu seçir və seçilmiş yol avtomatik quraşdırılmır. Növbəti hop həll olunmalıdır və başqa marşrut mənbəyi artıq həmin prefiksə daha yaxşı inzibati məsafə ilə sahib ola bilər. Miqrasiyadan qalmış statik marşrut keçərli BGP yolunu asanlıqla üstələyər və trafiki başqa yerə göndərər.

RFC 4271 üç fikri ayrı saxlayır: qonşunun nə göndərdiyi, bu spikerin nəyi ən yaxşı seçdiyi və bundan sonra nəyi elan edəcəyi. Bunlar konseptual rollardır, istehsalçının açmalı olduğu üç fiziki verilənlər bazası deyil, lakin məhz bu ayrılıq «bu BGP-dədir» cavabını natamam edir.

Hansı marşrut kontekstini oxuduğunuzu da yoxlayın. İstifadəçinin interfeysi aid olmayan VRF-də quraşdırılmış marşrut həmin istifadəçinin paketləri üçün görünməzdir və cədvəl bütün müddət düzgün görünür.

Üçüncü qapı: bu axına aid axtarış

İndi marşrut haqqında soruşmağı dayandırın və paket haqqında soruşmağa başlayın. İstifadəçinin mənbə ünvanını, təyinatını, protokolunu, portunu və giriş interfeysini qeyd edin, çünki bunların hər biri fərqli siyasət seçə bilər. Sonra ümumi marşrut cədvəlinə deyil, həmin kombinasiyaya aid axtarışa baxın.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Daha konkret prefiks burada ən çox rast gəlinən sürprizdir, siyasət marşrutu isə ikincidir. Hər ikisi baxdığınız aqreqatı üstələyir və heç biri BGP cədvəlinin xülasəsində görünmür.

Şlüzün özündən göndərilən ping istifadəçi sessiyası haqqında sübut deyil. Fərqli mənbə ünvanı, fərqli siyasət yolu və çox vaxt fərqli nəticə. Tətbiqin istifadə etdiyi eyni mənbə ilə sınaqdan keçirin və ya testin fərqli suala cavab verdiyini qəbul edin.

Dördüncü qapı: yolun uzaq yarısı

Əgər yerli axtarış həqiqətən tuneli seçirsə, paket hələ də qoruma siyasəti tərəfindən qəbul edilməli, yönləndirmə qaydası ilə icazə almalı və uzaq tərəfdə nəyinsə cavab verməsi lazımdır. Ünvan cütünü əhatə etməyən kripto ACL tunel özünü işlək elan edərkən trafiki atacaq və bu, marşrut nasazlığından fərqlənməyən timeout yaradır.

Qayıdış yolu gediş yolu qədər vacibdir. Bulud tərəfi filial mənbəyinə necə çatacağını bilməlidir: ya marşrutla, ya da qəsdən konfiqurasiya etdiyiniz tərcümə ilə. Asimmetrik qayıdış yolları yalnız bir istiqamətdən sınaqdan keçirilmiş dizaynlarda geniş yayılmışdır.

Yeni avtorizə edilmiş bağlantını üç müşahidə ilə əlaqələndirin: uyğun gələn yerli siyasət, hərəkət edən tunel sayğacları və uzaq tərəfdə görünən qəbul. Sayğaclar hərəkət etmirsə, marşrut cədvəlinin nə dediyindən asılı olmayaraq paket tunelə heç vaxt girməyib. Hərəkət edir və heç nə gəlmirsə, uzaq tərəf onu atır və ya səhv yönləndirir. Bu iki nəticə tamamilə fərqli komandalara aparır.

Uğursuz olan keçidin adını qoyun

Nəticəni beş vəziyyətdən biri kimi yazın: alınmayıb, siyasətlə qəbul edilməyib, seçilməyib, quraşdırılmayıb və ya bu axınla uyğunlaşmayıb. Yerli yolun düzgün olduğu və uzaq ucun cavab verə bilmədiyi hal üçün altıncısını əlavə edin. Həmin cümlə təhvimdir və qurulmuş qonşunun ekran görüntüsündən qat-qat faydalıdır.

Qəbul planında mənfi test də saxlayın: tuneldən keçməməli olan təyinat, dəyişiklikdən sonra yoxlanılır. Yalnız xoşbəxt yolu sübut edən yoxlama siyahısı növbəti texniki xidmət pəncərəsində kimsənin əlavə etdiyi geniş siyasət qaydasını tutmayacaq.