Tunel qalır, marşrut getdi: iki VPN nasazlığını ayırmaq

Bir host əlçatmaz olur, halbuki tunel interfeysi hələ də özünü qurulmuş kimi göstərir və bu iki müşahidə bir-birinə zidd deyil. Nəsə trafikin istifadə etdiyi yolu aradan çıxarıb: qonşu öz prefiksini geri çəkib, izlənən statik marşrut ləğv edilib və ya başqa marşrut üstünlük qazanıb. Təhlükəsizlik assosiasiyası bu üç halın hamısında tam sağlam qala bilər. Hadisələri ayırmaq, VPN-in uğursuz olub-olmadığını deyil, hansı qatın ilk dəyişdiyini soruşmaq deməkdir.

Bir hadisə kimi görünən üç mərhələ

Marşrut qərarının üç mərhələsi var. Prefiks qəbul edilir, ən yaxşı kimi seçilir və yönləndirmə cədvəlinə quraşdırılır. Hər mərhələ öz-özünə uğursuz ola bilər və nasazlıq tətbiq tərəfindən eyni görünür. Öyrənilmiş, lakin seçimi uduzmuş prefiksi heç vaxt gəlməmiş prefiksdən ayırmaq mümkün deyil, əgər baxdığınız yeganə sübut yönləndirmə cədvəlidirsə.

Buna görə ilk sual hansı protokolun günahkar olduğu deyil, hansı mərhələnin sındığıdır. Cavab insidentin kimə aid olduğunu və növbəti yoxlamanın hansı alətdən istifadə edəcəyini müəyyən edir.

Əvvəlcə quraşdırılmış marşrutu oxuyun

Kerneldən soruşun ki, uğursuz təyinat üçün trafik həqiqətən hara gedir. ip route get növbəti atlamanı, interfeysi və kerneldən istifadə edəcəyi mənbə ünvanını çap edir və bütün cədvəl üçün deyil, bir təyinat üçün cavab verir. Cavab tuneli göstərirsə, yönləndirmə cədvəli hələ də yolun mövcud olduğuna inanır və problem onun üstündədir.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

«unreachable» cavabı heç bir quraşdırılmış marşrutun olmadığını bildirir, bu da geri çəkilməyə və ya çatışmayan quraşdırmaya işarə edir. Fiziki interfeysi göstərən cavab trafikin heç kim qərar vermədən tuneldən çıxdığını bildirir və növbəti yoxlama qalib gələn üstünlükdür. Paketlər hələ də yox olarkən tuneli göstərən cavab isə yolun daha aşağısına, filtrləməyə və ya uzaq tərəfə işarə edir.

Sonra protokolun öz görünüşünə baxın

Marşrut demonu birdən çox cədvəl saxlayır və maraqlı müqayisə onların arasındadır. BGP üçün qonşu sessiyasının vəziyyəti, alınan elan və quraşdırılmış marşrut üç ayrı sübut parçasıdır. Prefiks qəbul edilmiş cədvəldə qala və kernelə heç vaxt çatmaya bilər, çünki daha qısa inzibati məsafəli marşrut üstün gəlir. Digər tərəfin elanı dayandırdığı qənaətinə gəlməzdən əvvəl hər üçünü yoxlayın.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Xülasə sessiyanın qurulub-qurulmadığını, prefiks üzrə görünüş prefiksin qəbul edilib-edilmədiyini, kernel axtarışı isə onun quraşdırılıb-quraşdırılmadığını bildirir. Onları bu sırada oxumaq sessiya titrəyişini geri çəkilmə ilə, geri çəkilməni isə siyasət rəddi ilə səhv salmağın qarşısını alır.

Saatlar ziddiyyət təşkil edəndə

Tunel jurnalını, marşrut jurnalını və tətbiqin ilk nasazlığını real saat qurşaqları ilə bir zaman xəttinə qoyun. Əgər əvvəl qonşu itkisi gəlirsə, tunel marşrutu da özü ilə aşağı saldı. Əgər əvvəl geri çəkilmə gəlirsə, marşrutlaşdırma dəyişdi və tunel sonra reaksiya göstərdi. Bunlar fərqli sahibləri olan fərqli insidentlərdir və sıra bütün nəticədir.

Bir dəqiqəlik saat sürüşməsi bu nəticəni tərsinə çevirməyə kifayətdir, ona görə ardıcıllığa güvənməzdən əvvəl saat qurşağını və ofseti təsdiqləyin. Yerli vaxtla və ofsetsiz jurnal aparan cihazlar əmin, lakin yanlış zaman xəttinin adi mənbəyidir.

Döngüsüz bərpa

Geri çəkilmədən sonra iki yol uyğun ola bilər: protokolun seçdiyi yol və əllə bağladığınız yol. Yalnız birincisi şəbəkənin sizin üçün verməyə davam etdiyi qərardır, buna görə də əl ilə marşrut bərpa planı deyil, müvəqqəti tədbirdir. Alternativ elan da artıq qurulmuş sessiya üçün firewall və ya NAT vəziyyətini qorumur, buna görə yeni axınlar işləyə bilər, orijinal axın isə sınmış qalır. Hansı ehtiyatın aktiv olmalı olduğunu və uzaq saytın ondan geri dönüş yolu qəbul edib-etməyəcəyini təsdiqləyin.

Geri çəkilmənin niyə baş verdiyini anlamadan daimi statik üstələmə quraşdırmayın. Bu qısa yol trafiki uğursuz yola bağlaya və ya qəsdən qurulmuş marşrut siyasətini səssizcə yan keçə bilər və ilkin səbəbi yeni konfiqurasiyanın altında basdırır. Marşrut bərpa olunduqdan sonra tətbiqi yenidən sınayın və seçilmiş prefiksin cədvəldə yalnız bir girişi deyil, işlək məlumat yolunun olduğunu təsdiqləyin.