Сесія BGP ёсць, шлях заказчыка парушаны: MPLS праз DMVPN

Пірынг трымаецца ўжо тыднямі, колькасць прэфіксаў выглядае слушнай, але трафік аднаго заказчыка ўсё яшчэ ідзе доўгім шляхам або не даходзіць зусім. Адзін і той жа паказчык ацэньвае дзве розныя рэчы. Сесія BGP паведамляе, што два піры могуць абменьвацца паведамленнямі праз злучэнне TCP; яна нічога не кажа пра тое, ці здольна накладзеная сетка перадаць пазначаны пакет менавіта гэтаму заказчыку.

Гэты разрыў прасцей за ўсё ўбачыць у архітэктуры MPLS паверх DMVPN, дзе шлях праз канцэнтратар і прамы шлях праз канчатковы вузел могуць паводзіць сябе па-рознаму з прычын, якія не маюць дачынення да пірынгу.

Што сесія насамрэч даказвае

BGP працуе паверх TCP, таму кожнаму піру спачатку патрэбны маршрут да адраса іншага канца. Калі ў якасці такога канца выбраны loopback, вы стварылі патрабаванне дасяжнасці, а не гарантыю перасылкі. Пасля гэтага сесія можа трымацца праз інтэрфейс, які трафік заказчыка ніколі не выкарыстоўвае.

Запішыце чатыры факты на абодвух канцах, перш чым рабіць высновы: адрас крыніцы сесіі, адрас прызначэння, кантэкст маршрутызацыі, у якім яна знаходзіцца, і які інтэрфейс ядро або маршрутызатар выбераць для гэтай пары. Гэтыя факты апісваюць плоскасць кіравання. Пакеты заказчыка дадаюць зверху VRF, стос метак і адлюстраванне накладзенай сеткі.

Чатыры механізмы, а не адзін

Дакументацыя Cisco пра MPLS паверх DMVPN дакладна раздзяляе складнікі. MP-BGP размяркоўвае меткі накладзенай сеткі заказчыка паміж прыладамі на краі правайдэра. MPLS выкарыстоўвае гэтыя меткі, каб выбраць кантэкст перасылкі для пакета. NHRP супастаўляе адрас накладзенай сеткі з транспартным канцом, патрэбным дынамічнаму тунелю. IPsec абараняе шлях паміж пірамі там, дзе гэта прымяняецца.

Любы з чатырох можа быць слушным, пакуль іншы памылковы, і менавіта спалучэнне пераносіць трафік. Абмен маршрутамі можа завяршыцца, калі прывязка меткі для аднаго VRF адсутнічае, калі адлюстраванне NHRP паказвае на састарэлы транспартны адрас або калі тунель існуе, але ніякая палітыка не дазваляе ўнутраны пакет. Ніводная з гэтых умоў не скідвае сесію.

Параўнайце шлях праз канцэнтратар з кароткім шляхам, па адной зменнай

Зафіксуйце хост-крыніцу, хост-прызначэнне і VRF, затым прасачыце той жа паток двойчы. На шляху праз канцэнтратар адзначце наступны хоп, метку сэрвісу, якая вызначае аддалены кантэкст заказчыка, і выкарыстоўванае супастаўленне накладзенай сеткі з транспартам. На меркаваным прамым шляху адзначце тыя ж тры рэчы. Розніца паміж двума спісамі і ёсць няспраўнасць або яе адсутнасць.

Трымайце паток нязменным падчас параўнання. Змена хост-крыніцы, VRF або прызначэння паміж назіраннямі дае дзве не звязаныя гісторыі, і гэта найбольш распаўсюджаны спосаб, якім гэта практыкаванне ідзе не так.

Трымайце тэсты loopback асобна

Ping з loopback маршрутызатара — карысны тэст, і ён правярае іншы выпадак, чым паток з хоста. Адрас крыніцы належыць маршрутызатару, яго кантэкст маршрутызацыі можа быць глабальным, а не VRF, і шлях адказу можа адрознівацца ад таго, якім пайшоў бы прэфікс заказчыка. Таму loopback, які адказвае, і праграма, якая працуе праз кароткі шлях, — асобныя вынікі, і толькі другі апісвае заказчыка.

Праверце абодва, затым пазначце іх асобна ў сваіх нататках. Калі яны разыходзяцца, вы даведаліся нешта канкрэтнае пра тое, дзе архітэктура адхіляецца, і гэта больш, чым калі-небудзь скажа адзіная зялёная галачка.

Заявы пра версіі і дэфекты патрабуюць уласных доказаў

Палявыя звесткі часам раяць змяніць маску хоста або адрас крыніцы BGP, і такія звесткі варта чытаць толькі разам з дэфектам, пра які яны напісаны, і з выпускамі, якія ён закрануў. Абыход з аднаго выпуска не з'яўляецца сцвярджэннем, што кожны прэфікс /32 не падтрымліваецца архітэктурай.

Карыстайцеся дакументацыяй, якая адпавядае вашай фазе DMVPN, платформе і выпуску, і памятайце, што адна глава можа апісваць некалькі кампазіцый, уключна з FlexVPN. Прыклад з адной кампазіцыі не пераносіцца моўчкі на іншую. Выбірайце канцы сесіі пад тую архітэктуру плоскасці кіравання, якая вам сапраўды патрэбна, потым асобна праверце шлях перасылкі заказчыка, бо перапісванне кожнай маскі loopback не заменіць вызначэння таго, якая задача не спрацавала.