Тунэль стаіць, маршрут знік: як развесці два збоі VPN

Адзін хост становіцца недасягальным, а інтэрфейс тунэля ўсё яшчэ паведамляе, што ён усталяваны, і гэтыя два назіранні не супярэчаць адно аднаму. Нешта прыбрала шлях, якім ішоў трафік: сусед адклікаў свой прэфікс, статычны маршрут, які адсочваўся, быў зняты, або іншы маршрут стаў пераважным. Асацыяцыя бяспекі можа заставацца цалкам здаровай ва ўсіх трох выпадках. Каб развесці падзеі, трэба спытаць, які слой змяніўся першым, а не ці адмовіў VPN.

Тры этапы, якія выглядаюць як адна падзея

Рашэнне аб маршрутызацыі мае тры этапы. Прэфікс атрымліваецца, выбіраецца як найлепшы і ўсталёўваецца ў табліцу перасылкі. Кожны этап можа адмовіць сам па сабе, і збоі выглядаюць аднолькава з боку праграмы. Прэфікс, які быў вывучаны, але прайграў выбар, немагчыма адрозніць ад таго, які ніколі не прыйшоў, калі адзіны доказ, на які вы глядзіце, — гэта табліца перасылкі.

Таму першае пытанне — які этап зламаўся, а не які пратакол вінаваты. Адказ вызначае, хто валодае інцыдэнтам і які інструмент выкарыстае наступная праверка.

Спачатку прачытайце ўсталяваны маршрут

Спытайце ў ядра, куды насамрэч ідзе трафік да пацярпелага прызначэння. ip route get друкуе наступны хоп, інтэрфейс і адрас крыніцы, які выкарыстала б ядро, і адказвае за адно прызначэнне, а не за ўсю табліцу. Калі адказ называе тунэль, табліца перасылкі ўсё яшчэ верыць, што шлях існуе, і праблема знаходзіцца вышэй за яе.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Адказ «unreachable» азначае, што ўсталяванага маршруту няма зусім, гэта паказвае на адкліканне або адсутную ўсталёўку. Адказ, які называе фізічны інтэрфейс, азначае, што трафік пакінуў тунэль без чыйгосьці рашэння, і наступная праверка — гэта перавага, якая перамагла. Адказ, які называе тунэль, пакуль пакеты ўсё яшчэ знікаюць, паказвае далей па шляху, на фільтраванне або на далёкі бок.

Затым паглядзіце на ўласны погляд пратакола

Дэман маршрутызацыі трымае больш за адну табліцу, і цікавае параўнанне — паміж імі. Для BGP стан сеансу суседа, атрыманае аб’ява і ўсталяваны маршрут — гэта тры асобныя доказы. Прэфікс можа ляжаць у атрыманай табліцы і ніколі не дасягнуць ядра, бо маршрут з меншай адміністрацыйнай дыстанцыяй перамагае. Праверце ўсе тры, перш чым рабіць выснову, што іншы бок спыніў аб’яву.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Зводка паведамляе, ці ўсталяваны сеанс, прадстаўленне па кожным прэфіксе — ці быў прыняты прэфікс, а пошук у ядры — ці быў ён усталяваны. Чытанне іх у такім парадку не дазваляе паблытаць дрыжанне сеансу з адкліканнем, а адкліканне — з адмовай па палітыцы.

Калі гадзіннікі разыходзяцца

Змясціце журнал тунэля, журнал маршрутызацыі і першую адмову праграмы на адну шкалу часу з улікам іх рэальных часовых паясоў. Калі страта суседа ідзе першай, тунэль заадно панізіў маршрут. Калі першым ідзе адкліканне, маршрутызацыя змянілася, а тунэль адрэагаваў пазней. Гэта розныя інцыдэнты з рознымі ўладальнікамі, і парадак — гэта ўся знаходка.

Адной хвіліны разыходжання гадзіннікаў дастаткова, каб перавярнуць гэтую выснову, таму пацвердзіце часовы пояс і зрух, перш чым давяраць паслядоўнасці. Прылады, якія вядуць журнал у мясцовым часе без зруху, — звычайная крыніца ўпэўненай, але няправільнай шкалы часу.

Аднаўленне без пятлі

Пасля адклікання могуць падыходзіць два шляхі: той, што выбірае пратакол, і той, што вы замацоўваеце ўручную. Толькі першы — гэта рашэнне, якое сетка працягвае прымаць за вас, таму ручны маршрут — гэта часовы сродак, а не план аднаўлення. Альтэрнатыўнае аб’ява таксама не захоўвае стан міжсеткавага экрана або NAT для сеансу, які ўжо ўсталяваны, таму новыя патокі могуць працаваць, пакуль першапачатковы застаецца зламаным. Пацвердзіце, які рэзервовы канал павінен стаць актыўным і ці далёкі сайт будзе прымаць зваротны шлях праз яго.

Не ўсталёўвайце пастаяннае статычнае перавызначэнне, пакуль не зразумееце, чаму адбылося адкліканне. Гэты кароткі шлях можа прывязаць трафік да зламанага маршруту або ціха абыйсці наўмысную палітыку маршрутызацыі і пахаваць першапачатковую прычыну пад новай канфігурацыяй. Пасля аднаўлення маршруту паўторна праверце праграму і пераканайцеся, што абраны прэфікс мае працоўны шлях даных, а не толькі запіс у табліцы.