Tunel stoji, ruta nestala: razdvajanje dva VPN kvara

Jedan host postaje nedostupan dok se sučelje tunela i dalje prijavljuje kao uspostavljeno, i ta dva zapažanja nisu u sukobu. Nešto je uklonilo putanju koju je promet koristio: susjed je povukao svoj prefiks, praćena statička ruta je uklonjena ili je druga ruta postala poželjnija. Sigurnosna asocijacija može ostati potpuno zdrava u sva tri slučaja. Razdvajanje događaja znači pitati koji se sloj prvi promijenio, a ne je li VPN zakazao.

Tri faze koje izgledaju kao jedan događaj

Odluka o rutiranju ima tri faze. Prefiks se prima, odabire kao najbolji i instalira u tablicu prosljeđivanja. Svaka faza može zasebno zakazati, a kvar izgleda isto s aplikacijske strane. Prefiks koji je naučen ali je izgubio odabir ne može se razlikovati od onog koji nikada nije stigao kada je jedini dokaz koji gledate tablica prosljeđivanja.

Zato je prvo pitanje koja se faza slomila, a ne koji je protokol kriv. Odgovor odlučuje kome pripada incident i koji alat koristi sljedeća provjera.

Prvo pročitajte instaliranu rutu

Pitajte kernel kamo promet prema pokvarenoj destinaciji doista ide. ip route get ispisuje sljedeći skok, sučelje i izvornu adresu koju bi kernel koristio, i odgovara za jednu destinaciju, a ne za cijelu tablicu. Ako odgovor imenuje tunel, tablica prosljeđivanja još vjeruje da putanja postoji i problem je iznad nje.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Odgovor «unreachable» znači da nema nikakve instalirane rute, što upućuje na povlačenje ili nedostajuću instalaciju. Odgovor koji imenuje fizičko sučelje znači da je promet napustio tunel bez ičije odluke, a sljedeća provjera je preferencija koja je pobijedila. Odgovor koji imenuje tunel dok paketi i dalje nestaju upućuje dalje niz putanju, na filtriranje ili na udaljenu stranu.

Zatim pogledajte vlastiti pogled protokola

Usluga rutiranja drži više od jedne tablice, a zanimljiva je usporedba među njima. Za BGP su stanje susjedne sesije, primljena objava i instalirana ruta tri odvojena dokaza. Prefiks može stajati u primljenoj tablici i nikada ne doći do kernela jer ruta s kraćom administrativnom udaljenošću pobjeđuje. Provjerite sve tri prije nego zaključite da je druga strana prestala objavljivati.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Sažetak vam kaže je li sesija uspostavljena, prikaz po prefiksu kaže je li prefiks prihvaćen, a pretraga u kernelu kaže je li instaliran. Čitanje tim redom sprječava da se treptanje sesije zamijeni za povlačenje, a povlačenje za odbijanje po politici.

Kada se satovi ne slažu

Stavite zapisnik tunela, zapisnik rutiranja i prvi aplikacijski kvar na jednu vremensku crtu koristeći njihove stvarne vremenske zone. Ako gubitak susjeda dođe prvi, tunel je srušio rutu sa sobom. Ako povlačenje dođe prvo, rutiranje se promijenilo, a tunel je reagirao poslije. To su različiti incidenti s različitim vlasnicima, a redoslijed je cijeli nalaz.

Jedna minuta razlike u satu dovoljna je da preokrene taj zaključak, pa potvrdite vremensku zonu i pomak prije nego povjerujete slijedu. Uređaji koji vode zapisnik u lokalnom vremenu bez pomaka uobičajen su izvor samouvjerene, ali pogrešne vremenske crte.

Oporavak bez petlje

Nakon povlačenja dvije putanje mogu biti podobne: ona koju protokol bira i ona koju pričvršćujete ručno. Samo je prva odluka koju mreža stalno donosi za vas, zato je ručna ruta privremeno rješenje, a ne plan oporavka. Zamjenska objava također ne čuva stanje vatrozida ili NAT-a za sesiju koja je već uspostavljena, pa novi tokovi mogu raditi dok izvorni ostaje pokvaren. Potvrdite koja rezerva treba postati aktivna i hoće li udaljeno mjesto prihvatiti povratnu putanju kroz nju.

Ne instalirajte trajno statičko premoštenje prije nego razumijete zašto je došlo do povlačenja. Taj prečac može prikovati promet na neuspjelu putanju ili tiho zaobići namjernu politiku rutiranja i zakopati izvorni uzrok pod novom konfiguracijom. Ponovno testirajte aplikaciju nakon što se ruta vrati i potvrdite da odabrani prefiks ima radni podatkovni put, a ne samo zapis u tablici.