Το εργαστήριο MPLS L3VPN δεν κάνει ping; Ελέγξτε αυτά τα πέντε άλματα

Δύο δρομολογητές πελάτη, ένα ζεύγος συσκευών provider edge και ένα ping που πεθαίνει χωρίς μήνυμα σφάλματος. Σε ένα μικρό εργαστήριο MPLS L3VPN η βλάβη κάθεται σχεδόν πάντα σε ένα από τα πέντε σημεία ελέγχου, και το καθένα έχει μια εντολή που δείχνει είτε ότι η εξάρτηση λειτουργεί είτε ότι λείπει. Το λάθος είναι να επανεκκινείτε το BGP κάθε φορά που το ping αποτυγχάνει αντί να ελέγχετε τις εξαρτήσεις με τη σειρά. Αν πηδήξετε κατευθείαν στη ρύθμιση VRF, μπορείτε να περάσετε μια ώρα σε ένα πρόβλημα που ξεκίνησε με ένα άλυτο επόμενο άλμα δύο συσκευές πιο πέρα.

Δουλέψτε τη λίστα από κάτω προς τα πάνω. Ένα σημείο ελέγχου που περνά μένει περασμένο, και η πρώτη αποτυχία είναι αυτή που αξίζει αποσφαλμάτωση.

Πρώτο σημείο ελέγχου: τα PE φτάνουν το ένα το άλλο

Κάθε PE χρειάζεται μια διαδρομή προς το loopback του άλλου PE, και αυτή η διαδρομή πρέπει να επιλύεται μέσω κάτι πραγματικού. Ένα interior gateway protocol είναι ο συνηθισμένος δρόμος, αλλά και μια στατική διαδρομή λειτουργεί αρκεί η αναδρομική αναζήτηση να καταλήγει σε μια ζωντανή adjacency. Σε συσκευές τύπου IOS, show ip route 10.0.0.2 και μετά show ip cef 10.0.0.2 δείχνουν αν το πρόθεμα υπάρχει και αν πίσω του υπάρχει επιλυμένη adjacency. Μια διαδρομή στον πίνακα χωρίς adjacency πίσω της δεν είναι προσβασιμότητα.

Ελέγξτε και τις δύο κατευθύνσεις. Ασύμμετρα κόστη IGP, ένα passive interface στη λάθος πλευρά ή μια distribute list που φιλτράρει το loopback σπάνε το καθένα μόνο μία κατεύθυνση, και μία κατεύθυνση αρκεί για να σκοτώσει τη συνεδρία. Αν τα loopback απαντούν στο ping αλλά η συνεδρία BGP στέκει σε Active, κοιτάξτε το update source πριν αγγίξετε οτιδήποτε άλλο.

Δεύτερο σημείο ελέγχου: υπάρχει μονοπάτι ετικετών

Μια διαδρομή IP προς το απομακρυσμένο loopback δεν αποδεικνύει ότι η μεταφορά θα βάλει ετικέτα. Σε σχεδιασμό LDP, επιβεβαιώστε ότι το απομακρυσμένο loopback έχει τοπική και απομακρυσμένη δέσμευση και ότι η εξερχόμενη ετικέτα εμφανίζεται στον πίνακα forwarding. Το show mpls ldp bindings 10.0.0.2 32 δείχνει τα ζεύγη ετικετών και το show mpls forwarding-table 10.0.0.2 δείχνει τι θα βάλει πραγματικά η line card. Όταν η δεύτερη εντολή δεν δείχνει καμία ετικέτα ή πέφτει πίσω σε IP, η μεταφορά δεν κουβαλά την κίνηση VPN όπως υποθέτει ο σχεδιασμός.

Η διάκριση προέρχεται από το πώς το MPLS χωρίζει το forwarding state από τα προθέματα προορισμού, το μοντέλο που περιγράφεται στο RFC 3031. Αν το εργαστήριό σας χρησιμοποιεί RSVP-TE ή ετικέτες γειτονικές με το BGP αντί για LDP, ελέγξτε την κατάσταση του ίδιου του μηχανισμού, και το να υποθέτετε ότι το LDP διανέμει κάθε ετικέτα του υποστρώματος είναι συνηθισμένος τρόπος να κυνηγάτε φάντασμα σφάλματος. Ένα σπασμένο μονοπάτι ετικετών συνήθως εμφανίζεται αργότερα ως διαδρομή VPN που υπάρχει αλλά είναι άχρηστη.

Τρίτο σημείο ελέγχου: η διαδρομή VPN έφτασε άθικτη

Κοιτάξτε τη διαδρομή VPNv4 ή VPNv6 του ακριβούς προθέματος πελάτη, όχι τη σύνοψη της συνεδρίας. Το show bgp vpnv4 unicast all 10.10.1.0/24 πρέπει να δείχνει το route distinguisher, το next hop ρυθμισμένο στο loopback του απομακρυσμένου PE και μια ετικέτα. Αν το πρόθεμα λείπει, πρώτος ύποπτος είναι η πολιτική εξαγωγής στο PE προέλευσης ή η πολιτική εισαγωγής στο PE υποδοχής, και τα route target είναι ο συνηθισμένος ένοχος.

Διαβάστε τον έλεγχο route target ξεχωριστά από τη λήψη BGP. Μια διαδρομή μπορεί να φτάσει με το σωστό next hop και παρ' όλα αυτά να μην προσγειωθεί στο VRF επειδή το importtarget δεν ταιριάζει. Στο PE υποδοχής το show ip route vrf CUSTOMER 10.10.1.0 είναι το τεστ που μετρά, και ο πίνακας BGP αποδεικνύει μόνο ότι η διαδρομή πέρασε το επίπεδο ελέγχου.

Τέταρτο σημείο ελέγχου: το interface είναι μέσα στο VRF

Ένας ορισμός VRF με route distinguisher και route target δεν μετακινεί κανένα interface μέσα του. Το interface προς το CE χρειάζεται την εκχώρηση VRF, και το show ip vrf interfaces ή το show ip interface brief πρέπει να το απαριθμεί κάτω από το σωστό στιγμιότυπο. Αυτό είναι το σημείο ελέγχου όπου μια αντιγραμμένη ρύθμιση αποτυγχάνει πιο συχνά, επειδή το μπλοκ VRF φαίνεται πλήρες ενώ το interface κάθεται ακόμη στον καθολικό πίνακα.

Μετά επιβεβαιώστε ότι το PE έχει μάθει το τοπικό πρόθεμα του πελάτη σε αυτό το VRF και ότι το CE έχει διαδρομή επιστροφής μέσω της σύνδεσης. Ένα στατικό default στο CE που δείχνει προς το PE αρκεί για εργαστήριο, με την προϋπόθεση ότι το VRF του PE έχει διαδρομή προς το LAN του CE. Αν λείπει οποιοδήποτε από τα δύο μισά, το ping αποτυγχάνει πριν μπει οποιαδήποτε ετικέτα.

Πέμπτο σημείο ελέγχου: η απάντηση βρίσκει τον δρόμο για το σπίτι

Ιχνηλατήστε το πακέτο προς τα εμπρός και μετά το πακέτο επιστροφής, γιατί χρησιμοποιούν διαφορετικούς πίνακες. Στο PE εισόδου η πηγή του πελάτη πρέπει να επιλύεται μέσα στο VRF προς το απομακρυσμένο πρόθεμα με την απομακρυσμένη ετικέτα. Στο PE εξόδου ο προορισμός πρέπει να επιλύεται μέσα στο ίδιο VRF προς το interface προς το CE. Ένα ping από το ίδιο το PE δεν είναι απόδειξη, γιατί μπορεί να βγει μέσω του καθολικού πίνακα ή άλλης διεύθυνσης πηγής, και γι' αυτό το ping vrf CUSTOMER 10.10.2.10 source 10.10.1.1 είναι το τεστ που πρέπει να τρέξετε.

Τα firewall των hosts, το reverse-path filtering και οι λίστες πρόσβασης του CE εξακολουθούν να ισχύουν. Αν η διαδρομή προς τα εμπρός λειτουργεί και η απάντηση πεθαίνει, το πρόβλημα είναι διαδρομή ή φίλτρο στην πλευρά της επιστροφής, όχι η μεταφορά MPLS.

Κρατήστε μία γραμμή για κάθε σημείο ελέγχου που ονομάζει την πρώτη εξάρτηση που απέτυχε. Αυτή η γραμμή μετατρέπει το παράπονο ότι ο πελάτης δεν μπορεί να κάνει ping σε συγκεκριμένη ερώτηση για προσβασιμότητα, κατάσταση ετικετών, εισαγωγή διαδρομών, συμμετοχή interface ή διαδρομή επιστροφής, και εμποδίζει την επόμενη συνεδρία αποσφαλμάτωσης να επαναλάβει τις ίδιες πέντε εντολές με την ίδια σειρά.