Το τούνελ παραμένει ενεργό, η διαδρομή χάθηκε: διαχωρίζοντας δύο αστοχίες VPN

Ένας κεντρικός υπολογιστής γίνεται μη προσβάσιμος ενώ η διεπαφή του τούνελ εξακολουθεί να αναφέρεται ως εγκατεστημένη, και οι δύο παρατηρήσεις δεν συγκρούονται. Κάτι αφαίρεσε τη διαδρομή που χρησιμοποιούσε η κίνηση: ένας γείτονας απέσυρε το πρόθεμά του, μια παρακολουθούμενη στατική διαδρομή αφαιρέθηκε ή μια άλλη διαδρομή έγινε προτιμότερη. Ο συσχετισμός ασφαλείας μπορεί να μείνει απολύτως υγιής και στις τρεις περιπτώσεις. Ο διαχωρισμός των γεγονότων σημαίνει να ρωτάμε ποιο επίπεδο άλλαξε πρώτο και όχι αν απέτυχε το VPN.

Τρία στάδια που μοιάζουν με ένα γεγονός

Μια απόφαση δρομολόγησης έχει τρία στάδια. Το πρόθεμα λαμβάνεται, επιλέγεται ως το καλύτερο και εγκαθίσταται στον πίνακα προώθησης. Κάθε στάδιο μπορεί να αποτύχει μόνο του, και η αστοχία φαίνεται ίδια από την πλευρά της εφαρμογής. Ένα πρόθεμα που διδάχθηκε αλλά έχασε την επιλογή δεν ξεχωρίζει από ένα που δεν έφτασε ποτέ, όταν το μόνο στοιχείο που κοιτάτε είναι ο πίνακας προώθησης.

Γι’ αυτό το πρώτο ερώτημα είναι ποιο στάδιο έσπασε, όχι ποιο πρωτόκολλο φταίει. Η απάντηση καθορίζει σε ποιον ανήκει το περιστατικό και ποιο εργαλείο θα χρησιμοποιήσει ο επόμενος έλεγχος.

Διαβάστε πρώτα την εγκατεστημένη διαδρομή

Ρωτήστε τον πυρήνα πού πηγαίνει στην πραγματικότητα η κίνηση για τον προορισμό που αποτυγχάνει. ip route get εκτυπώνει το επόμενο άλμα, τη διεπαφή και τη διεύθυνση προέλευσης που θα χρησιμοποιούσε ο πυρήνας, και απαντά για έναν προορισμό και όχι για ολόκληρο τον πίνακα. Αν η απάντηση ονομάζει το τούνελ, ο πίνακας προώθησης εξακολουθεί να πιστεύει ότι η διαδρομή υπάρχει και το πρόβλημα βρίσκεται πάνω από αυτόν.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Μια απάντηση «unreachable» σημαίνει ότι δεν υπάρχει καθόλου εγκατεστημένη διαδρομή, που δείχνει σε απόσυρση ή σε ελλιπή εγκατάσταση. Μια απάντηση που ονομάζει φυσική διεπαφή σημαίνει ότι η κίνηση έφυγε από το τούνελ χωρίς να το αποφασίσει κανείς, και ο επόμενος έλεγχος είναι η προτίμηση που κέρδισε. Μια απάντηση που ονομάζει το τούνελ ενώ τα πακέτα εξακολουθούν να εξαφανίζονται δείχνει πιο κάτω στη διαδρομή, στο φιλτράρισμα ή στην απέναντι πλευρά.

Έπειτα κοιτάξτε την εικόνα του ίδιου του πρωτοκόλλου

Ένας δαίμονας δρομολόγησης κρατά περισσότερους από έναν πίνακες, και η ενδιαφέρουσα σύγκριση είναι μεταξύ τους. Για το BGP, η κατάσταση της συνεδρίας γείτονα, η ληφθείσα αναγγελία και η εγκατεστημένη διαδρομή είναι τρία ξεχωριστά στοιχεία. Ένα πρόθεμα μπορεί να κάθεται στον ληφθέντα πίνακα και να μη φτάνει ποτέ στον πυρήνα, γιατί κερδίζει μια διαδρομή με μικρότερη διοικητική απόσταση. Ελέγξτε και τα τρία πριν συμπεράνετε ότι η άλλη πλευρά σταμάτησε να αναγγέλλει.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Η σύνοψη λέει αν η συνεδρία είναι εγκατεστημένη, η προβολή ανά πρόθεμα λέει αν το πρόθεμα έγινε δεκτό, και η αναζήτηση στον πυρήνα λέει αν εγκαταστάθηκε. Η ανάγνωσή τους με αυτή τη σειρά εμποδίζει να μπερδευτεί το τρεμόπαιγμα της συνεδρίας με απόσυρση και η απόσυρση με απόρριψη λόγω πολιτικής.

Όταν τα ρολόγια διαφωνούν

Βάλτε το αρχείο καταγραφής του τούνελ, το αρχείο δρομολόγησης και την πρώτη αποτυχία της εφαρμογής σε ένα χρονοδιάγραμμα με τις πραγματικές ζώνες ώρας τους. Αν η απώλεια γείτονα έρθει πρώτη, το τούνελ κατέβασε τη διαδρομή μαζί του. Αν η απόσυρση έρθει πρώτη, η δρομολόγηση άλλαξε και το τούνελ αντέδρασε μετά. Είναι διαφορετικά περιστατικά με διαφορετικούς ιδιοκτήτες, και η σειρά είναι όλο το εύρημα.

Ένα λεπτό απόκλισης ρολογιού αρκεί για να ανατρέψει αυτό το συμπέρασμα, οπότε επιβεβαιώστε τη ζώνη ώρας και τη μετατόπιση πριν εμπιστευτείτε τη σειρά. Οι συσκευές που καταγράφουν σε τοπική ώρα χωρίς μετατόπιση είναι η συνήθης πηγή ενός σίγουρου αλλά λανθασμένου χρονοδιαγράμματος.

Ανάκτηση χωρίς βρόχο

Δύο διαδρομές μπορούν να είναι επιλέξιμες μετά από μια απόσυρση: αυτή που επιλέγει το πρωτόκολλο και αυτή που καρφιτσώνετε με το χέρι. Μόνο η πρώτη είναι απόφαση που το δίκτυο συνεχίζει να παίρνει για εσάς, γι’ αυτό μια χειροκίνητη διαδρομή είναι προσωρινό μέτρο και όχι σχέδιο ανάκτησης. Μια εναλλακτική αναγγελία επίσης δεν διατηρεί κατάσταση τείχους προστασίας ή NAT για συνεδρία που είναι ήδη εγκατεστημένη, οπότε νέες ροές μπορεί να δουλέψουν ενώ η αρχική μένει σπασμένη. Επιβεβαιώστε ποιο εφεδρικό πρέπει να γίνει ενεργό και αν ο απομακρυσμένος χώρος θα δεχτεί διαδρομή επιστροφής μέσω αυτού.

Μην εγκαθιστάτε μόνιμη στατική παράκαμψη πριν καταλάβετε γιατί συνέβη η απόσυρση. Αυτή η συντόμευση μπορεί να καρφιτσώσει την κίνηση σε αποτυχημένη διαδρομή ή να παρακάμψει σιωπηλά μια σκόπιμη πολιτική δρομολόγησης, και θάβει την αρχική αιτία κάτω από μια νέα διαμόρφωση. Δοκιμάστε ξανά την εφαρμογή μόλις αποκατασταθεί η διαδρομή, και επιβεβαιώστε ότι το επιλεγμένο πρόθεμα έχει λειτουργική διαδρομή δεδομένων και όχι μόνο μια εγγραφή σε πίνακα.