BGP lernis la prefikson, sed trafiko ankoraŭ preteriras la tunelon

La filia enirejo montras la nuban prefikson en sia BGP-tabelo, la sesio al la provizanto estas establita, kaj tamen peto de uzanto al tiu prefikso ankoraŭ eliras tra la malĝusta interfaco. Nenio rompiĝis tiel, kiel sugestas la monitorado, ĉar “BGP lernis ĝin” estas aserto pri la rega ebeno. Inter tiu tabelo kaj la paketo estas kvar apartaj transiroj, kaj la fluo haltas ĉe ekzakte unu el ili. Trairu la pordegojn laŭvice kaj haltu ĉe la unua, kiu malsukcesas.

Unua pordego: kion la najbaro efektive sendis

Komencu per la prefikso tiel, kiel ĝi estis ricevita, ne resumita. Serĉu la precizan reton kaj maskon en la BGP-tabelo kaj notu la sekvan salteton, la AS-vojon kaj ajnan komunumon, kiun importa politiko povus kongrui. Resuma itinero en panelo povas kaŝi la fakton, ke la konkreta prefikso neniam estis akceptita.

Importa politiko estas la kutima loko, kie itinero malaperas sen eraro. Prefiksa listo, komunuma filtro aŭ envena itinermapo povas forĵeti la ĝisdatigon dum la sesio restas supren kaj sana, kaj tial verda najbara lumo pruvas tiel malmulte. La foresto de protokola linio ne signifas la foreston de decido. Ĝi kutime signifas, ke la decido estis farita silente, ĝuste kiel konfigurite.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Legu la eligon en tiu ordo. La unuaj du komandoj diras, ĉu la informo alvenis kaj kion la samtavolano asertas, ke ĝi sendis; la lastaj du diras, ĉu io atingis la enkursigajn kaj plusendajn tabelojn. Prefikso ĉeesta en la unua komando kaj forestanta en la tria estas elekta aŭ instala problemo, ne konekteca problemo.

Dua pordego: elekto, poste instalo

BGP elektas la plej bonan vojon, kaj la elektita vojo ne estas aŭtomate instalata. La sekva salteto devas solviĝi, kaj alia itinera fonto eble jam posedas tiun prefikson kun pli bona administra distanco. Statika itinero restinta de la migrado facile venkos validan BGP-vojon kaj sendos la trafikon aliloken.

RFC 4271 tenas tri ideojn apartaj: kion samtavolano sendis, kion ĉi tiu parolanto elektis kiel plej bonan, kaj kion ĝi anoncos pluen. Tiuj estas konceptaj roloj, ne tri fizikaj datumbazoj, kiujn vendanto devas montri, sed ĝuste tiu apartigo faras “ĝi estas en BGP” nekompleta respondo.

Kontrolu ankaŭ, kiun enkursigan kuntekston vi legas. Itinero instalita en VRF, al kiu la interfaco de la uzanto ne apartenas, estas nevidebla por la paketoj de tiu uzanto, kaj la tabelo aspektas ĝusta la tutan tempon.

Tria pordego: la serĉo, kiu aplikas al ĉi tiu fluo

Nun ĉesu demandi pri la itinero kaj komencu demandi pri la paketo. Notu la fontan adreson de la uzanto, celon, protokolon, pordon kaj envenan interfacon, ĉar ĉiu el ili povas elekti alian politikon. Poste rigardu la serĉon, kiu aplikas al tiu kombinaĵo, anstataŭ la ĝeneralan enkursigan tabelon.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Pli specifa prefikso estas la plej ofta surprizo ĉi tie, kaj politika itinero estas la dua. Ambaŭ superregas la agregaton, kiun vi rigardis, kaj nek unu estas videbla en resumo de la BGP-tabelo.

Ping de la enirejo mem ne estas pruvo pri la sesio de uzanto. Alia fonta adreso, alia politika vojo kaj ofte alia rezulto. Testu per la sama fonto, kiun la aplikaĵo uzas, aŭ akceptu, ke la testo respondas alian demandon.

Kvara pordego: la malproksima duono de la vojo

Se la loka serĉo ja elektas la tunelon, la paketo ankoraŭ devas esti akceptita de la protekta politiko, permesita de la plusenda regulo kaj respondita de io aliflanke. Kripta ACL, kiu ne inkluzivas la adresparon, forĵetos la trafikon dum la tunelo raportas sin supren, kio produktas tempofinon nedistingeblan de enkursiga fiasko.

La revena vojo gravas same kiel la elira. La nuba flanko devas scii, kiel atingi la filian fonton, ĉu per itinero ĉu per traduko, kiun vi intence konfiguris. Nesimetriaj revenaj vojoj oftas en dezajnoj testitaj nur el unu direkto.

Kunligu freŝan rajtigitan konekton per tri observoj: la loka politiko, kiu kongruis, la tunelaj nombriloj, kiuj moviĝis, kaj la ricevo ĉe la malproksima flanko, kie tio estas videbla. Se la nombriloj ne moviĝas, la paketo neniam eniris la tunelon, kion ajn diras la itinera tabelo. Se ili moviĝas kaj nenio alvenas, la malproksima flanko forĵetas aŭ misenkursigas ĝin. Tiuj du rezultoj kondukas al tute malsamaj teamoj.

Nomu la transiron, kiu malsukcesis

Skribu la rezulton kiel unu el kvin statoj: ne ricevita, ne akceptita de politiko, ne elektita, ne instalita aŭ ne kongruita de ĉi tiu fluo. Aldonu sesan por la kazo, kiam la loka vojo estas ĝusta kaj la malproksima fino ne povas respondi. Tiu frazo estas la liveraĵo, kaj ĝi estas multe pli utila ol ekrankopio de establita najbaro.

Tenu ankaŭ negativan teston en la akcepta plano: celloko, kiu ne rajtas trapasi la tunelon, kontrolita post la ŝanĝo. Kontrollisto, kiu pruvas nur la feliĉan vojon, ne kaptos la vastan politikan regulon, kiun iu aldonos en la sekva prizorga fenestro.