BGP-kunsido funkcias, la klienta vojo rompiĝis: MPLS super DMVPN

La peerado funkcias jam de semajnoj, la nombro de prefiksoj aspektas ĝusta, kaj tamen la trafiko de unu kliento ankoraŭ iras la longan vojon aŭ tute ne alvenas. Du malsamaj aferoj estas juĝataj per la sama indikilo. BGP-kunsido raportas, ke du peer-oj povas interŝanĝi mesaĝojn per TCP-konekto; ĝi diras nenion pri tio, ĉu la overlay povas porti etikeditan paketon por ĝuste tiu kliento.

Tiu breĉo estas plej facile videbla en MPLS-super-DMVPN-arkitekturo, kie la hub-vojo kaj la rekta spoke-vojo povas konduti malsame pro kialoj tute ne rilataj al la peerado.

Kion la kunsido vere pruvas

BGP funkcias super TCP, do ĉiu peer bezonas itineron al la adreso de la alia finpunkto antaŭ ol io ajn alia okazu. Se vi elektas loopback kiel tiun finpunkton, vi kreis postulon pri atingeblo, ne garantion pri plusendado. La kunsido povas poste resti aktiva tra interfaco, kiun la klienta trafiko neniam uzus.

Notu kvar faktojn ĉe ambaŭ finoj antaŭ ol fari konkludojn: la fontan adreson de la kunsido, ĝian celan adreson, la enkursigadan kuntekston en kiu ĝi sidas, kaj kiun interfacon la kerno aŭ enkursigilo elektus por tiu paro. Tiuj faktoj priskribas la regan ebenon. Klientaj paketoj aldonas sur ilin VRF-on, etikedan stakon kaj overlay-mapadon.

Kvar meĥanismoj, ne unu

La dokumentaro de Cisco pri MPLS super DMVPN klare apartigas la partojn. MP-BGP distribuas la overlay-etikedojn de la kliento inter la aparatoj ĉe la rando de la provizanto. MPLS uzas tiujn etikedojn por elekti la plusendan kuntekston de paketo. NHRP mapas overlay-adreson al la transporta finpunkto, kiun dinamika tunelo bezonas. IPsec protektas la peer-vojon tie, kie ĝi aplikiĝas.

Iu ajn el la kvar povas esti ĝusta dum alia estas malĝusta, kaj la kombinaĵo estas tio, kio portas trafikon. Itinera interŝanĝo povas finiĝi dum la etikeda ligo por unu VRF mankas, dum la NHRP-mapado montras al eksdata transporta adreso, aŭ dum la tunelo ekzistas sed neniu politiko permesas la internan paketon. Neniu el tiuj kondiĉoj faligas la kunsidon.

Komparu la hub-vojon kun la mallongigo, unu variablon samtempe

Fiksu la fontan gastiganton, la celan gastiganton kaj la VRF-on, poste sekvu la saman fluon dufoje. Sur la hub-vojo notu la sekvan hop-on, la servan etikedon, kiu identigas la foran klientan kuntekston, kaj la uzatan overlay-al-transporto-mapadon. Sur la celata rekta vojo notu la samajn tri aferojn. La diferenco inter la du listoj estas la difekto, aŭ ĝia foresto.

Tenu la fluon konstanta dum la komparo. Ŝanĝi la fontan gastiganton, la VRF-on aŭ la celon inter observoj produktas du nerilatajn rakontojn, kaj tio estas la plej ofta maniero, kiel ĉi tiu ekzerco misfunkcias.

Tenu loopback-testojn en sia propra fako

Ping sendita de la loopback de enkursigilo estas utila testado, kaj ĝi ekzercas alian kazon ol fluo de gastiganto. La fonta adreso apartenas al la enkursigilo, ĝia enkursigada kunteksto povas esti tutmonda anstataŭ VRF, kaj la responda vojo povas malsami de tiu, kiun klienta prefikso prenus. Do la loopback, kiu respondas, kaj la aplikaĵo, kiu funkcias per la mallongigo, estas apartaj rezultoj, kaj nur la dua priskribas la klienton.

Testu ambaŭ, poste marku ilin aparte en viaj notoj. Kiam ili malkongruas, vi lernis ion specifan pri tio, kie la arkitekturo devojiĝas, kaj tio estas pli ol unu verda marko iam ajn diros al vi.

Asertoj pri versio kaj pri difekto bezonas proprajn pruvojn

Kampaj raportoj foje rekomendas ŝanĝi gastigantan maskon aŭ fontan adreson de BGP, kaj tiajn raportojn indas legi nur apud la difekto, pri kiu ili estis verkitaj, kaj la eldonoj, kiujn ĝi tuŝis. Provizora solvo el unu eldono ne estas aserto, ke ĉiu /32-prefikso ne estas subtenata de la arkitekturo.

Uzu dokumentaron, kiu kongruas kun via DMVPN-fazo, platformo kaj eldono, kaj memoru, ke unu ĉapitro povas kovri plurajn aranĝojn, inkluzive FlexVPN. Ekzemplo el unu aranĝo ne transiĝas silente al alia. Elektu kunsidajn finpunktojn por la reg-ebena arkitekturo, kiun vi vere bezonas, poste aparte kontrolu la plusendan vojon de la kliento, ĉar reverki ĉiun loopback-maskon ne anstataŭas malkovri, kiu tasko malsukcesis.