Tunelo restas, itinero malaperis: apartigi du VPN-misfunkciojn

Unu gastiganto fariĝas neatingebla dum la tunela interfaco ankoraŭ raportas sin kiel starigita, kaj la du observoj ne kontraŭdiras unu la alian. Io forigis la vojon, kiun la trafiko uzis: najbaro retiris sian prefikson, spurita statika itinero estis forprenita, aŭ alia itinero fariĝis preferata. La sekureca asocio povas resti tute sana en ĉiuj tri kazoj. Apartigi la eventojn signifas demandi, kiu tavolo ŝanĝiĝis unue, anstataŭ ĉu la VPN malsukcesis.

Tri etapoj, kiuj aspektas kiel unu evento

Itinera decido havas tri etapojn. La prefikso estas ricevita, elektita kiel la plej bona kaj instalita en la plusendan tabelon. Ĉiu etapo povas malsukcesi memstare, kaj la misfunkcio aspektas idente de la aplikaj flanko. Prefikso, kiu estis lernita sed perdis la elekton, ne estas distingebla de unu, kiu neniam alvenis, kiam la sola pruvo, kiun vi rigardas, estas la plusenda tabelo.

Tial la unua demando estas, kiu etapo rompiĝis, ne kiu protokolo kulpas. La respondo decidas, al kiu apartenas la okazaĵo kaj kiun ilon la sekva kontrolo uzos.

Unue legu la instalitan itinieron

Demandu la kernon, kien la trafiko al la malsukcesanta celo efektive iras. ip route get presas la sekvan salton, la interfacon kaj la fontan adreson, kiun la kerno uzus, kaj ĝi respondas por unu celo anstataŭ por la tuta tabelo. Se la respondo nomas la tunelon, la plusenda tabelo ankoraŭ kredas, ke la vojo ekzistas kaj la problemo kuŝas super ĝi.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Respondo «unreachable» signifas, ke tute mankas instalita itinero, kio indikas retiron aŭ mankan instalon. Respondo, kiu nomas fizikan interfacon, signifas, ke la trafiko forlasis la tunelon sen ke iu tion decidis, kaj la sekva kontrolo estas la prefero, kiu venkis. Respondo, kiu nomas la tunelon dum pakaĵoj daŭre malaperas, indikas pli malsupren en la vojo, al filtrado aŭ al la malproksima flanko.

Poste rigardu la propran vidon de la protokolo

Itinera demono tenas pli ol unu tabelon, kaj la interesa komparo estas inter ili. Por BGP, la stato de la najbara sesio, la ricevita anonco kaj la instalita itinero estas tri apartaj pruvoj. Prefikso povas sidi en la ricevita tabelo kaj neniam atingi la kernon, ĉar itinero kun pli mallonga administra distanco venkas. Kontrolu ĉiujn tri antaŭ ol konkludi, ke la alia flanko ĉesis anonci.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

La resumo diras al vi, ĉu la sesio estas starigita, la vido laŭ prefikso diras, ĉu la prefikso estis akceptita, kaj la serĉo en la kerno diras, ĉu ĝi estis instalita. Legi ilin en tiu ordo malhelpas, ke sesia flagrado estu konfuzita kun retiro, kaj retiro kun politika malakcepto.

Kiam la horloĝoj malkongruas

Metu la tunelan protokolon, la itineran protokolon kaj la unuan aplikan malsukceson sur unu tempan linion uzante iliajn realajn horzonojn. Se la perdo de najbaro venas unue, la tunelo faligis la itinieron kun si. Se la retiro venas unue, la itinerado ŝanĝiĝis kaj la tunelo reagis poste. Tiuj estas malsamaj okazaĵoj kun malsamaj posedantoj, kaj la ordo estas la tuta trovaĵo.

Unu minuto da horloĝa dekliniĝo sufiĉas por renversi tiun konkludon, do konfirmu la horzonon kaj la dekliniĝon antaŭ ol fidi la sinsekvon. Aparatoj, kiuj protokolas en loka tempo sen dekliniĝo, estas la kutima fonto de memfida sed malĝusta tempa linio.

Rekupero sen buklo

Du vojoj povas esti elekteblaj post retiro: tiu, kiun la protokolo elektas, kaj tiu, kiun vi fiksas permane. Nur la unua estas decido, kiun la reto daŭre faras por vi, tial permana itinero estas provizora rimedo, ne rekupera plano. Ankaŭ alternativa anonco ne konservas fajroŝirmaĵan aŭ NAT-staton por sesio jam starigita, do novaj fluoj povas funkcii dum la originala restas rompita. Konfirmu, kiu rezerva vojo devus aktiviĝi kaj ĉu la malproksima ejo akceptos revenan vojon tra ĝi.

Ne instalu permanentan statikan anstataŭigon antaŭ ol vi komprenos, kial la retiro okazis. Tiu fuĝo povas fiksi trafikon al malsukcesa vojo aŭ silente preterpasi intencan itineran politikon, kaj ĝi enterigas la originan kaŭzon sub nova agordo. Retestu la aplikaĵon post kiam la itinero estas restarigita, kaj konfirmu, ke la elektita prefikso havas funkciantan datenvojon kaj ne nur enskribon en tabelo.