BGP õppis prefiksi ära, aga liiklus möödub tunnelist endiselt

Harukontori lüüs näitab pilve prefiksit oma BGP-tabelis, sessioon teenusepakkujaga on loodud, ja ometi väljub kasutaja päring selle prefiksi suunas vale liidese kaudu. Midagi ei ole katki nii, nagu monitooring vihjab, sest „BGP õppis selle ära“ on väide juhtimistasandi kohta. Selle tabeli ja paketi vahel on neli eraldi üleminekut ning voog peatub täpselt ühel neist. Käige väravad järjekorras läbi ja peatuge esimese juures, mis ebaõnnestub.

Esimene värav: mida naaber tegelikult saatis

Alustage prefiksist sellisena, nagu see vastu võeti, mitte kokkuvõtlikuna. Otsige BGP-tabelist täpne võrk ja mask ning kirjutage üles järgmine hüpe, AS-teekond ja kõik kogukonnad, millega impordipoliitika võiks sobida. Armatuurlaual olev koondmarsruut võib varjata tõsiasja, et konkreetset prefiksit ei võetud kunagi vastu.

Impordipoliitika on tavaline koht, kus marsruut kaob ilma veata. Prefiksiloend, kogukonnafilter või sissetulev marsruudikaart võivad uuenduse ära visata, samal ajal kui sessioon püsib üleval ja terve, ja seepärast tõestab roheline naabrituli nii vähe. Logirea puudumine ei tähenda otsuse puudumist. Tavaliselt tähendab see, et otsus tehti vaikselt, täpselt nii, nagu on konfigureeritud.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Lugege väljundit selles järjekorras. Esimesed kaks käsku ütlevad, kas info kohale jõudis ja mida naaber väidab end saatnud olevat; viimased kaks, kas midagi jõudis marsruutimis- ja edastustabelitesse. Esimeses käsus olemas ja kolmandas puuduv prefiks on valiku või paigalduse probleem, mitte ühenduvuse probleem.

Teine värav: valik, seejärel paigaldus

BGP valib parima tee ja valitud teed ei paigaldada automaatselt. Järgmine hüpe peab lahenema, ja teine marsruudiallikas võib seda prefiksit juba parema halduskaugusega omada. Migratsioonist maha jäänud staatiline marsruut võidab kergesti kehtiva BGP-tee ja saadab liikluse mujale.

RFC 4271 hoiab kolme ideed lahus: mida naaber saatis, mille see kõneleja parimaks valis ja mida ta edasi kuulutab. Need on kontseptuaalsed rollid, mitte kolm füüsilist andmebaasi, mida tarnija peab paljastama, kuid just see eraldatus teeb „see on BGP-s“ puudulikuks vastuseks.

Kontrollige ka, millist marsruutimiskonteksti te loete. VRF-i paigaldatud marsruut, kuhu kasutaja liides ei kuulu, on selle kasutaja pakettidele nähtamatu, ja tabel näib kogu aeg korras.

Kolmas värav: otsing, mis kehtib selle voo kohta

Nüüd lõpetage marsruudi kohta küsimine ja hakake paketi kohta küsima. Kirjutage üles kasutaja lähteaadress, sihtkoht, protokoll, port ja sissetulev liides, sest igaüks neist võib valida erineva poliitika. Seejärel vaadake otsingut, mis kehtib selle kombinatsiooni kohta, mitte üldist marsruutimistabelit.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Konkreetsem prefiks on siin kõige tavalisem üllatus ja poliitikamarstruut teine. Mõlemad tühistavad selle koondi, mida te vaatasite, ja kumbki ei ole BGP-tabeli kokkuvõttes nähtav.

Lüüsist endast lähtuv ping ei ole tõend kasutaja sessiooni kohta. Erinev lähteaadress, erinev poliitikatee ja sageli erinev tulemus. Testige sama lähtega, mida rakendus kasutab, või leppige sellega, et test vastab teisele küsimusele.

Neljas värav: tee kaugem pool

Kui kohalik otsing tunnelit tõesti valib, peab paketi ikkagi heaks kiitma kaitsepoliitika, lubama edastusreegel ja vastama midagi teisel pool. Krüpto-ACL, mis ei hõlma aadressipaari, viskab liikluse ära, samal ajal kui tunnel teatab end üleval olevat, mis tekitab aegumise, mida ei saa marsruutimistõrkest eristada.

Tagasitee loeb sama palju kui väljuv tee. Pilvepool peab teadma, kuidas haru lähteni jõuda, kas marsruudi või teadlikult konfigureeritud tõlke kaudu. Asümmeetrilised tagasiteed on tavalised kavandites, mida on testitud ainult ühest suunast.

Seostage värske volitatud ühendus kolme vaatlusega: kohalik poliitika, mis sobis, liikunud tunneli loendurid ja vastuvõtt kaugemal pool, kus see on nähtav. Kui loendurid ei liigu, ei sisenenud pakett kunagi tunnelisse, ükskõik mida marsruuditabel ütleb. Kui need liiguvad ja midagi ei saabu, viskab või marsruudib kaugem pool selle valesti. Need kaks tulemust viivad täiesti erinevate meeskondadeni.

Nimetage üleminek, mis ebaõnnestus

Kirjutage tulemus ühe viie olekuna: ei ole vastu võetud, poliitika ei ole heaks kiitnud, ei ole valitud, ei ole paigaldatud või see voog ei sobi. Lisage kuues juhuks, kui kohalik tee on korras ja kaugem ots ei saa vastata. See lause on tulem, ja see on palju kasulikum kui ekraanipilt loodud naabrist.

Hoidke vastuvõtuplaanis ka negatiivset testi: sihtkoht, mis ei tohi tunnelist läbi minna, kontrollitud pärast muudatust. Kontroll-loend, mis tõestab ainult õnnelikku teed, ei püüa laia poliitikareeglit, mille keegi järgmisel hooldusaknal lisab.