Deux domaines de pont dans un groupe IOS XR ne forment pas un seul LAN

Deux hôtes sur le même routeur IOS XR ne peuvent pas se joindre par ping, alors que la configuration laisse penser le contraire. Les deux sous-interfaces apparaissent sous le même groupe de pont, les noms diffèrent d’une lettre et la validation est passée sans réclamation. Il manque un niveau de la hiérarchie : le groupe de pont est un conteneur, et chaque domaine de pont qu’il contient est son propre domaine de diffusion avec ses propres adhésions. Ajoutez un troisième hôte et le tableau se dégrade généralement au lieu de s’éclaircir.

Partez du symptôme et remontez la hiérarchie

Des hôtes qui échouent dans un même sous-réseau alors que les interfaces se déclarent actives et que les entrées ARP ne se remplissent jamais sont la signature d’un problème d’appartenance au domaine, pas d’un problème de routage. Les problèmes de routage donnent en général un message ICMP d’inaccessibilité ou un saut suivant qui existe ; un domaine de diffusion manquant donne du silence au niveau deux. Vérifiez si les deux rattachements sont dans le même domaine de pont avant même de regarder une adresse IP. S’ils ne le sont pas, aucun travail d’adressage ne les réunira.

Le groupe de pont est un conteneur, rien de plus

Dans la hiérarchie VPN de niveau 2 d’IOS XR, un groupe de pont contient un ou plusieurs domaines de pont, et le groupe lui-même ne commute rien. Deux domaines sous un même groupe sont frères, non membres d’un même LAN, même si la configuration se lit comme s’ils étaient imbriqués. Cette disposition est volontaire : le groupe sert à organiser les services, et le domaine est l’endroit où l’acheminement se produit réellement.

Le guide Cisco des services multipoints de niveau 2 décrit un domaine de pont comme un domaine de diffusion qui contient des ports physiques ou virtuels, commute selon la MAC de destination, apprend les adresses sources et inonde l’unicast, la diffusion et le multicast inconnus uniquement à l’intérieur de ce domaine. Lisez la hiérarchie dans ce guide avant de lire votre propre configuration.

Le domaine de pont détient l’acheminement et l’apprentissage

L’apprentissage des MAC est limité au domaine, donc une station apprise dans un domaine est invisible dans son frère. L’inondation suit la même frontière, c’est pourquoi une diffusion émise par un hôte n’atteint jamais un hôte de l’autre domaine. Les groupes d’horizon partagé à l’intérieur d’un domaine, l’état des membres et les éventuels contrôles d’acheminement configurés resserrent ensuite les sorties éligibles.

Un pseudo-circuit ou une instance d’acheminement virtuelle est un rattachement de service à un domaine. Ce n’est pas un synonyme du groupe de pont parent, et le traiter comme tel est la façon dont un bord opérateur se retrouve avec deux services qui devaient être isolés et qui ne le sont pas.

Le rattachement décide quelles trames arrivent

Sous le domaine se trouve le rattachement : l’interface ou la sous-interface, l’encapsulation qu’elle correspond, toute opération d’étiquette et le domaine qu’elle rejoint. Une sous-interface dont le numéro ressemble par hasard au VLAN n’est pas un contrat de trames, et un même port physique peut alimenter deux domaines avec deux correspondances différentes. Notez l’interface d’entrée, l’étiquette correspondante, l’action sur l’étiquette et le domaine cible, puis écrivez séparément le côté sortie.

Comparez ce contrat entre les deux services avant de déplacer de la configuration. Quand les deux domaines sont sous un même groupe et qu’un seul porte du trafic, la différence se trouve presque toujours dans le rattachement et non dans le domaine.

Si la conception route aussi entre sous-réseaux, le rattachement de niveau 3 est un objet supplémentaire avec sa propre adresse de passerelle et sa politique. Le nom d’un domaine de pont n’explique rien sur la passerelle qui le sert.

Vérifiez avec la version déployée avant de réorganiser

Utilisez les commandes opérationnelles de la version elle-même pour observer le domaine plutôt que la configuration en cours. show l2vpn bridge-domain detail indique les domaines et l’état de leurs rattachements, et show l2vpn forwarding bridge-domain avec les options MAC montre ce qui a été appris et où. Si une adresse MAC apparaît dans un domaine et pas dans son frère, la hiérarchie fait exactement ce pour quoi elle est configurée.

Inventoriez ensuite chaque domaine et chaque rattachement du groupe avant de modifier quoi que ce soit, et conservez la configuration existante pour comparaison. Un nom d’objet familier ne prouve pas que chaque service imbriqué partage sa portée.