Un tunnel logique Junos, ce sont deux raccordements, pas un seul lien

À l’intérieur du routeur, une interface lt- ressemble exactement à un câble, et cette impression est à l’origine de la majeure partie de la confusion. Ce n’est pas un seul lien mais deux raccordements : chaque extrémité appartient à un service, chaque extrémité possède sa propre encapsulation, et la paire ne transmet que lorsque les deux services sont correctement reliés. Suivez les cinq étapes ci-dessous dans l’ordre et considérez une validation propre comme le début de la vérification, non comme la fin du travail. Chaque étape laisse une trace que l’ingénieur suivant peut contrôler sans refaire l’investigation.

Étape 1 : écrire la feuille de travail des raccordements

Avant de toucher à la configuration, dessinez ce qui doit se relier à quoi. Un côté termine un circuit de couche 2 point à point, l’autre rejoint une instance VPLS, et le tunnel logique se place entre eux en transportant les trames de l’un vers l’autre. Nommez explicitement les deux services, car un circuit point à point, une instance VPLS et une interconnexion EVPN-VXLAN ne sont pas interchangeables simplement parce que chacun peut être décrit comme une couture.

Notez les numéros d’unité aux deux extrémités et le service auquel chacune appartient. Cette feuille est le seul artefact qui restera correct après trois changements et un retour arrière.

Étape 2 : figer les unités homologues et l’encapsulation

Les deux unités doivent se trouver sur la même interface de tunnel logique et pointer l’une vers l’autre, et une unité ne peut avoir qu’un seul homologue. La documentation Juniper du tunnel logique énonce ces deux contraintes ainsi que les encapsulations prises en charge et les ressources de plateforme consommées par l’interface. Vérifiez-les par rapport au matériel et à la version installés, et non par rapport à un exemple de laboratoire provenant d’une autre carte de ligne. Une unité homologue référencée sur deux interfaces lt différentes se valide proprement et ne transmet rien.

Choisissez ensuite l’encapsulation qui correspond au service de chaque extrémité. Un croquis de la paire ressemble à ceci :

set interfaces lt-0/0/0 unit 0 encapsulation vlan-ccc
set interfaces lt-0/0/0 unit 0 peer-unit 1
set interfaces lt-0/0/0 unit 1 encapsulation vlan-vpls
set interfaces lt-0/0/0 unit 1 peer-unit 0

Copier les mots-clés Ethernet-CCC et Ethernet-VPLS dans un service VLAN sans harmoniser le marquage est l’autre façon courante de produire une paire qui monte et ne transmet rien.

Étape 3 : rattacher chaque extrémité à son propre service

Chaque unité appartient à une définition de service, et le service doit réellement l’inclure. Pour les agencements MX de couche 2 pris en charge, la documentation désigne l’appartenance à un bridge-domain ou à VPLS comme ce qui rend la transmission bidirectionnelle, ce qui signifie qu’une paire homologue correcte avec une unité non membre est une paire d’extrémités qui parlent à rien. Ajoutez l’appartenance dans la même validation que les unités, afin que les deux ne puissent jamais diverger.

Configurez la signalisation du pseudowire et l’appartenance à l’instance dans le cadre du même changement, car c’est l’extrémité distante du circuit qui donne au côté VPLS de quoi apprendre.

Étape 4 : budgéter les ressources et la taille de trame

Un lien interne consomme tout de même des ressources de transmission. La documentation énumère les implications de bande passante de la plateforme pour les tunnels logiques, alors vérifiez-les au lieu de supposer qu’interne signifie gratuit.

Alignez le MTU du service et le modèle de marquage sur les deux raccordements et sur le pseudowire distant. Ne recopiez pas une valeur de MTU d’exemple sans établir quels en-têtes le réglage concerné compte, car un saut interne qui réduit silencieusement le budget échouera exactement là où le trafic utilisateur est le plus important.

Étape 5 : vérifier la transmission, puis chercher les boucles

Envoyez du trafic dans les deux sens et inspectez l’état du service, pas seulement celui de l’interface. show interfaces lt-0/0/0 vous indique que la paire est administrativement active, et show vpls connections vous indique si l’instance dispose d’une connexion sur laquelle apprendre. Aucun des deux ne prouve qu’une trame entrée sur un service est sortie sur l’autre, alors testez-le explicitement. Envoyez depuis un hôte d’un côté vers un hôte de l’autre, avec l’état du service visible pendant que le trafic circule.

Enfin, vérifiez si un autre chemin physique ou logique rejoint déjà le même domaine Ethernet. Ajouter ce raccordement peut modifier le comportement d’inondation et créer une boucle qui n’existait pas auparavant, et le symptôme apparaîtra ailleurs. Planifiez la redondance que vous voulez au lieu de découvrir un chemin de couche 2 non surveillé pendant un incident.