BGP hat it prefiks leard, mar ferkear slacht de tunnel noch oer

De filiaalpoarte toant it wolkprefiks yn syn BGP-tabel, de sesje nei de provider is oprjochte, en dochs ferlitt in fersyk fan in brûker nei dat prefiks troch de ferkearde ynterface. Der is neat stikken op 'e manier dy't de monitoaring suggerearret, want “BGP hat it leard” is in útspraak oer it kontrôleflak. Tusken dy tabel en it pakket sitte fjouwer aparte oergongen, en de stream stoppet by krekt ien fan har. Gean de poarten op folchoarder troch en stop by de earste dy't mislearret.

Earste poarte: wat de buorman eins stjoerd hat

Begjin mei it prefiks sa't it ûntfongen is, net as gearfetting. Sykje it krekte netwurk en masker op yn 'e BGP-tabel en skriuw de folgjende hop, it AS-paad en elke mienskip op dy't in ymportbelied passe kin. In gearfette rûte yn in dashboerd kin it feit ferbergje dat it konkrete prefiks nea akseptearre is.

Ymportbelied is it gewoane plak dêr't in rûte sûnder flater ferdwynt. In prefikselist, in mienskipfilter of in ynkommende rûtemap kin de fernijing falle litte wylst de sesje oan en sûn bliuwt, en dêrom bewiist in grien buormanljocht sa min. It ûntbrekken fan in logrigel betsjut net it ûntbrekken fan in beslissing. It betsjut meastentiids dat de beslissing stil nommen is, krekt sa't it konfigurearre is.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Lês de útfier yn dy folchoarder. De earste twa fertelle oft de ynformaasje oankaam en wat de peer seit dat er stjoerd hat; de lêste twa fertelle oft der wat de rûte- en trochstjoertabellen berikte. In prefiks dat yn it earste kommando oanwêzich is en yn it tredde ûntbrekt, is in kar- of ynstallaasje probleem, gjin ferbiningsprobleem.

Twadde poarte: kar, dan ynstallaasje

BGP kiest in bêste paad, en it keazen paad wurdt net automatysk ynstallearre. De folgjende hop moat oplost wurde, en in oare rûteboarne hat dat prefiks miskien al mei in bettere administratyve ôfstân. In statyske rûte dy't fan 'e migraasje oerbleaun is, wint maklik fan in jildich BGP-paad en stjoert it ferkear earne oars hinne.

RFC 4271 hâldt trije ideeën apart: wat in peer stjoerd hat, wat dizze sprekker as bêste keas, en wat er fierder oankundigje sil. Dat binne konseptuele rollen, net trije fysike databanken dy't in leveransier bleatlizze moat, mar krekt dy skieding makket „dit stiet yn BGP” in ûnfolslein antwurd.

Kontrolearje ek hokker rûtekontekst jo lêze. In rûte ynstallearre yn in VRF dêr't de ynterface fan 'e brûker net ta heart, is ûnsichtber foar de pakketten fan dy brûker, en de tabel liket de hiele tiid korrekt.

Tredde poarte: de syktocht dy't op dizze stream fan tapassing is

Stop no mei freegjen oer de rûte en begjin te freegjen oer it pakket. Skriuw it boarne-adres fan 'e brûker, de bestimming, it protokul, de poarte en de ynkommende ynterface op, want elk dêrfan kin in oar belied kieze. Sjoch dan nei de syktocht dy't op dy kombinaasje fan tapassing is yn stee fan 'e algemiene rûtetabel.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

In mear spesifyk prefiks is hjir de meast foarkommende ferrassing, en in beliedsrûte is de twadde. Beide oerhearskje it aggregaat dêr't jo nei seagen, en gjinien is sichtber yn in gearfetting fan 'e BGP-tabel.

In ping fan 'e poarte sels is gjin bewiis oer de sesje fan in brûker. Oar boarne-adres, oar beliedspaad en faaks in oar resultaat. Test mei deselde boarne dy't de applikaasje brûkt, of akseptearje dat de test in oare fraach beantwurdet.

Fjirde poarte: de fiere helte fan it paad

As de lokale syktocht de tunnel yndie kiest, moat it pakket noch troch it beskermingsbelied akseptearre, troch de trochstjoerregel tastien en troch eat oan 'e oare kant beantwurde wurde. In krypto-ACL dy't it adrespear net befettet, smyt it ferkear fuort wylst de tunnel himsels as oan rapportearret, wat in tiidferrin jout dat net fan in rûteflater te ûnderskieden is.

De weromweis telt likefolle as de útwyk. De wolkekant moat witte hoe't er by de filiaalboarne komt, itsij troch in rûte, itsij troch in oersetting dy't jo bewust konfigurearre hawwe. Asymmetryske weromwegen binne gewoan yn ûntwerpen dy't mar út ien rjochting test binne.

Korrelearje in farske autorisearre ferbining oer trije observaasjes: it lokale belied dat passe, de tunneltellers dy't bewegen, en de ûntfangst oan 'e fiere kant dêr't dat sichtber is. As de tellers net bewege, is it pakket nea de tunnel yngien, wat de rûtetabel ek seit. As se bewege en der komt neat oan, smyt de fiere kant it fuort of rûtearret it ferkeard. Dy twa útkomsten liede ta folslein ferskillende teams.

Neam de oergong dy't mislearre

Skriuw it resultaat as ien fan fiif steaten: net ûntfongen, net akseptearre troch belied, net keazen, net ynstallearre of net troch dizze stream passe. Foegje in sechde ta foar it gefal dat it lokale paad korrekt is en it fiere ein net antwurdzje kin. Dy sin is it resultaat, en it is folle nuttiger as in skermprint fan in oprjochte buorman.

Hâld ek in negatyf test yn it akseptaasjeplan: in bestimming dy't net troch de tunnel mei, ferifiearre nei de wiziging. In checklist dy't allinnich it lokkige paad bewiist, fangt de brede beliedsregel net dy't immen by it folgjende ûnderhâldsfinster tafoeget.