Tunnel stiet, rûte fuort: twa VPN-fouten útinoar hâlde

Ien host wurdt ûnberikber wylst de tunnelinterface himsels noch altyd as oprjochte rapportearret, en de twa waarnimmings binne net yn striid. Iets hat it paad fuorthelle dat it ferkear brûkte: in buorman luts syn prefiks werom, in folge statyske rûte waard fuorthelle, of in oare rûte waard foarkar. De befeiligingsassosjaasje kin by alle trije folslein sûn bliuwe. De barrens skiede betsjut freegje hokker laach earst feroare, ynstee fan oft de VPN mislearre.

Trije stadia dy’t op ien barren lykje

In routeringsbeslissing hat trije stadia. It prefiks wurdt ûntfongen, it wurdt as bêste keazen, en it wurdt yn ’e trochstjoertabel ynstallearre. Elk stadium kin op himsels mislearje, en de flater liket fan ’e applikaasjekant itselde. In prefiks dat leard waard mar de seleksje ferlear, is net te ûnderskieden fan ien dat nea oankaam, as it iennige bewiis dat jo besjen de trochstjoertabel is.

Dêrom is de earste fraach hokker stadium bruts, net hokker protokol skuldich is. It antwurd bepaalt wa’t it foarfal hat en hokker ark de folgjende kontrôle brûkt.

Lês earst de ynstallearre rûte

Freegje de kernel wêr’t ferkear nei de mislearjende bestimming eins hinne giet. ip route get prints de folgjende hop, de interface en it boarneadres dat de kernel brûke soe, en it antwurdet foar ien bestimming ynstee fan foar de hiele tabel. As it antwurd de tunnel neamt, leaut de trochstjoertabel noch dat it paad bestiet en sit it probleem derboppe.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

In antwurd fan «unreachable» betsjut dat der hielendal gjin ynstallearre rûte is, wat wiist op in weromlûken of in ûntbrekkende ynstallaasje. In antwurd dat in fysike interface neamt, betsjut dat it ferkear de tunnel ferliet sûnder dat immen dat besleat, en de folgjende kontrôle is de foarkar dy’t wûn. In antwurd dat de tunnel neamt wylst pakketten noch hieltyd ferdwine, wiist fierder del it paad, nei filtering of nei de oare kant.

Sjoch dan nei it eigen byld fan it protokol

In routeringsdaemon hâldt mear as ien tabel, en de ynteressante ferliking is tusken dy. Foar BGP binne de steat fan ’e buorsessy, de ûntfongen oankundiging en de ynstallearre rûte trije aparte bewiisstikken. In prefiks kin yn ’e ûntfongen tabel stean en nea de kernel berikke, om’t in rûte mei koartere administratyf ôfstân wint. Kontrolearje alle trije foardat jo konkludearje dat de oare kant opholden is mei oankundigjen.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

It oersjoch fertelt jo oft de sessy oprjochte is, it byld per prefiks fertelt oft it prefiks akseptearre is, en de kernelsykjende fertelt oft it ynstallearre is. Se yn dy folchoarder lêze foarket dat in sessyfladderjen foar in weromlûken oansjoen wurdt, en in weromlûken foar in beliedsôfwizing.

As de klokken ferskille

Set it tunnelloch, it routeringsloch en de earste applikaasjeflater op ien tiidline mei har echte tiidzônes. As buormanferlies earst komt, hat de tunnel de rûte mei him delhelle. As it weromlûken earst komt, feroare routering en reagearre de tunnel dêrnei. Dat binne ferskillende barrens mei ferskillende eigners, en de folchoarder is de hiele fynst.

Ien minút klokôfwiking is genôch om dy konklúzje om te kearen, dus befêstigje de tiidzône en de ôfwiking foardat jo de folchoarder fertrouwe. Apparaten dy’t yn lokale tiid sûnder ôfwiking lochje, binne de gewoane boarne fan in selsbetrouwen mar ferkearde tiidline.

Weromwinning sûnder lus

Twa paden kinne nei in weromlûken yn oanmerking komme: it paad dat it protokol kiest, en it paad dat jo mei de hân fêstsette. Allinnich it earste is in beslissing dy’t it netwurk foar jo bliuwt nimmen, dêrom is in hânmjittige rûte in needoplossing en net in weromwinningsplan. In alternative oankundiging behâldt ek gjin firewall- of NAT-steat foar in sessy dy’t al oprjochte is, dus nije streamen kinne wurkje wylst de oarspronklike brutsen bliuwt. Befêstigje hokker reserveaktyf wurde moat en oft de fiere side in werompaad akseptearret dêrtroch.

Ynstallearje gjin permaninte statyske oerskriuwing foardat jo begripe wêrom’t it weromlûken barde. Dy koarte wei kin ferkear oan in mislearre paad fêstsette of stil in bewust routeringsbelied foarby gean, en it begrûvet de oarspronklike oarsaak ûnder in nije konfiguraasje. Test de applikaasje opnij as de rûte werombrocht is, en befêstigje dat it keazen prefiks in wurkjend gegevenspaad hat en net allinnich in yngong yn in tabel.