A BGP megtanulta az előtagot, a forgalom mégis elkerüli az alagutat

A fiók átjárója mutatja a felhő előtagját a BGP-táblájában, a szolgáltatóval a munkamenet létrejött, és a felhasználó kérése mégis a rossz interfészen hagyja el a hálózatot. Semmi sem romlott el úgy, ahogy a monitorozás sugallja, mert az „a BGP megtanulta” állítás a vezérsíkról szól. A tábla és a csomag között négy különálló átmenet van, és a folyamat pontosan az egyiknél áll meg. Járja végig a kapukat sorrendben, és álljon meg az elsőnél, amelyik elbukik.

Első kapu: mit küldött valójában a szomszéd

Az előtaggal úgy kezdje, ahogy megérkezett, és ne összesítve. Keresse meg a pontos hálózatot és maszkot a BGP-táblában, és jegyezze fel a következő ugrást, az AS-útvonalat és minden közösséget, amelyre egy importszabály illeszkedhet. Egy összesített útvonal az irányítópulton elrejtheti, hogy a konkrét előtagot soha nem fogadták el.

Az importszabály a szokásos hely, ahol egy útvonal hiba nélkül eltűnik. Egy előtaglista, egy közösségszűrő vagy egy bejövő útvonaltérkép eldobhatja a frissítést, miközben a munkamenet fel és egészséges marad, ezért bizonyít olyan keveset egy zöld szomszédlámpa. Egy naplósor hiánya nem a döntés hiánya. Általában azt jelenti, hogy a döntés csendben, pontosan a konfigurációnak megfelelően született.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Olvassa a kimenetet ebben a sorrendben. Az első két parancs megmondja, hogy az információ megérkezett-e, és mit állít a partner, hogy elküldött; az utolsó kettő, hogy eljutott-e valami az útválasztási és továbbítási táblákba. Az első parancsban jelen lévő, a harmadikból hiányzó előtag kiválasztási vagy telepítési probléma, nem kapcsolódási probléma.

Második kapu: kiválasztás, majd telepítés

A BGP kiválasztja a legjobb útvonalat, és a kiválasztott útvonal nem települ automatikusan. A következő ugrást fel kell oldani, és egy másik útvonalforrás már jobb adminisztratív távolsággal birtokolhatja ezt az előtagot. A migrációból visszamaradt statikus útvonal könnyedén legyőzi az érvényes BGP-útvonalat, és máshová küldi a forgalmat.

RFC 4271 három gondolatot tart külön: mit küldött egy partner, mit választott legjobbnak ez a beszélő, és mit fog tovább hirdetni. Ezek fogalmi szerepek, nem három fizikai adatbázis, amelyet egy gyártónak fel kell tárnia, de éppen ez a szétválasztás teszi az „ez benne van a BGP-ben” választ hiányossá.

Azt is ellenőrizze, melyik útválasztási környezetet olvassa. Egy olyan VRF-be telepített útvonal, amelyhez a felhasználó interfésze nem tartozik, láthatatlan a felhasználó csomagjai számára, és a tábla végig helyesnek tűnik.

Harmadik kapu: az erre a folyamatra vonatkozó keresés

Most hagyja abba az útvonalról való kérdezést, és kezdjen a csomagról kérdezni. Jegyezze fel a felhasználó forrás- és célcímét, a protokollt, a portot és a bejövő interfészt, mert ezek mindegyike más szabályt választhat. Ezután az általános útválasztási tábla helyett az erre a kombinációra vonatkozó keresést nézze.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

A pontosabb előtag a leggyakoribb meglepetés itt, a szabályútvonal a második. Mindkettő felülírja azt az összesítést, amelyet nézett, és egyik sem látható a BGP-tábla összegzésében.

Az átjáróból indított ping nem bizonyíték egy felhasználó munkamenetéről. Más forráscím, más szabályútvonal, és gyakran más eredmény. Ugyanazzal a forrással teszteljen, amelyet az alkalmazás használ, vagy fogadja el, hogy a teszt más kérdésre válaszol.

Negyedik kapu: az útvonal távoli fele

Ha a helyi keresés valóban az alagutat választja, a csomagot még el kell fogadnia a védelmi szabálynak, engedélyeznie kell a továbbítási szabálynak, és válaszolnia kell rá valaminek a túloldalon. Egy olyan kripto ACL, amely nem tartalmazza a cím párost, eldobja a forgalmat, miközben az alagút fent lévőnek jelenti magát, ami olyan időtúllépést okoz, amely nem különböztethető meg egy útválasztási hibától.

A visszaút ugyanolyan fontos, mint a kimenő. A felhő oldalának tudnia kell, hogyan érje el a fiók forrását, akár útvonalon, akár egy szándékosan beállított fordításen keresztül. Az aszimmetrikus visszautak gyakoriak azokban a tervekben, amelyeket csak egy irányból teszteltek.

Korreláljon egy friss engedélyezett kapcsolatot három megfigyeléssel: a helyi szabállyal, amely illeszkedett, az alagút számlálóival, amelyek elmozdultak, és a fogadással a távoli oldalon, ahol ez látható. Ha a számlálók nem mozdulnak, a csomag soha nem lépett be az alagútba, bármit mond az útvonaltábla. Ha mozdulnak és semmi nem érkezik, a távoli oldal eldobja vagy rosszul irányítja. Ez a két eredmény teljesen más csapatokhoz vezet.

Nevezze meg az átmenetet, amely elbukott

Írja le az eredményt öt állapot egyikeként: nem érkezett meg, a szabály nem fogadta el, nem választották ki, nem telepítették, vagy ez a folyamat nem illeszkedett rá. Adjon hozzá egy hatodikat arra az esetre, amikor a helyi útvonal helyes, és a távoli vég nem tud válaszolni. Ez a mondat a szállítandó eredmény, és sokkal hasznosabb, mint egy létrejött szomszéd képernyőképe.

Tartson negatív tesztet is az átvételi tervben: egy cél, amelynek nem szabad áthaladnia az alagúton, a változás után ellenőrizve. Egy ellenőrzőlista, amely csak a boldog utat bizonyítja, nem fogja el a széles szabályt, amelyet valaki a következő karbantartási ablakban hozzáad.