გვირაბი დგას, მარშრუტი გაქრა: ორი VPN ხარვეზის გამიჯვნა

ერთი ჰოსტი მიუწვდომელი ხდება, სანამ გვირაბის ინტერფეისი კვლავ აცხადებს, რომ დამყარებულია, და ეს ორი დაკვირვება არ ეწინააღმდეგება ერთმანეთს. რაღაცამ მოხსნა ის გზა, რომელსაც ტრაფიკი იყენებდა: მეზობელმა თავისი პრეფიქსი უკან გაიწვია, თვალთვალში მყოფი სტატიკური მარშრუტი მოიხსნა, ან სხვა მარშრუტი გახდა სასურველი. უსაფრთხოების ასოციაცია შეიძლება სამივე შემთხვევაში სრულიად ჯანმრთელი დარჩეს. მოვლენების გამიჯვნა ნიშნავს იმის კითხვას, რომელი ფენა შეიცვალა პირველად და არა იმის, ჩავარდა თუ არა VPN.

სამი ეტაპი, რომლებიც ერთ მოვლენად გვეჩვენება

მარშრუტიზაციის გადაწყვეტილებას სამი ეტაპი აქვს. პრეფიქსი მიიღება, ირჩევა საუკეთესოდ და ინსტალირდება გადამისამართების ცხრილში. თითოეული ეტაპი დამოუკიდებლად შეიძლება ჩავარდეს, და ხარვეზი აპლიკაციის მხრიდან ერთნაირად ჩანს. ნასწავლი, მაგრამ შერჩევაში დამარცხებული პრეფიქსი არ განსხვავდება იმისგან, რომელიც არასოდეს მოსულა, როცა ერთადერთი მტკიცებულება, რომელსაც უყურებთ, გადამისამართების ცხრილია.

ამიტომ პირველი კითხვაა, რომელი ეტაპი გატყდა და არა რომელი პროტოკოლია დამნაშავე. პასუხი განსაზღვრავს, ვის ეკუთვნის ინციდენტი და რომელ იარაღს გამოიყენებს შემდეგი შემოწმება.

ჯერ წაიკითხეთ დაყენებული მარშრუტი

ჰკითხეთ ბირთვს, სინამდვილეში სად მიდის ტრაფიკი წარუმატებელ დანიშნულებამდე. ip route get ბეჭდავს შემდეგ ნახტომს, ინტერფეისს და წყაროს მისამართს, რომელსაც ბირთვი გამოიყენებდა, და პასუხობს ერთი დანიშნულებისთვის და არა მთელი ცხრილისთვის. თუ პასუხი გვირაბს ასახელებს, გადამისამართების ცხრილი ჯერ კიდევ თვლის, რომ გზა არსებობს და პრობლემა მის ზემოთაა.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

პასუხი «unreachable» ნიშნავს, რომ დაყენებული მარშრუტი საერთოდ არ არის, რაც უკან გაწვევაზე ან დაკარგულ ინსტალაციაზე მიუთითებს. პასუხი, რომელიც ფიზიკურ ინტერფეისს ასახელებს, ნიშნავს, რომ ტრაფიკმა დატოვა გვირაბი იმის გარეშე, რომ ვინმეს ეს გადაეწყვიტა, და შემდეგი შემოწმება ის უპირატესობაა, რომელიც გაიმარჯვა. ხოლო პასუხი, რომელიც გვირაბს ასახელებს, მაშინ როცა პაკეტები კვლავ ქრება, უფრო ქვემოთ მიუთითებს გზაზე, ფილტრაციაზე ან მოპირდაპირე მხარეს.

შემდეგ შეხედეთ თავად პროტოკოლის ხედვას

მარშრუტიზაციის დემონი ერთზე მეტ ცხრილს ინახავს, და საინტერესო შედარება მათ შორისაა. BGP-ისთვის მეზობლის სესიის მდგომარეობა, მიღებული განცხადება და დაყენებული მარშრუტი სამი ცალკეული მტკიცებულებაა. პრეფიქსი შეიძლება დარჩეს მიღებულ ცხრილში და ვერასოდეს მიაღწიოს ბირთვს, რადგან უფრო მოკლე ადმინისტრაციული მანძილის მარშრუტი იმარჯვებს. შეამოწმეთ სამივე, სანამ დაასკვნით, რომ მეორე მხარემ განცხადება შეწყვიტა.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

შეჯამება გიჩვენებთ, დამყარებულია თუ არა სესია, პრეფიქსის ხედვა გიჩვენებთ, მიღებულ იქნა თუ არა პრეფიქსი, ხოლო ბირთვში ძებნა გიჩვენებთ, დაყენდა თუ არა ის. ამ თანმიმდევრობით წაკითხვა ხელს უშლის სესიის რყევის შერევას უკან გაწვევასთან და უკან გაწვევის შერევას პოლიტიკით უარყოფასთან.

როცა საათები არ თანხმდებიან

დააყენეთ გვირაბის ჟურნალი, მარშრუტიზაციის ჟურნალი და აპლიკაციის პირველი ხარვეზი ერთ დროის ხაზზე მათი რეალური დროის ზონების გამოყენებით. თუ მეზობლის დაკარგვა პირველი მოდის, გვირაბმა მარშრუტი თან ჩამოაგდო. თუ უკან გაწვევა პირველი მოდის, მარშრუტიზაცია შეიცვალა და გვირაბმა ამის შემდეგ რეაგირება მოახდინა. ეს სხვადასხვა მფლობელის მქონე სხვადასხვა ინციდენტია და თანმიმდევრობა მთელი აღმოჩენაა.

საათის ერთი წუთის სხვაობა საკმარისია ამ დასკვნის შესაცვლელად, ამიტომ თანმიმდევრობის ნდობამდე დაადასტურეთ დროის ზონა და გადახრა. მოწყობილობები, რომლებიც ადგილობრივ დროში გადახრის გარეშე აწარმოებენ ჟურნალს, თავდაჯერებული, მაგრამ არასწორი დროის ხაზის ჩვეულებრივი წყაროა.

აღდგენა მარყუჟის გარეშე

უკან გაწვევის შემდეგ ორი გზა შეიძლება იყოს შესაფერისი: ის, რომელსაც პროტოკოლი ირჩევს და ის, რომელსაც ხელით ამაგრებთ. მხოლოდ პირველია ის გადაწყვეტილება, რომელსაც ქსელი თქვენთვის აგრძელებს მიღებას, ამიტომ ხელით დაყენებული მარშრუტი დროებითი ღონისძიებაა და არა აღდგენის გეგმა. ალტერნატიული განცხადება ასევე არ ინახავს firewall-ის ან NAT-ის მდგომარეობას უკვე დამყარებული სესიისთვის, ამიტომ ახალი ნაკადები შეიძლება მუშაობდეს, სანამ თავდაპირველი გატეხილი რჩება. დაადასტურეთ, რომელი სარეზერვო უნდა გახდეს აქტიური და მიიღებს თუ არა დისტანციური საიტი დაბრუნების გზას მის გავლით.

ნუ დააყენებთ მუდმივ სტატიკურ გადაფარვას, სანამ არ გაიგებთ, რატომ მოხდა უკან გაწვევა. ამ მოკლე გზამ შეიძლება ტრაფიკი ჩარჩოს წარუმატებელ მარშრუტს ან ჩუმად გვერდი აუაროს განზრახ მარშრუტიზაციის პოლიტიკას, და ის მარხავს თავდაპირველ მიზეზს ახალი კონფიგურაციის ქვეშ. მარშრუტის აღდგენის შემდეგ ხელახლა გამოსცადეთ აპლიკაცია და დაადასტურეთ, რომ არჩეულ პრეფიქსს აქვს მუშა მონაცემთა გზა და არა მხოლოდ ჩანაწერი ცხრილში.