BGP префиксті үйренді, бірақ трафик әлі туннельді айналып өтеді

Филиал шлюзі өзінің BGP кестесінде бұлт префиксін көрсетеді, провайдермен сессия орнатылған, бірақ пайдаланушының сол префикске сұранысы әлі де дұрыс емес интерфейстен шығады. Мониторинг ұсынғандай ештеңе бұзылмаған, өйткені «BGP оны үйренді» деген басқару деңгейі туралы тұжырым. Сол кесте мен пакет арасында төрт бөлек ауысу бар, ал ағын солардың дәл біреуінде тоқтайды. Қақпалардан ретімен өтіп, бірінші сәтсіз болғанында тоқтаңыз.

Бірінші қақпа: көрші шын мәнінде не жіберді

Префикстен жинақталған түрде емес, қабылданған күйінде бастаңыз. BGP кестесінен нақты желі мен масканы тауып, келесі хопты, AS жолын және импорт саясаты сәйкестендіруі мүмкін кез келген қауымдастықты жазып алыңыз. Бақылау тақтасындағы жиынтық маршрут нақты префикстің ешқашан қабылданбағанын жасыруы мүмкін.

Импорт саясаты — маршрут қатесіз жоғалатын әдеттегі орын. Префикс тізімі, қауымдастық сүзгісі немесе кіріс маршрут картасы жаңартуды тастай алады, ал сессия жоғары және сау күйінде қалады, сондықтан жасыл көрші шамы соншалықты аз дәлелдейді. Журнал жолының болмауы шешімнің болмауын білдірмейді. Әдетте бұл шешімнің дәл конфигурацияланғандай үнсіз қабылданғанын білдіреді.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Шығысты осы ретпен оқыңыз. Алғашқы екі команда ақпараттың келгенін және теңдес не жіберді деп мәлімдейтінін айтады; соңғы екеуі бірдеңе маршруттау және жіберу кестелеріне жеткенін айтады. Бірінші командада бар және үшіншіде жоқ префикс — таңдау немесе орнату мәселесі, байланыс мәселесі емес.

Екінші қақпа: таңдау, содан кейін орнату

BGP ең жақсы жолды таңдайды, ал таңдалған жол автоматты түрде орнатылмайды. Келесі хоп шешілуі керек, ал басқа маршрут көзі бұл префиксті жақсырақ әкімшілік қашықтықпен иеленуі мүмкін. Көшіруден қалған статикалық маршрут жарамды BGP жолын оңай жеңіп, трафикті басқа жерге жібереді.

RFC 4271 үш идеяны бөлек ұстайды: теңдес не жіберді, бұл сөйлеуші нені ең жақсы деп таңдады және әрі қарай нені жариялайды. Бұлар тұжырымдамалық рөлдер, өндіруші ашуға міндетті үш физикалық дерекқор емес, бірақ дәл осы бөліну «ол BGP-де бар» деген жауапты толық емес етеді.

Сондай-ақ қай маршруттау контекстін оқып жатқаныңызды тексеріңіз. Пайдаланушы интерфейсі тиесілі емес VRF-ке орнатылған маршрут сол пайдаланушының пакеттеріне көрінбейді, ал кесте барлық уақытта дұрыс көрінеді.

Үшінші қақпа: осы ағынға қолданылатын іздеу

Енді маршрут туралы сұрауды тоқтатып, пакет туралы сұрай бастаңыз. Пайдаланушының бастапқы адресін, межелі орынды, протоколды, портты және кіру интерфейсін жазып алыңыз, өйткені олардың әрқайсысы басқа саясатты таңдауы мүмкін. Содан кейін жалпы маршруттау кестесінің орнына сол үйлесімге қолданылатын іздеуді қараңыз.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Неғұрлым нақты префикс мұнда ең көп кездесетін тосынсый, ал саясат маршруты — екіншісі. Екеуі де сіз қарап отырған агрегаттан басым түседі, және ешқайсысы BGP кестесінің жиынтығында көрінбейді.

Шлюздің өзінен жіберілген ping пайдаланушы сессиясы туралы дәлел емес. Басқа бастапқы адрес, басқа саясат жолы және көбіне басқа нәтиже. Қолданба қолданатын сол көзбен сынаңыз немесе тест басқа сұраққа жауап береді деп қабылдаңыз.

Төртінші қақпа: жолдың алыс жартысы

Егер жергілікті іздеу шынымен туннельді таңдаса, пакетті әлі де қорғаныс саясаты қабылдауы, жіберу ережесі рұқсат етуі және арғы жақтағы бірдеңе жауап беруі керек. Адрестер жұбын қамтымайтын крипто ACL трафикті тастайды, ал туннель өзін қосулы деп хабарлайды, бұл маршруттау ақауынан ажыратуға болмайтын күту уақытын тудырады.

Қайтару жолы шығу жолы сияқты маңызды. Бұлт жағы филиал көзіне қалай жетуді білуі керек: маршрут арқылы немесе әдейі конфигурациялаған трансляция арқылы. Асимметриялық қайтару жолдары тек бір бағыттан сыналған жобаларда жиі кездеседі.

Жаңа рұқсат етілген қосылымды үш бақылаумен байланыстырыңыз: сәйкес келген жергілікті саясат, қозғалған туннель есептегіштері және көрінетін жердегі алыс жақтағы қабылдау. Есептегіштер қозғалмаса, маршрут кестесі не десе де, пакет туннельге ешқашан кірмеген. Олар қозғалып, ештеңе келмесе, алыс жақ оны тастап жатыр немесе қате маршруттап жатыр. Бұл екі нәтиже мүлдем басқа командаларға әкеледі.

Сәтсіз болған ауысуды атаңыз

Нәтижені бес күйден бірі ретінде жазыңыз: қабылданбады, саясат қабылдамады, таңдалмады, орнатылмады немесе осы ағынға сәйкес келмеді. Жергілікті жол дұрыс және алыс ұш жауап бере алмайтын жағдай үшін алтыншыны қосыңыз. Сол сөйлем — тапсырылатын нәтиже, және орнатылған көршінің скриншотынан әлдеқайда пайдалы.

Қабылдау жоспарында теріс тест те ұстаңыз: туннельден өтпеуі тиіс межелі орын, өзгерістен кейін тексерілген. Тек сәтті жолды дәлелдейтін тексеру тізімі келесі техникалық қызмет терезесінде біреу қосатын кең саясат ережесін ұстай алмайды.