Туннель тұр, маршрут жоғалды: екі VPN ақауын ажырату

Бір хост қолжетімсіз болып қалады, ал туннель интерфейсі әлі де орнатылғанын хабарлайды, және бұл екі байқау бір-біріне қайшы келмейді. Бірдеңе трафик пайдаланған жолды алып тастады: көрші өз префиксін кері қайтарды, бақыланатын статикалық маршрут алынды немесе басқа маршрут басым болды. Қауіпсіздік ассоциациясы үш жағдайда да толық сау қала алады. Оқиғаларды ажырату VPN істен шықты ма деп емес, қай қабат бірінші өзгерді деп сұрауды білдіреді.

Бір оқиғаға ұқсайтын үш кезең

Маршруттау шешімінің үш кезеңі бар. Префикс қабылданады, ең жақсы ретінде таңдалады және жіберу кестесіне орнатылады. Әр кезең жеке-жеке сәтсіз болуы мүмкін, ал ақау қосымша жағынан бірдей көрінеді. Үйренілген, бірақ таңдауда жеңілген префиксті ешқашан келмеген префикстен ажырату мүмкін емес, егер қарап отырған жалғыз дәлеліңіз жіберу кестесі болса.

Сондықтан бірінші сұрақ қай протокол кінәлі емес, қай кезең сынды. Жауап оқиға кімге тиесілі екенін және келесі тексеру қандай құралды қолданатынын анықтайды.

Алдымен орнатылған маршрутты оқыңыз

Ядродан сәтсіз мақсатқа трафик шын мәнінде қайда баратынын сұраңыз. ip route get келесі секірісті, интерфейсті және ядро қолданатын бастапқы адресті басып шығарады, және бүкіл кесте үшін емес, бір мақсат үшін жауап береді. Егер жауап туннельді атаса, жіберу кестесі әлі де жолдың бар екеніне сенеді және мәселе оның үстінде.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

«unreachable» жауабы орнатылған маршрут мүлде жоқ екенін білдіреді, бұл кері қайтаруға немесе жетіспейтін орнатуға меңзейді. Физикалық интерфейсті атайтын жауап трафиктің ешкім шешім қабылдамай-ақ туннельден шыққанын білдіреді, ал келесі тексеру — жеңген басымдық. Ал пакеттер әлі де жоғалып жатқанда туннельді атайтын жауап жолдың әрі қарай, сүзгілеуге немесе алыс жаққа меңзейді.

Содан кейін протоколдың өз көрінісіне назар аударыңыз

Маршруттау демоны бірнеше кестені ұстайды, ал қызықты салыстыру солардың арасында. BGP үшін көрші сессияның күйі, алынған хабарлама және орнатылған маршрут — үш бөлек дәлел. Префикс алынған кестеде қалып, ядроға ешқашан жетпеуі мүмкін, себебі әкімшілік қашықтығы қысқарақ маршрут жеңеді. Екінші жақ хабарлауды тоқтатты деп қорытынды жасамас бұрын үшеуін де тексеріңіз.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Қорытынды сессияның орнатылғанын, префикс бойынша көрініс префикстің қабылданғанын, ал ядродағы іздеу оның орнатылғанын айтады. Оларды осы ретпен оқу сессияның дірілдеуін кері қайтарумен шатастыруға, ал кері қайтаруды саясат бойынша бас тартумен шатастыруға жол бермейді.

Сағаттар келіспегенде

Туннель журналын, маршруттау журналын және қосымшаның бірінші ақауын нақты уақыт белдеулерін қолданып, бір уақыт сызығына қойыңыз. Егер көршінің жоғалуы бірінші келсе, туннель маршрутты өзімен бірге құлатты. Егер кері қайтару бірінші келсе, маршруттау өзгерді және туннель содан кейін әрекет етті. Бұлар әртүрлі иелері бар әртүрлі оқиғалар, ал реттілік — бүкіл табылған нәрсе.

Сағаттың бір минуттық ауытқуы сол қорытындыны өзгертуге жетеді, сондықтан реттілікке сенбес бұрын уақыт белдеуі мен ығысуды растаңыз. Ығысусыз жергілікті уақытта журнал жүргізетін құрылғылар сенімді, бірақ қате уақыт сызығының әдеттегі көзі.

Циклсіз қалпына келтіру

Кері қайтарудан кейін екі жол жарамды болуы мүмкін: протокол таңдайтын жол және өз қолыңызбен бекітетін жол. Тек біріншісі ғана желі сіз үшін қабылдауды жалғастыратын шешім, сондықтан қолмен жасалған маршрут қалпына келтіру жоспары емес, уақытша шара. Қосалқы хабарлама да бұрыннан орнатылған сессия үшін firewall немесе NAT күйін сақтамайды, сондықтан жаңа ағындар жұмыс істеп, бастапқы ағын бұзылып қалуы мүмкін. Қай резервтің белсенді болуы керегін және алыс алаңның ол арқылы қайтару жолын қабылдайтынын растаңыз.

Кері қайтару неліктен болғанын түсінбейінше, тұрақты статикалық қайта жазу орнатпаңыз. Бұл қысқа жол трафикті сәтсіз жолға бекітіп немесе әдейі маршруттау саясатын үнсіз айналып өтіп, бастапқы себепті жаңа конфигурация астына көмуі мүмкін. Маршрут қалпына келтірілген соң қосымшаны қайта тексеріңіз және таңдалған префикстің кестедегі жазба ғана емес, жұмыс істейтін деректер жолы бар екенін растаңыз.