BGP префиксти үйрөндү, бирок трафик дагы эле туннелди айланып өтөт

Филиалдын шлюзу өзүнүн BGP таблицасында булут префиксин көрсөтөт, провайдер менен сессия орнотулган, бирок колдонуучунун ошол префикске суранычы дагы эле туура эмес интерфейстен чыгат. Мониторинг сунуштагандай эч нерсе бузулган эмес, анткени «BGP аны үйрөндү» дегени башкаруу катмары жөнүндөгү билдирүү. Ошол таблица менен пакеттин ортосунда төрт өзүнчө өтүү бар, ал эми агым ошолордун так биринде токтойт. Дарбазалардан кезеги менен өтүп, биринчи ийгиликсиз болгонунда токтоңуз.

Биринчи дарбаза: кошуна чындыгында эмнени жөнөттү

Префикстен жыйынтыкталган түрдө эмес, кабыл алынган абалында баштаңыз. BGP таблицасынан так тармак менен масканы таап, кийинки хопту, AS жолун жана импорт саясаты дал келиши мүмкүн болгон ар кандай жамаатты жазып алыңыз. Башкаруу панелиндеги жыйынтык маршрут так префикстин эч качан кабыл алынбаганын жашырышы мүмкүн.

Импорт саясаты — маршрут катасыз жоголуучу адаттагы жер. Префикс тизмеси, жамаат чыпкасы же кирүү маршрут картасы жаңыртууну ташташы мүмкүн, ал эми сессия жогору жана ден соолукта бойдон калат, ошондуктан жашыл кошуна жарыгы ушунча аз далилдейт. Журнал сабынын жоктугу чечимдин жоктугун билдирбейт. Адатта бул чечим так конфигурациялангандай үнсүз кабыл алынганын билдирет.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Чыгышты ушундай тартипте окуңуз. Алгачкы эки буйрук маалымат келгенин жана теңдеш эмнени жөнөттү деп билдирерин айтат; акыркы экөө бир нерсе маршруттоо жана жөнөтүү таблицаларына жеткенин айтат. Биринчи буйрукта бар жана үчүнчүдө жок префикс — тандоо же орнотуу маселеси, байланыш маселеси эмес.

Экинчи дарбаза: тандоо, анан орнотуу

BGP эң жакшы жолду тандайт, ал эми тандалган жол автоматтык түрдө орнотулбайт. Кийинки хоп чечилиши керек, ал эми башка маршрут булагы бул префиксти жакшыраак административдик аралык менен ээлеши мүмкүн. Көчүрүүдөн калган статикалык маршрут жарактуу BGP жолун жеңил жеңип, трафикти башка жакка жөнөтөт.

RFC 4271 үч идеяны өзүнчө кармайт: теңдеш эмнени жөнөттү, бул сүйлөгүч эмнени эң жакшы деп тандады жана андан ары эмнени жарыялайт. Булар концептуалдык ролдор, өндүрүүчү ачууга милдеттүү үч физикалык маалымат базасы эмес, бирок ушул бөлүнүү «ал BGPде бар» деген жоопту толук эмес кылат.

Ошондой эле кайсы маршруттоо контекстин окуп жатканыңызды текшериңиз. Колдонуучунун интерфейси тиешелүү эмес VRFке орнотулган маршрут ошол колдонуучунун пакеттерине көрүнбөйт, ал эми таблица бардык убакта туура көрүнөт.

Үчүнчү дарбаза: бул агымга колдонулуучу издөө

Эми маршрут жөнүндө суроону токтотуп, пакет жөнүндө сурай баштаңыз. Колдонуучунун булак дарегин, багытын, протоколун, портун жана кирүү интерфейсин жазып алыңыз, анткени алардын ар бири башка саясатты тандашы мүмкүн. Андан кийин жалпы маршруттоо таблицасынын ордуна ошол айкалышка колдонулуучу издөөнү караңыз.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Такталыраак префикс бул жерде эң көп кездешүүчү таң калыш, ал эми саясат маршруту экинчиси. Экөө тең сиз карап жаткан агрегаттан басымдуулук кылат, жана экөө тең BGP таблицасынын жыйынтыгында көрүнбөйт.

Шлюздун өзүнөн жөнөтүлгөн ping колдонуучунун сессиясы жөнүндө далил эмес. Башка булак дареги, башка саясат жолу жана көбүнчө башка натыйжа. Колдонмо колдонгон ошол эле булак менен сынаңыз, же тест башка суроого жооп берет деп кабыл алыңыз.

Төртүнчү дарбаза: жолдун алыскы жарымы

Эгер жергиликтүү издөө чын эле туннелди тандаса, пакетти дагы эле коргоо саясаты кабыл алышы, жөнөтүү эрежеси уруксат бериши жана аркы тарапта бир нерсе жооп бериши керек. Даректер жупун камтыбаган крипто ACL трафикти таштайт, ал эми туннел өзүн күйүк деп билдирет, бул маршруттоо бузулушунан айырмалоо кыйын күтүү убактысын жаратат.

Кайтуу жолу чыгуу жолу сыяктуу эле маанилүү. Булут тарабы филиалдын булагына кантип жетүүнү билиши керек, же маршрут аркылуу, же атайын конфигурациялаган трансляция аркылуу. Асимметриялык кайтуу жолдору бир гана багыттан сыналган долбоорлордо кеңири таралган.

Жаңы уруксат берилген туташууну үч байкоо менен байланыштырыңыз: дал келген жергиликтүү саясат, кыймылдаган туннел эсептегичтери жана көрүнгөн жердеги алыскы тараптагы кабыл алуу. Эсептегичтер кыймылдабаса, маршрут таблицасы эмне десе да, пакет туннелге эч качан кирген эмес. Алар кыймылдап, эч нерсе келбесе, алыскы тарап аны таштап жатат же туура эмес багыттап жатат. Бул эки натыйжа таптакыр башка командаларга алып барат.

Ийгиликсиз болгон өтүүнү атаңыз

Натыйжаны беш абалдын бири катары жазыңыз: кабыл алынган жок, саясат кабыл алган жок, тандалган жок, орнотулган жок же бул агымга дал келген жок. Жергиликтүү жол туура жана алыскы уч жооп бере албаган учур үчүн алтынчыны кошуңуз. Ошол сүйлөм — тапшырылуучу натыйжа, жана орнотулган кошунанын скриншотунан алда канча пайдалуу.

Кабыл алуу планында терс тестти да кармаңыз: туннелден өтпөшү керек болгон багыт, өзгөртүүдөн кийин текшерилген. Бир гана ийгиликтүү жолду далилдеген текшерүү тизмеси кийинки тейлөө терезесинде бирөө кошкон кеңири саясат эрежесин кармай албайт.