BGP huet de Prefix geléiert, awer den Traffic ëmgeet den Tunnel nach ëmmer

D'Filial-Gateway weist de Cloud-Prefix an senger BGP-Tabelle, d'Sessioun zum Provider ass opgebaut, an trotzdem verléisst d'Ufro vun engem Benotzer un dee Prefix déi falsch Interface. Näischt ass esou futti wéi d'Monitoring et suggeréiert, well „BGP huet et geléiert“ eng Ausso iwwer d'Kontrollfläch ass. Tëschent där Tabelle an dem Pak ginn et véier getrennte Iwwergäng, an de Flux stoppt bei genee engem dovun. Gitt d'Paarten an der Rei duerch a stoppt bei der éischter, déi feelt.

Éischt Paart: wat den Noper tatsächlech geschéckt huet

Fänkt mam Prefix esou un, wéi en empfaange gouf, net zesummegefaasst. Sicht d'exakt Netz an d'Mask an der BGP-Tabelle a notéiert den nächsten Hop, den AS-Pad an all Communautéit, op déi eng Importrichtlinn passen kéint. Eng Zesummefloss-Route an engem Dashboard kann de Fait verstoppen, datt dee konkrete Prefix ni akzeptéiert gouf.

D'Importrichtlinn ass déi üblech Plaz, wou eng Route ouni Feeler verschwënnt. Eng Prefixlëscht, e Communautéitsfilter oder eng incoming Route-Map kënnen d'Update verwerfen, während d'Sessioun uewen a gesond bleift, an dofir beweise gréng Nopeschluuch esou wéineg. D'Fehlen vun enger Logzeil bedeit net d'Fehlen vun enger Decisioun. Meeschtens heescht et, datt d'Decisioun stëll getraff gouf, genee wéi konfiguréiert.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Liest d'Ausgab an där Rei. Déi éischt zwou Kommandoen soen, ob d'Informatioun ukomm ass a wat de Peer behaaptt geschéckt ze hunn; déi lescht zwou soen, ob eppes d'Routing- an d'Forwardingstabellen erreecht huet. E Prefix, deen am éischte Kommando do ass an am drëtten feelt, ass e Problem vun der Auswiel oder Installatioun, net vun der Konnektivitéit.

Zweet Paart: Auswiel, dann Installatioun

BGP wielt de beschten Wee, an de gewielte Wee gëtt net automatesch installéiert. Den nächsten Hop muss opgeléist ginn, an eng aner Route-Quell huet dee Prefix vläicht schonn mat enger besserer administrativer Distanz. Eng statesch Route, déi vun der Migratioun iwwreg bliwwen ass, gewënnt ouni Mühe géint e gültege BGP-Wee an schéckt den Traffic soss anzwousch.

RFC 4271 hält dräi Iddien auseneen: wat e Peer geschéckt huet, wat dëse Speaker als Beschten ausgewielt huet a wat en duerno annoncéiere wäert. Dat sinn konzeptuell Rollen, net dräi physesch Datebanken, déi en Hiersteller muss offenleeën, awer genee dës Trennung mécht „et ass an BGP“ zu enger onvollstänneger Äntwert.

Kuckt och, wéi ee Routingkontext Dir liest. Eng Route, déi an enger VRF installéiert ass, zu där d'Interface vum Benotzer net gehéiert, ass fir d'Pakete vun deem Benotzer onsiichtbar, an d'Tabelle gesäit déi ganz Zäit richteg aus.

Drëtt Paart: d'Sich, déi fir dëse Flux gëlt

Hält elo op, no der Route ze froen, a fänkt un, no dem Pak ze froen. Notéiert d'Quelladress vum Benotzer, d'Zil, d'Protokoll, de Port an d'Ingress-Interface, well jiddweree dovun eng aner Richtlinn auswiele kann. Kuckt dann d'Sich, déi fir déi Kombinatioun gëlt, amplaz vun der allgemenger Routingstabell.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

E méi spezifesche Prefix ass hei déi heefegst Iwwerraschung, an eng Policy-Route déi zweet. Béid iwwerstëmmen d'Agregat, dat Dir ugekuckt hutt, an keng vun deenen zwee ass an enger Zesummefloss vun der BGP-Tabelle ze gesinn.

E Ping vum Gateway selwer ass kee Beweis iwwer d'Sessioun vun engem Benotzer. Aner Quelladress, anere Policy-Wee an dacks en anert Resultat. Testt mat der selwechter Quell, déi d'Applikatioun benotzt, oder akzeptéiert, datt den Test eng aner Fro beäntwert.

Véiert Paart: déi wäit Hallschent vum Wee

Wann déi lokal Sich den Tunnel tatsächlech auswielt, muss de Pak nach ëmmer vun der Schutzrichtlinn akzeptéiert, vun der Forwardingregel erlaabt a vun eppes op der anerer Säit beäntwert ginn. Eng Krypto-ACL, déi d'Adresspaar net enthält, verwërft den Traffic, während den Tunnel sech als uewen mellt, wat en Timeout erzeegt, deen net vun engem Routingfehler z'ënnerscheeden ass.

De Réckwee zielt esou vill wéi de Hiwwee. D'Cloudsäit muss wëssen, wéi si d'Filialquell erreecht, sief et iwwer eng Route oder iwwer eng Iwwersetzung, déi Dir bewosst konfiguréiert hutt. Asymmetresch Réckweeër sinn heefeg an Designen, déi nëmmen aus enger Richtung getest goufen.

Korreléiert eng frësch autoriséiert Verbindung mat dräi Observatiounen: déi lokal Richtlinn, déi gepasst huet, d'Tunnelzähler, déi sech beweegt hunn, an den Empfang op der wäiter Säit, wou dat sichtbar ass. Wa sech d'Zähler net beweegen, ass de Pak ni an den Tunnel komm, egal wat d'Routentabelle seet. Wa se sech beweegen an näischt ukommt, verwërft oder fehlleitet déi wäit Säit en. Déi zwou Resultater féieren zu komplett verschiddenen Teams.

Nennt den Iwwergang, dee gefeelt huet

Schreift d'Resultat als ee vu fënnef Zoustänn: net empfaangen, net vun der Richtlinn akzeptéiert, net ausgewielt, net installéiert oder net vun dësem Flux getraff. Füügt en sechsten derbäi fir de Fall, wou de lokale Wee richteg ass an dat wäit Enn net äntwere kann. Dee Saz ass d'Liwwerung, an en ass vill nëtzlecher wéi en Screenshot vun engem opgebauten Noper.

Halt och en negativen Test am Akzeptanzplang: en Zil, dat den Tunnel net duerchfuere soll, no der Ännerung verifizéiert. Eng Checklist, déi nëmmen de gléckleche Wee bewäist, fänkt déi breet Richtlinnsregel net, déi een am nächsten Ënnerhaltsfenster derbäisetzt.