Den Tunnel steet, d’Route ass fort: zwee VPN-Feeler trennen

Een Host gëtt onerreechbar, wärend d’Tunnel-Schnittstell sech nach ëmmer als opgebaut mellt, an déi zwou Observatiounen si sech net am Widdersproch. Etwas huet de Wee ewechgeholl, deen den Trafic benotzt huet: en Nopesch huet säi Präfix zeréckgezunn, eng iwwerwaacht statesch Route gouf ewechgeholl, oder eng aner Route gouf méi beléift. D’Sécherheetsassociatioun kann an allen dräi Fäll komplett gesond bleiwen. D’Evenementer trenne bedeit ze froen, wéi eng Schicht sech als éischt geännert huet, an net ob de VPN versot huet.

Dräi Etappen, déi wéi een eenzegen Evenement ausgesinn

Eng Routingentscheedung huet dräi Etappen. De Präfix gëtt kritt, als beschten ausgewielt an an d’Weiderleitungstabell installéiert. All Etapp kann eleng versoen, an de Feeler gesäit vun der Applikatiounssäit identesch aus. E Präfix, dee geléiert gouf, awer d’Auswiel verluer huet, ass net vun engem z’ënnerscheeden, deen ni ukomm ass, wann deen eenzegen Beweis, deen Dir kuckt, d’Weiderleitungstabell ass.

Dofir ass déi éischt Fro, wéi eng Etapp gebrach ass, an net wéi ee Protokoll schold ass. D’Äntwert entscheet, wiem den Tëschefall gehéiert a wéi en Instrument déi nächst Iwwerpréiwung benotzt.

Liest fir d’éischt déi installéiert Route

Frot de Kernel, wouhi den Trafic fir d’gestéiert Zil tatsächlech geet. ip route get dréckt den nächsten Hop, d’Schnittstell an d’Quelladress, déi de Kernel géif benotzen, a se äntwert fir een Zil an net fir déi ganz Tabell. Wann d’Äntwert den Tunnel nennt, gleeft d’Weiderleitungstabell nach, datt de Wee existéiert, an de Problem läit driwwer.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Eng Äntwert «unreachable» bedeit, datt iwwerhaapt keng Route installéiert ass, wat op en Zeréckzuch oder op eng feelend Installatioun hindeit. Eng Äntwert, déi eng physesch Schnittstell nennt, bedeit, datt den Trafic den Tunnel verlooss huet, ouni datt een dat entscheet huet, an déi nächst Iwwerpréiwung ass déi Preferenz, déi gewonnen huet. Eng Äntwert, déi den Tunnel nennt, wärend d’Pakete weider verschwannen, weist weider ënnen am Wee, op d’Filterung oder op déi aner Säit.

Kuckt duerno d’Sicht vum Protokoll selwer

En Routing-Daemon hält méi wéi eng Tabell, an de interessante Verglach ass tëschent hinnen. Fir BGP sinn de Zoustand vun der Nopeschsitzung, d’erhalene Ukënnegung an déi installéiert Route dräi getrennt Beweiser. E Präfix kann an der erhalener Tabell stoen an de Kernel ni erreechen, well eng Route mat kuerzer administrativer Distanz gewënnt. Iwwerpréift all dräi, ier Dir schléisst, datt déi aner Säit opgehal huet ze ukënnegen.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

D’Zesummefaassung seet Iech, ob d’Sitzung opgebaut ass, d’Sicht pro Präfix seet, ob de Präfix ugeholl gouf, an d’Kernelsich seet, ob en installéiert gouf. Se an där Reihenfolg ze liesen verhënnert, datt e Sitzungsflackere mat engem Zeréckzuch verwiesselt gëtt, an en Zeréckzuch mat enger Oflehnung duerch d’Politik.

Wann d’Aueren net iwwerenee stëmmen

Setzt d’Tunnel-Log, d’Routing-Log an den éischten Applikatiounsfeeler op eng Zäitlinn mat hiren echte Zäitzonen. Wann den Nopeschverloscht als éischt kënnt, huet den Tunnel d’Route mat sech erofgerappt. Wann den Zeréckzuch als éischt kënnt, huet d’Routing sech geännert an den Tunnel huet duerno reagéiert. Dat sinn ënnerschiddlech Tëschefäll mat ënnerschiddlechen Eegentümer, an d’Reihenfolg ass dee ganzen Abléck.

Eng Minutt Auerofwäichung duer, fir dës Konklusioun ëmzekéieren, also bestätegt d’Zäitzon an den Offset, ier Dir der Sequenz vertraut. Apparater, déi an der lokaler Zäit ouni Offset logen, sinn déi üblech Quell vun enger selbstséchereg, awer falscher Zäitlinn.

Erhuelung ouni Schläif

No engem Zeréckzuch kënnen zwee Weeër a Fro kommen: deen, deen de Protokoll auswielt, an deen, deen Dir vun Hand festmécht. Nëmmen den éischten ass eng Entscheedung, déi d’Netz weider fir Iech hëlt, dofir ass eng manuell Route en Iwwergank an net en Erhuelungsplang. Eng alternativ Ukënnegung behält och keen Firewall- oder NAT-Zoustand fir eng Sitzung, déi schonn opgebaut ass, sou datt nei Flëss funktionéiere kënnen, wärend den ursprénglechen briechlech bleift. Bestätegt, wéi eng Reserv soll aktiv ginn a wéi dee wäite Site en Zeréckwee akzeptéiert duerch si.

Installéiert keng permanent statesch Iwwerschreifung, ier Dir verstitt, firwat den Zeréckzuch geschitt ass. Dee Schëtz kann den Trafic op en aneren, gescheiterten Wee pinnen oder eng bewosst Routingpolitik stille ëmgoen, an et begrueft déi ursprénglech Ursaach ënner enger neier Konfiguratioun. Test d’Applikatioun nach eng Kéier, wann d’Route restauréiert ass, a bestätegt, datt dee gewielte Präfix e funktionéierende Datewee huet an net nëmmen en Entrée an enger Tabell.