Tunelis stovi, maršrutas dingo: atskirti du VPN gedimus

Vienas kompiuteris tampa nepasiekiamas, nors tunelio sąsaja vis dar praneša esanti sukurta, ir šie du pastebėjimai neprieštarauja vienas kitam. Kažkas pašalino kelią, kuriuo naudojosi srautas: kaimynas atšaukė savo prefiksą, stebimas statinis maršrutas buvo pašalintas arba kitas maršrutas tapo pageidaujamas. Saugos asociacija gali likti visiškai sveika visais trimis atvejais. Įvykius atskirti reiškia klausti, kuris sluoksnis pasikeitė pirmas, o ne ar VPN nepavyko.

Trys etapai, atrodantys kaip vienas įvykis

Maršrutizavimo sprendimas turi tris etapus. Prefiksas priimamas, parenkamas kaip geriausias ir įdiegiamas į persiuntimo lentelę. Kiekvienas etapas gali nepavykti savarankiškai, o gedimas iš programos pusės atrodo vienodai. Išmoktas, bet pasirinkimo pralaimėjęs prefiksas nesiskiria nuo to, kuris niekada neatėjo, kai vienintelis įrodymas, į kurį žiūrite, yra persiuntimo lentelė.

Todėl pirmas klausimas yra kuris etapas lūžo, o ne kuris protokolas kaltas. Atsakymas nusprendžia, kam priklauso incidentas ir kokį įrankį naudos kitas patikrinimas.

Pirmiausia skaitykite įdiegtą maršrutą

Paklauskite branduolio, kur iš tikrųjų eina srautas į sugadintą paskirties vietą. ip route get išspausdina kitą šuolį, sąsają ir šaltinio adresą, kurį naudotų branduolys, ir atsako vienai paskirties vietai, o ne visai lentelei. Jei atsakyme nurodytas tunelis, persiuntimo lentelė vis dar tiki, kad kelias egzistuoja, ir problema yra virš jos.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Atsakymas «unreachable» reiškia, kad įdiegto maršruto visai nėra, tai rodo atšaukimą arba trūkstamą įdiegimą. Atsakymas, kuriame nurodyta fizinė sąsaja, reiškia, kad srautas paliko tunelį niekam nenusprendus, o kitas patikrinimas yra laimėjęs prioritetas. O atsakymas, kuriame nurodytas tunelis, kai paketai vis dar dingsta, rodo toliau kelyje, filtravimą arba kitą pusę.

Tada pažiūrėkite į paties protokolo vaizdą

Maršrutizavimo tarnyba laiko daugiau nei vieną lentelę, o įdomiausias palyginimas yra tarp jų. BGP atveju kaimyno sesijos būsena, gautas skelbimas ir įdiegtas maršrutas yra trys atskiri įrodymai. Prefiksas gali likti gautoje lentelėje ir niekada nepasiekti branduolio, nes laimi maršrutas su trumpesniu administraciniu atstumu. Patikrinkite visus tris, prieš darydami išvadą, kad kita pusė nustojo skelbti.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Suvestinė pasako, ar sesija sukurta, vaizdas pagal prefiksą pasako, ar prefiksas priimtas, o paieška branduolyje pasako, ar jis įdiegtas. Skaitymas šia tvarka neleidžia supainioti sesijos virpėjimo su atšaukimu, o atšaukimo su politiniu atmetimu.

Kai laikrodžiai nesutaria

Sudėkite tunelio žurnalą, maršrutizavimo žurnalą ir pirmą programos gedimą į vieną laiko juostą naudodami jų tikrąsias laiko zonas. Jei kaimyno praradimas ateina pirmas, tunelis nusileido maršrutą kartu su savimi. Jei atšaukimas ateina pirmas, maršrutizavimas pasikeitė, o tunelis sureagavo vėliau. Tai skirtingi incidentai su skirtingais savininkais, o tvarka yra visas radinys.

Vienos minutės laikrodžio nuokrypis pakanka tai išvadai apversti, todėl prieš pasitikėdami seka patvirtinkite laiko zoną ir poslinkį. Įrenginiai, kurie registruoja vietiniu laiku be poslinkio, yra įprastas pasitikinčios, bet neteisingos laiko juostos šaltinis.

Atkūrimas be kilpos

Po atšaukimo gali būti tinkami du keliai: tas, kurį pasirenka protokolas, ir tas, kurį prisegate ranka. Tik pirmasis yra sprendimas, kurį tinklas ir toliau priima už jus, todėl rankinis maršrutas yra laikina priemonė, o ne atkūrimo planas. Alternatyvus skelbimas taip pat neišsaugo ugniasienės ar NAT būsenos jau sukurtai sesijai, todėl nauji srautai gali veikti, kol pradinis lieka sugadintas. Patvirtinkite, kuri atsarginė priemonė turėtų tapti aktyvi, ir ar nuotolinė vietovė priims grįžimo kelią per ją.

Neįdiekite nuolatinio statinio pakeitimo, kol nesupratote, kodėl įvyko atšaukimas. Šis trumpasis kelias gali prisegti srautą prie nepavykusio kelio arba tyliai apeiti sąmoningą maršrutizavimo politiką, ir jis palaidoja pradinę priežastį po nauja konfigūracija. Kai maršrutas atkurtas, dar kartą patikrinkite programą ir patvirtinkite, kad pasirinktas prefiksas turi veikiantį duomenų kelią, o ne tik įrašą lentelėje.