BGP iemācījās prefiksu, bet trafiks joprojām apiet tuneli

Filiāles vārteja rāda mākoņa prefiksu savā BGP tabulā, sesija ar pakalpojumu sniedzēju ir izveidota, un tomēr lietotāja pieprasījums uz šo prefiksu joprojām iziet pa nepareizo saskarni. Nekas nav salūzis tā, kā liecina uzraudzība, jo „BGP to iemācījās“ ir apgalvojums par vadības plakni. Starp šo tabulu un paku ir četras atsevišķas pārejas, un plūsma apstājas tieši pie vienas no tām. Ejiet cauri vārtiem secīgi un apstājieties pie pirmajiem, kas neizdodas.

Pirmie vārti: ko kaimiņš faktiski nosūtīja

Sāciet ar prefiksu tādu, kāds tas saņemts, nevis apkopotu. Atrodiet precīzu tīklu un masku BGP tabulā un pierakstiet nākamo lēcienu, AS ceļu un jebkuru kopienu, kam importa politika varētu atbilst. Kopsavilkuma maršruts informācijas panelī var paslēpt faktu, ka konkrētais prefikss nekad netika pieņemts.

Importa politika ir ierastā vieta, kur maršruts pazūd bez kļūdas. Prefiksu saraksts, kopienu filtrs vai ienākošā maršruta karte var nomest atjauninājumu, kamēr sesija paliek aktīva un vesela, tāpēc zaļa kaimiņa gaisma pierāda tik maz. Žurnāla rindas neesamība nenozīmē lēmuma neesamību. Parasti tas nozīmē, ka lēmums pieņemts klusi, tieši tā, kā konfigurēts.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Lasiet izvadi šādā secībā. Pirmās divas komandas norāda, vai informācija ieradās un ko partneris apgalvo, ka nosūtījis; pēdējās divas – vai kaut kas sasniedza maršrutēšanas un pārsūtīšanas tabulas. Prefikss, kas ir pirmajā komandā un nav trešajā, ir atlases vai instalēšanas problēma, nevis savienojamības problēma.

Otrie vārti: atlase, tad instalēšana

BGP izvēlas labāko ceļu, un izvēlētais ceļš netiek instalēts automātiski. Nākamajam lēcienam jāatrisinās, un citam maršrutu avotam jau var piederēt šis prefikss ar labāku administratīvo distanci. Migrācijas laikā palicis statiskais maršruts viegli uzvarēs derīgu BGP ceļu un nosūtīs trafiku citur.

RFC 4271 tur trīs idejas atsevišķi: ko nosūtīja partneris, ko šis runātājs izvēlējās kā labāko un ko tas reklamēs tālāk. Tie ir konceptuāli lomas, nevis trīs fiziskas datubāzes, kas piegādātājam jāatklāj, bet tieši šī atdalīšana padara „tas ir BGP“ par nepilnīgu atbildi.

Pārbaudiet arī, kuru maršrutēšanas kontekstu jūs lasāt. Maršruts, kas instalēts VRF, kurai lietotāja saskarne nepieder, ir neredzams šī lietotāja pakām, un tabula visu laiku izskatās pareiza.

Trešie vārti: meklēšana, kas attiecas uz šo plūsmu

Tagad pārtrauciet jautāt par maršrutu un sāciet jautāt par paku. Pierakstiet lietotāja avota adresi, galamērķi, protokolu, portu un ieejas saskarni, jo katrs no tiem var izvēlēties citu politiku. Pēc tam apskatiet meklēšanu, kas attiecas uz šo kombināciju, nevis vispārējo maršrutēšanas tabulu.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Konkrētāks prefikss šeit ir visbiežākā pārsteigums, un politikas maršruts ir otrais. Abi pārspēj agregātu, uz kuru jūs skatījāties, un neviens nav redzams BGP tabulas kopsavilkumā.

Pings no pašas vārtejas nav pierādījums par lietotāja sesiju. Cita avota adrese, cits politikas ceļš un bieži cits rezultāts. Pārbaudiet ar to pašu avotu, ko izmanto lietojumprogramma, vai pieņemiet, ka tests atbild uz citu jautājumu.

Ceturtie vārti: ceļa tālā puse

Ja vietējā meklēšana tiešām izvēlas tuneli, paku joprojām ir jāpieņem aizsardzības politikai, jāatļauj pārsūtīšanas noteikumam un jāatbild kaut kam otrā pusē. Kripto ACL, kas neietver adrešu pāri, izmetīs trafiku, kamēr tunelis ziņo, ka tas ir aktīvs, kas rada taimautu, ko nevar atšķirt no maršrutēšanas kļūmes.

Atgriešanās ceļš ir tikpat svarīgs kā izejošais. Mākoņa pusei jāzina, kā sasniegt filiāles avotu, vai nu ar maršrutu, vai ar apzināti konfigurētu tulkojumu. Asimetriski atgriešanās ceļi ir izplatīti projektos, kas pārbaudīti tikai vienā virzienā.

Saistiet svaigu autorizētu savienojumu ar trim novērojumiem: atbilstošo vietējo politiku, kustējušos tuneļa skaitītājus un saņemšanu tālajā pusē, kur tas ir redzams. Ja skaitītāji nekustas, paka nekad nav iekļuvusi tunelī, lai ko teiktu maršrutu tabula. Ja tie kustas un nekas neierodas, tālā puse to izmet vai maršrutē nepareizi. Šie divi iznākumi ved pie pilnīgi atšķirīgām komandām.

Nosauciet pāreju, kas neizdevās

Pierakstiet rezultātu kā vienu no pieciem stāvokļiem: nav saņemts, nav pieņemts ar politiku, nav atlasīts, nav instalēts vai šī plūsma neatbilst. Pievienojiet sesto gadījumam, kad vietējais ceļš ir pareizs un tālais gals nevar atbildēt. Šis teikums ir rezultāts, un tas ir daudz noderīgāks par izveidota kaimiņa ekrānuzņēmumu.

Pieņemšanas plānā saglabājiet arī negatīvu testu: galamērķis, kam nevajadzētu šķērsot tuneli, pārbaudīts pēc izmaiņām. Kontrolsaraksts, kas pierāda tikai veiksmīgo ceļu, neuzķers plašo politikas noteikumu, ko kāds pievienos nākamajā apkopes logā.