Tunelis stāv, maršruts pazuda: atdalīt divus VPN bojājumus

Viens resursdators kļūst nesasniedzams, kamēr tuneļa saskarne joprojām ziņo, ka tā ir izveidota, un šie divi novērojumi nav pretrunā. Kaut kas noņēma ceļu, ko izmantoja datplūsma: kaimiņš atsauca savu prefiksu, tika noņemts izsekotais statiskais maršruts, vai arī cits maršruts kļuva vēlamāks. Drošības asociācija var palikt pilnīgi vesela visos trīs gadījumos. Notikumu atdalīšana nozīmē jautāt, kurš slānis mainījās pirmais, nevis vai VPN neizdevās.

Trīs posmi, kas izskatās kā viens notikums

Maršrutēšanas lēmumam ir trīs posmi. Prefikss tiek saņemts, atlasīts kā labākais un instalēts pāradresācijas tabulā. Katrs posms var neizdoties pats par sevi, un bojājums no lietojumprogrammas puses izskatās identiski. Apmācītu, bet atlases zaudējušu prefiksu nevar atšķirt no tā, kas nekad nav ieradies, ja vienīgais pierādījums, uz ko skatāties, ir pāradresācijas tabula.

Tāpēc pirmais jautājums ir, kurš posms salūza, nevis kurš protokols ir vainīgs. Atbilde nosaka, kam pieder incidents un kādu rīku izmantos nākamā pārbaude.

Vispirms lasiet instalēto maršrutu

Pajautājiet kodolam, kur datplūsma uz bojāto galamērķi patiešām iet. ip route get izdrukā nākamo lēcienu, saskarni un avota adresi, ko kodols izmantotu, un tā atbild par vienu galamērķi, nevis par visu tabulu. Ja atbilde nosauc tuneli, pāradresācijas tabula joprojām tic, ka ceļš pastāv, un problēma atrodas virs tās.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Atbilde «unreachable» nozīmē, ka nav instalēts neviens maršruts, kas norāda uz atsaukšanu vai trūkstošu instalāciju. Atbilde, kas nosauc fizisku saskarni, nozīmē, ka datplūsma atstāja tuneli, nevienam to neizlemjot, un nākamā pārbaude ir prioritāte, kas uzvarēja. Savukārt atbilde, kas nosauc tuneli, kamēr paketes joprojām pazūd, norāda tālāk ceļā, uz filtrēšanu vai uz otru pusi.

Pēc tam aplūkojiet paša protokola skatījumu

Maršrutēšanas dēmons tur vairāk nekā vienu tabulu, un interesantākais salīdzinājums ir starp tām. BGP gadījumā kaimiņa sesijas stāvoklis, saņemtais paziņojums un instalētais maršruts ir trīs atsevišķi pierādījumi. Prefikss var palikt saņemtajā tabulā un nekad nesasniegt kodolu, jo uzvar maršruts ar īsāku administratīvo attālumu. Pārbaudiet visus trīs, pirms secināt, ka otra puse pārtrauca paziņot.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Kopsavilkums pasaka, vai sesija ir izveidota, skats pa prefiksiem pasaka, vai prefikss tika pieņemts, un kodola meklēšana pasaka, vai tas tika instalēts. Lasīšana šādā secībā neļauj sajaukt sesijas trīcēšanu ar atsaukšanu un atsaukšanu ar politikas noraidījumu.

Kad pulksteņi nesakrīt

Novietojiet tuneļa žurnālu, maršrutēšanas žurnālu un pirmo lietojumprogrammas kļūmi uz vienas laika līnijas, izmantojot to īstās laika zonas. Ja kaimiņa zudums nāk pirmais, tunelis nogāza maršrutu kopā ar sevi. Ja atsaukšana nāk pirmā, maršrutēšana mainījās, un tunelis reaģēja pēc tam. Tie ir dažādi incidenti ar dažādiem īpašniekiem, un secība ir viss atradums.

Vienas minūtes pulksteņa novirze ir pietiekama, lai šo secinājumu apgrieztu, tāpēc pirms uzticēties secībai apstipriniet laika zonu un nobīdi. Ierīces, kas reģistrē vietējā laikā bez nobīdes, ir parastais pašpārliecinātas, bet nepareizas laika līnijas avots.

Atjaunošana bez cilpas

Pēc atsaukšanas var būt piemēroti divi ceļi: tas, kuru izvēlas protokols, un tas, kuru jūs piespraudat ar roku. Tikai pirmais ir lēmums, ko tīkls turpina pieņemt jūsu vietā, tāpēc manuālais maršruts ir pagaidu risinājums, nevis atjaunošanas plāns. Alternatīvs paziņojums arī ne saglabā ugunsmūra vai NAT stāvokli jau izveidotai sesijai, tāpēc jaunas plūsmas var darboties, kamēr sākotnējā paliek salauzta. Apstipriniet, kurai rezervei jākļūst aktīvai, un vai attālā vieta pieņems atgriešanās ceļu caur to.

Neinstalējiet pastāvīgu statisku aizstāšanu, pirms nesaprotat, kāpēc notika atsaukšana. Šis īsceļš var piespraust datplūsmu neveiksmīgam ceļam vai klusi apiet apzinātu maršrutēšanas politiku, un tas apglabā sākotnējo cēloni zem jaunas konfigurācijas. Kad maršruts ir atjaunots, vēlreiz pārbaudiet lietojumprogrammu un apstipriniet, ka izvēlētajam prefiksam ir strādājošs datu ceļš, nevis tikai ieraksts tabulā.