BGP го научи префиксот, но сообраќајот сè уште го заобиколува тунелот

Портата на огранокот го прикажува префиксот на облакот во својата BGP табела, сесијата со провајдерот е воспоставена, а сепак барањето на корисникот до тој префикс излегува низ погрешен интерфејс. Ништо не е расипано онака како што сугерира мониторингот, зашто „BGP го научи“ е тврдење за контролната рамнина. Помеѓу таа табела и пакетот има четири одделни премини, а текот застанува точно на еден од нив. Поминете ги портите по ред и застанете на првата што не успева.

Прва порта: што всушност испрати соседот

Започнете со префиксот како примен, а не како сумиран. Најдете ја точната мрежа и маска во BGP табелата и запишете го следниот хоп, AS патеката и секоја заедница што би можела да ја совпадне политиката за увоз. Сумиран маршрут на контролната табла може да го сокрие фактот дека конкретниот префикс никогаш не бил прифатен.

Политиката за увоз е вообичаеното место каде маршрутот исчезнува без грешка. Список на префикси, филтер за заедници или карта на влезни маршрути можат да го отфрлат ажурирањето додека сесијата останува подигната и здрава, и затоа зелено соседско светло докажува толку малку. Отсуството на линија во дневникот не значи отсуство на одлука. Обично значи дека одлуката е донесена тивко, точно како што е конфигурирано.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Читајте го излезот по тој ред. Првите две команди кажуваат дали информацијата пристигнала и што тврди партнерот дека испратил; последните две кажуваат дали нешто стигнало до табелите за рутирање и препраќање. Префикс присутен во првата команда, а отсутен во третата, е проблем со изборот или инсталацијата, не со поврзаноста.

Втора порта: избор, потоа инсталација

BGP избира најдобра патека, а избраната патека не се инсталира автоматски. Следниот хоп мора да се реши, а друг извор на маршрути може веќе да го поседува тој префикс со подобра административна оддалеченост. Статичен маршрут оставен од миграцијата лесно ќе победи валидна BGP патека и ќе го прати сообраќајот на друго место.

RFC 4271 држи три идеи одвоени: што испратил партнерот, што овој говорник избрал како најдобро и што ќе рекламира понатаму. Тоа се концептуални улоги, а не три физички бази на податоци што добавувачот мора да ги открие, но токму таа поделба го прави „тоа е во BGP“ нецелосен одговор.

Проверете и кој контекст на рутирање го читате. Маршрут инсталиран во VRF на која интерфејсот на корисникот не ѝ припаѓа е невидлив за пакетите на тој корисник, а табелата изгледа исправна цело време.

Трета порта: пребарувањето што се однесува на овој тек

Сега престанете да прашувате за маршрутот и почнете да прашувате за пакетот. Запишете ја изворната адреса на корисникот, дестинацијата, протоколот, портата и влезниот интерфејс, зашто секој од нив може да избере друга политика. Потоа погледнете го пребарувањето што се однесува на таа комбинација, наместо општата табела за рутирање.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Поконкретен префикс е најчестото изненадување тука, а политичкиот маршрут е второто. И двете го надминуваат агрегатот што го гледавте, и ниту едно не е видливо во сумар на BGP табелата.

Пинг испратен од самата порта не е доказ за сесија на корисник. Друга изворна адреса, друга политичка патека и често друг резултат. Тестирајте со истиот извор што го користи апликацијата, или прифатете дека тестот одговара на друго прашање.

Четврта порта: далечната половина од патеката

Ако локалното пребарување навистина го избере тунелот, пакетот сепак мора да биде прифатен од заштитната политика, дозволен од правилото за препраќање и да добие одговор од нешто на другата страна. Крипто ACL што не го вклучува парот адреси ќе го отфрли сообраќајот додека тунелот се пријавува како активен, што создава истекување на време што не се разликува од дефект во рутирањето.

Повратната патека е исто толку важна како излезната. Страната на облакот мора да знае како да стигне до изворот на огранокот, или преку маршрут или преку превод што намерно сте го конфигурирале. Асиметричните повратни патеки се вообичаени во дизајни тестирани само од една насока.

Поврзете свежа авторизирана врска со три набљудувања: локалната политика што се совпадна, бројачите на тунелот што се поместија и приемот на далечната страна каде што е видлив. Ако бројачите не се поместат, пакетот никогаш не влегол во тунелот, што и да каже табелата за маршрути. Ако се поместат, а ништо не пристигне, далечната страна го отфрла или погрешно го рутира. Тие два исхода водат до сосема различни тимови.

Именувајте го преминот што не успеа

Запишете го резултатот како една од пет состојби: не е примен, не е прифатен од политика, не е избран, не е инсталиран или не е совпаднат од овој тек. Додадете шеста за случајот кога локалната патека е исправна, а далечниот крај не може да одговори. Таа реченица е резултатот и е далеку поупотребна од екранска слика на воспоставен сосед.

Задржете и негативен тест во планот за прифаќање: дестинација што не смее да помине низ тунелот, проверена по промената. Контролен список што докажува само среќна патека нема да го фати широкото правило за политика што некој ќе го додаде во следниот прозорец за одржување.