Тунелот стои, рутата исчезна: раздвојување на два VPN дефекти

Еден домаќин станува недостапен додека интерфејсот на тунелот се уште се пријавува како воспоставен, и двете набљудувања не се во спротивност. Нешто ја отстрани патеката што ја користеше сообраќајот: соседот го повлече својот префикс, следената статичка рута беше отстранета, или друга рута стана попосакувана. Безбедносната асоцијација може да остане сосема здрава во сите три случаи. Раздвојувањето на настаните значи да се праша кој слој се промени прв, а не дали VPN-от не успеа.

Три фази што изгледаат како еден настан

Одлуката за рутирање има три фази. Префиксот се прима, се избира како најдобар и се инсталира во табелата за препраќање. Секоја фаза може да не успее сама, а дефектот изгледа исто од страната на апликацијата. Научен, но во изборот поразен префикс не се разликува од оној што никогаш не пристигнал, кога единствениот доказ што го гледате е табелата за препраќање.

Затоа првото прашање е која фаза се скрши, а не кој протокол е виновен. Одговорот одлучува чиј е инцидентот и кој алат ќе го користи следната проверка.

Прво прочитајте ја инсталираната рута

Прашајте го јадрото каде всушност оди сообраќајот кон дефектната дестинација. ip route get го печати следниот скок, интерфејсот и изворната адреса што би ја користело јадрото, и одговара за една дестинација, а не за целата табела. Ако одговорот го именува тунелот, табелата за препраќање се уште верува дека патеката постои и проблемот е над неа.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Одговорот «unreachable» значи дека воопшто нема инсталирана рута, што упатува на повлекување или на недостижна инсталација. Одговор што именува физички интерфејс значи дека сообраќајот го напуштил тунелот без некој да одлучи така, а следната проверка е предноста што победи. А одговор што го именува тунелот додека пакетите се уште исчезнуваат упатува понатаму по патеката, на филтрирање или на спротивната страна.

Потоа погледнете го сопствениот поглед на протоколот

Демонот за рутирање држи повеќе од една табела, а интересната споредба е меѓу нив. За BGP, состојбата на соседната сесија, примениот оглас и инсталираната рута се три одделни докази. Префиксот може да стои во примената табела и никогаш да не стигне до јадрото, бидејќи победува рута со пократко административно растојание. Проверете ги сите три пред да заклучите дека другата страна престана да огласува.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Резимето ви кажува дали сесијата е воспоставена, приказот по префикс дали префиксот е прифатен, а пребарувањето во јадрото дали е инсталиран. Читањето по тој ред спречува треперење на сесијата да се замени со повлекување, а повлекувањето со одбивање по политика.

Кога часовниците не се согласуваат

Ставете го дневникот на тунелот, дневникот на рутирање и првиот дефект на апликацијата на една временска линија користејќи ги нивните вистински временски зони. Ако загубата на соседот дојде прва, тунелот ја урна рутата со себе. Ако повлекувањето дојде прво, рутирањето се промени и тунелот реагираше потоа. Тоа се различни инциденти со различни сопственици, а редоследот е целиот наод.

Една минута отстапување на часовникот е доволна за да се преврти тој заклучок, затоа потврдете ја временската зона и поместувањето пред да му верувате на редоследот. Уредите што водат дневник во локално време без поместување се вообичаениот извор на самоуверена, но погрешна временска линија.

Враќање без јамка

По повлекувањето две патеки можат да бидат подобни: онаа што ја избира протоколот и онаа што ја прицврстувате рачно. Само првата е одлука што мрежата продолжува да ја носи за вас, затоа рачната рута е привремено решение, а не план за враќање. Алтернативниот оглас исто така не го зачувува состојбата на ѕидот за заштита или NAT за веќе воспоставена сесија, така што новите текови може да работат додека оригиналниот останува скршен. Потврдете која резерва треба да стане активна и дали оддалечената локација ќе прифати повратна патека низ неа.

Не инсталирајте трајно статичко презапишување пред да разберете зошто се случило повлекувањето. Тој кратен пат може да го прицврсти сообраќајот на неуспешна патека или тивко да заобиколи намерна политика за рутирање, и ја закопува првобитната причина под нова конфигурација. Откако рутата е вратена, повторно тестирајте ја апликацијата и потврдете дека избраниот префикс има работна податочна патека, а не само запис во табела.