BGP telah mempelajari awalan itu, tetapi trafik masih memintas terowong

Gerbang cawangan menunjukkan awalan awan dalam jadual BGPnya, sesi dengan pembekal terjalin, namun permintaan pengguna ke awalan itu masih keluar melalui antara muka yang salah. Tiada apa yang rosak seperti yang dicadangkan oleh pemantauan, kerana “BGP telah mempelajarinya” ialah pernyataan tentang satah kawalan. Antara jadual itu dan paket terdapat empat peralihan berasingan, dan aliran berhenti pada tepat salah satu daripadanya. Telusuri gerbang mengikut urutan dan berhenti pada yang pertama gagal.

Gerbang pertama: apa yang sebenarnya dihantar oleh jiran

Mulakan dengan awalan sebagaimana diterima, bukan sebagaimana diringkaskan. Cari rangkaian dan topeng yang tepat dalam jadual BGP dan catat lompatan seterusnya, laluan AS dan mana-mana komuniti yang mungkin dipadankan oleh dasar import. Laluan ringkasan pada papan pemuka boleh menyembunyikan fakta bahawa awalan khusus itu tidak pernah diterima.

Dasar import ialah tempat biasa sesuatu laluan hilang tanpa ralat. Senarai awalan, penapis komuniti atau peta laluan masuk boleh menggugurkan kemas kini semasa sesi kekal naik dan sihat, dan itulah sebabnya lampu jiran hijau membuktikan begitu sedikit. Ketiadaan baris log bukan bermakna ketiadaan keputusan. Biasanya ia bermakna keputusan dibuat secara senyap, tepat seperti yang dikonfigurasikan.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Baca output dalam urutan itu. Dua arahan pertama memberitahu sama ada maklumat itu tiba dan apa yang dikatakan rakan setara tentang apa yang dihantar; dua yang terakhir memberitahu sama ada sesuatu sampai ke jadual penghalaan dan penghantaran. Awalan yang ada dalam arahan pertama dan tiada dalam yang ketiga ialah masalah pemilihan atau pemasangan, bukan masalah kesambungan.

Gerbang kedua: pemilihan, kemudian pemasangan

BGP memilih laluan terbaik, dan laluan yang dipilih tidak dipasang secara automatik. Lompatan seterusnya mesti diselesaikan, dan sumber laluan lain mungkin sudah memiliki awalan itu dengan jarak pentadbiran yang lebih baik. Laluan statik yang tertinggal daripada migrasi akan mudah mengalahkan laluan BGP yang sah dan menghantar trafik ke tempat lain.

RFC 4271 memisahkan tiga idea: apa yang dihantar oleh rakan setara, apa yang dipilih oleh penutur ini sebagai terbaik, dan apa yang akan diumumkannya seterusnya. Itu peranan konsep, bukan tiga pangkalan data fizikal yang mesti didedahkan oleh pembekal, tetapi pemisahan itulah yang menjadikan “ia ada dalam BGP” jawapan yang tidak lengkap.

Periksa juga konteks penghalaan mana yang anda baca. Laluan yang dipasang dalam VRF yang tidak mengandungi antara muka pengguna tidak kelihatan kepada paket pengguna itu, dan jadualnya kelihatan betul sepanjang masa.

Gerbang ketiga: carian yang terpakai kepada aliran ini

Sekarang berhenti bertanya tentang laluan dan mula bertanya tentang paket. Catat alamat sumber pengguna, destinasi, protokol, port dan antara muka masuk, kerana setiap satunya boleh memilih dasar yang berbeza. Kemudian lihat carian yang terpakai kepada gabungan itu dan bukan jadual penghalaan umum.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Awalan yang lebih khusus ialah kejutan paling biasa di sini, dan laluan dasar ialah yang kedua. Kedua-duanya mengatasi agregat yang anda lihat, dan kedua-duanya tidak kelihatan dalam ringkasan jadual BGP.

Ping yang dihantar dari gerbang itu sendiri bukan bukti tentang sesi pengguna. Alamat sumber berbeza, laluan dasar berbeza dan selalunya keputusan berbeza. Uji dengan sumber yang sama seperti yang digunakan oleh aplikasi, atau terima bahawa ujian itu menjawab soalan lain.

Gerbang keempat: separuh laluan yang jauh

Jika carian setempat benar-benar memilih terowong, paket itu masih perlu diterima oleh dasar perlindungan, dibenarkan oleh peraturan penghantaran dan dijawab oleh sesuatu di sebelah sana. ACL kripto yang tidak merangkumi pasangan alamat akan menggugurkan trafik semasa terowong melaporkan dirinya naik, yang menghasilkan tamat masa yang tidak dapat dibezakan daripada kegagalan penghalaan.

Laluan balik sama pentingnya dengan laluan keluar. Pihak awan mesti tahu bagaimana hendak sampai ke sumber cawangan, sama ada melalui laluan atau melalui terjemahan yang anda konfigurasikan dengan sengaja. Laluan balik tidak simetri adalah biasa dalam reka bentuk yang diuji dari satu arah sahaja.

Kaitkan sambungan dibenarkan yang baharu dengan tiga pemerhatian: dasar setempat yang sepadan, pembilang terowong yang bergerak, dan penerimaan di sebelah jauh di mana ia kelihatan. Jika pembilang tidak bergerak, paket itu tidak pernah memasuki terowong, apa pun kata jadual laluan. Jika ia bergerak dan tiada apa yang tiba, pihak jauh menggugurkannya atau salah menjalankan penghalaan. Kedua-dua hasil itu membawa kepada pasukan yang sama sekali berbeza.

Namakan peralihan yang gagal

Tulis hasilnya sebagai salah satu daripada lima keadaan: tidak diterima, tidak diterima oleh dasar, tidak dipilih, tidak dipasang, atau tidak dipadankan oleh aliran ini. Tambah yang keenam untuk kes di mana laluan setempat betul dan hujung jauh tidak dapat menjawab. Ayat itulah hasil serahan, dan ia jauh lebih berguna daripada tangkapan skrin jiran yang terjalin.

Kekalkan juga ujian negatif dalam pelan penerimaan: destinasi yang tidak boleh merentasi terowong, disahkan selepas perubahan. Senarai semak yang hanya membuktikan laluan bahagia tidak akan menangkap peraturan dasar luas yang ditambah oleh seseorang pada tetingkap penyelenggaraan seterusnya.