EVPN работает, а сервис нет: четыре точки проверки

Достижимость адреса удалённого VTEP доказывает, что нижележащая сеть передаёт пакеты, и только это. Сервису арендатора нужны сессия BGP EVPN с правильным семейством адресов, локальный VNI, подключённый и работающий, порождённый маршрут и импорт на дальнем конце. Это четыре отдельные точки проверки, каждая со своим способом исправления. Принимать зелёную нижележащую сеть за готовность сервиса — самая частая причина, по которой ввод EVPN застревает.

Читайте их по порядку и остановитесь на первой, которая не соответствует ожиданиям проекта. Последующие точки проверки не могут компенсировать предыдущий отказ.

Точка проверки 1: транспорт до VTEP

Начните с достижимости между loopback-адресами, используемыми как источники VTEP. Маршрут должен существовать в нижележащей сети, путь должен быть разрешён, включая любые требования к инкапсуляции, и обратный путь должен работать. Маршрут, который существует, но фильтруется в одном направлении, даёт асимметричный отказ, выглядящий как периодический. Подтвердите оба направления, прежде чем двигаться дальше.

Запишите проверенные адреса источника и назначения. Следующий шаг, который разрешает следующий хоп через другой адрес, — это другая проверка, и считать их одной — значит винить разрешённый следующий хоп в отказе транспорта.

Точка проверки 2: семейство EVPN, а не число сессий

Установленная сессия BGP не означает, что семейство адресов EVPN было согласовано. Посмотрите на состояние, специфичное для семейства, у соседа: включено ли семейство, согласовано ли оно с партнёром и несёт ли его сессия вообще. Сессия, поднятая для IPv4 unicast и ни разу не согласовавшая EVPN, не показывает ничего плохого в общей сводке соседей, а спецификация наложения EVPN рассматривает процедуры сервиса и управления как вопросы, отдельные от транспорта.

Проверьте и адрес источника сессии. Пиринг, построенный на адресе, который не является источником VTEP, — это несоответствие проекту, ждущее объяснения отказа пересылки.

Точка проверки 3: локальный сервис подключён

Локальный VNI должен быть подключён к мосту или VRF, представляющему арендатора, и платформа должна сообщать о нём как о работающем. Состояние членства, используемое моделью репликации, может иметь значение до изучения любого MAC хоста, поэтому пустая таблица конечных точек не является доказательством того, что сервис не работает.

Затем подтвердите, что устройство действительно порождает: локальный маршрут для этого VNI с route target, заданными проектом. VNI, подключённый, но не анонсированный, создаёт сервис, который существует локально и больше нигде.

Точка проверки 4: импорт у получателя

На принимающем устройстве сравнивайте экспортированные и импортированные route target, а не числовые VNI. Совпадающий номер VNI не доказывает, что принимающий экземпляр импортирует анонс, а несовпадающий route target невидим в списке VNI. Разрешите анонсированный следующий хоп через нижележащую сеть, прежде чем доверять записи пересылки. Затем читайте состояние пересылки наложения для сервиса, а не для устройства в целом.

Таблица партнёров может также отражать данные плоскости данных или изучение членства, специфичные для реализации. Читайте её происхождение и контекст сервиса вместе с маршрутом EVPN, вместо того чтобы считать число строк доказательством.

Одна запись, которая проходит путь

Держите одну запись на сервис: локальное состояние VNI, сосед EVPN и семейство, порождённый маршрут, а также полученный и импортированный результат. Пройдите эту запись от происхождения до установки. Когда что-то отказывает, запись говорит, какую из четырёх точек проверки исправлять, а не какую команду пробовать.

Добавляйте отметки времени, пока это делаете. Импорт, появляющийся через минуты после анонса, — вопрос политики или сходимости, тогда как тот, что не появляется никогда, — вопрос конфигурации, и эта разница видна только если вы записали, когда смотрели.

Когда статический VXLAN — правильный ответ

Статически настроенный путь данных VXLAN может работать с вручную заданными партнёрами, пока таблица EVPN остаётся пустой. Это не сломанное развёртывание EVPN, это другая модель управления. Решите, какую имеет в виду проект, прежде чем диагностировать пустую таблицу как отказ.

Сосед IGP в нижележащей сети обеспечивает транспорт и ничего больше. Состояние сервиса наложения — отдельная вещь для построения и отдельная вещь для проверки.