BGP sesija aktivna, putanja klijenta pokvarena: MPLS preko DMVPN-a

Peeriranje je aktivno nedeljama, broj prefiksa izgleda ispravno, a saobraćaj jednog klijenta i dalje ide dužim putem ili uopšte ne stiže. Isti pokazatelj procenjuje dve različite stvari. BGP sesija javlja da dva peera mogu razmenjivati poruke preko TCP veze; ona ne govori ništa o tome može li overlay preneti označeni paket baš za tog klijenta.

Tu prazninu je najlakše videti u dizajnu MPLS preko DMVPN-a, gde se put preko haba i direktni put preko spoke-a mogu ponašati različito iz razloga koji nemaju veze s peeriranjem.

Šta sesija zapravo dokazuje

BGP radi preko TCP-a, pa svakom peeru treba ruta do adrese drugog kraja pre nego što se bilo šta drugo dogodi. Ako za taj kraj odaberete loopback, stvorili ste zahtev za dosegljivošću, a ne garanciju prosleđivanja. Sesija zatim može ostati aktivna kroz interfejs koji klijentski saobraćaj nikada ne bi koristio.

Zabeležite četiri činjenice na oba kraja pre nego što zaključite: izvornu adresu sesije, odredišnu adresu, kontekst rutiranja u kojem se nalazi i koji bi interfejs kernel ili ruter odabrao za taj par. Te činjenice opisuju kontrolnu ravan. Klijentski paketi na njih dodaju VRF, stek oznaka i overlay mapiranje.

Četiri mehanizma, ne jedan

Ciscova dokumentacija za MPLS preko DMVPN-a jasno razdvaja delove. MP-BGP distribuira klijentske overlay oznake između uređaja na ivici provajdera. MPLS koristi te oznake za izbor konteksta prosleđivanja paketa. NHRP mapira overlay adresu na transportni kraj koji dinamičkom tunelu treba. IPsec štiti peer put gde se primenjuje.

Bilo koji od četiri može biti ispravan dok je drugi pogrešan, a kombinacija je ono što nosi saobraćaj. Razmena ruta može završiti dok veza oznake za jedan VRF nedostaje, dok NHRP mapiranje pokazuje na zastarelu transportnu adresu ili dok tunel postoji ali nijedna politika ne dopušta unutrašnji paket. Nijedan od tih uslova ne ruši sesiju.

Uporedite put preko haba sa prečicom, jednu varijablu po jednu

Fiksirajte izvorni host, odredišni host i VRF, zatim pratite isti tok dva puta. Na putu preko haba zabeležite sledeći hop, servisnu oznaku koja identifikuje udaljeni klijentski kontekst i mapiranje overlaya u transport koje se koristi. Na predviđenom direktnom putu zabeležite iste tri stvari. Razlika između dve liste je kvar, ili njegovo odsustvo.

Držite tok stalnim tokom poređenja. Promena izvornog hosta, VRF-a ili odredišta između opažanja daje dve nepovezane priče, i to je najčešći način na koji ova vežba pođe po zlu.

Držite loopback testove u odvojenoj pregradi

Ping sa loopbacka rutera koristan je test i proverava drugačiji slučaj od toka s hosta. Izvorna adresa pripada ruteru, njegov kontekst rutiranja može biti globalan umesto VRF, a put odgovora može se razlikovati od onoga kojim bi išao klijentski prefiks. Zato su loopback koji odgovara i aplikacija koja radi preko prečice odvojeni rezultati, a samo drugi opisuje klijenta.

Testirajte oba, pa ih odvojeno označite u beleškama. Kada se razilaze, naučili ste nešto konkretno o tome gde dizajn odstupa, a to je više nego što će vam jedna zelena kvačica ikada reći.

Tvrdnje o verziji i o kvaru traže sopstvene dokaze

Terenski izveštaji ponekad preporučuju promenu maske hosta ili izvorne adrese BGP-a, a takve izveštaje vredi čitati samo uz kvar o kojem su pisani i izdanja koja je zahvatio. Zaobilazno rešenje iz jednog izdanja nije tvrdnja da svaki prefiks /32 arhitektura ne podržava.

Koristite dokumentaciju koja odgovara vašoj fazi DMVPN-a, platformi i izdanju, i zapamtite da jedno poglavlje može pokrivati nekoliko rasporeda, uključujući FlexVPN. Primer iz jednog rasporeda ne prenosi se tiho na drugi. Odaberite krajeve sesije prema dizajnu kontrolne ravni koji vam zaista treba, pa zatim odvojeno proverite klijentski put prosleđivanja, jer prepisivanje svake loopback maske nije zamena za otkrivanje koji je posao pao.