BGP sa prefix naučil, ale premávka tunel stále obchádza

Brána pobočky zobrazuje prefix cloudu vo svojej tabuľke BGP, relácia s poskytovateľom je nadviazaná, a napriek tomu požiadavka používateľa na tento prefix odchádza nesprávnym rozhraním. Nič nie je pokazené tak, ako naznačuje monitoring, pretože „BGP sa to naučil“ je tvrdenie o riadiacej rovine. Medzi touto tabuľkou a paketom sú štyri oddelené prechody a tok sa zastaví presne na jednom z nich. Prejdite bránami po poradí a zastavte sa pri prvej, ktorá zlyhá.

Prvá brána: čo sused skutočne poslal

Začnite prefixom tak, ako bol prijatý, nie zhrnutý. Nájdite presnú sieť a masku v tabuľke BGP a poznamenajte si next hop, AS cestu a akúkoľvek komunitu, ktorú môže importná politika porovnať. Súhrnná trasa na dashboarde môže skryť fakt, že konkrétny prefix nikdy nebol prijatý.

Importná politika je obvyklé miesto, kde trasa zmizne bez chyby. Prefix list, filter komunít alebo inbound route map môžu aktualizáciu zahodiť, kým relácia zostáva hore a zdravá, a preto zelené svetlo suseda dokazuje tak málo. Neprítomnosť riadku v logu neznamená neprítomnosť rozhodnutia. Zvyčajne znamená, že rozhodnutie padlo ticho, presne ako je nakonfigurované.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Čítajte výstup v tomto poradí. Prvé dva príkazy hovoria, či informácia dorazila a čo peer tvrdí, že poslal; posledné dva, či sa niečo dostalo do smerovacích a preposielacích tabuliek. Prefix prítomný v prvom príkaze a chýbajúci v treťom je problém výberu alebo inštalácie, nie konektivity.

Druhá brána: výber, potom inštalácia

BGP vyberá najlepšiu cestu a vybraná cesta sa neinštaluje automaticky. Next hop sa musí preložiť, a iný zdroj trás už môže tento prefix vlastniť s lepšou administratívnou vzdialenosťou. Statická trasa zostávajúca z migrácie ľahko porazí platnú cestu BGP a pošle premávku inam.

RFC 4271 drží tri myšlienky oddelene: čo poslal peer, čo tento speaker vybral ako najlepšie a čo bude ďalej inzerovať. Sú to konceptuálne roly, nie tri fyzické databázy, ktoré musí dodávateľ vystaviť, ale práve toto oddelenie robí z „je to v BGP“ neúplnú odpoveď.

Skontrolujte aj, ktorý kontext smerovania čítate. Trasa nainštalovaná vo VRF, do ktorej rozhranie používateľa nepatrí, je pre pakety tohto používateľa neviditeľná, a tabuľka pritom celý čas vyzerá správne.

Tretia brána: vyhľadanie, ktoré platí pre tento tok

Teraz prestaňte sa pýtať na trasu a začnite sa pýtať na paket. Poznamenajte zdrojovú adresu používateľa, cieľ, protokol, port a vstupné rozhranie, pretože každé z nich môže vybrať inú politiku. Potom sa pozrite na vyhľadanie, ktoré platí pre túto kombináciu, namiesto všeobecnej smerovacej tabuľky.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Špecifickejší prefix je tu najčastejšie prekvapenie a policy route druhé. Obe prebíjajú agregát, na ktorý ste sa pozerali, a ani jedna nie je viditeľná v súhrne tabuľky BGP.

Ping z brány samotnej nie je dôkazom o relácii používateľa. Iná zdrojová adresa, iná cesta politikou a často iný výsledok. Testujte s rovnakým zdrojom, ktorý používa aplikácia, alebo prijmite, že test odpovedá na inú otázku.

Štvrtá brána: vzdialená polovica cesty

Ak miestne vyhľadanie tunel skutočne vyberie, paket musí ešte prijať ochranná politika, povoliť pravidlo preposielania a odpovedať niečo na druhej strane. Krypto ACL, ktoré nezahŕňa pár adries, premávku zahodí, kým tunel hlási, že je hore, čo vytvára timeout nerozlíšiteľný od zlyhania smerovania.

Spätná cesta je rovnako dôležitá ako odchádzajúca. Strana cloudu musí vedieť, ako dosiahnuť zdroj pobočky, či už trasou, alebo prekladom, ktorý ste zámerne nakonfigurovali. Asymetrické spätné cesty sú bežné v návrhoch testovaných len z jedného smeru.

Spojte nové autorizované spojenie s tromi pozorovaniami: miestna politika, ktorá sedela, počítadlá tunela, ktoré sa pohli, a príjem na vzdialenej strane, kde je to vidieť. Ak sa počítadlá nehýbu, paket do tunela nikdy nevstúpil, nech tabuľka trás hovorí čokoľvek. Ak sa hýbu a nič nedorazí, vzdialená strana ho zahadzuje alebo zle smeruje. Tieto dva výsledky vedú k úplne iným tímom.

Pomenujte prechod, ktorý zlyhal

Zapíšte výsledok ako jeden z piatich stavov: neprijaté, neprijaté politikou, nevybrané, nenainštalované alebo nezhodujúce sa s týmto tokom. Pridajte šiesty pre prípad, keď je miestna cesta správna a vzdialený koniec nemôže odpovedať. Tá veta je výstup a je oveľa užitočnejšia ako snímka obrazovky nadviazaného suseda.

V akceptačnom pláne udržujte aj negatívny test: cieľ, ktorý nesmie prejsť tunelom, overený po zmene. Kontrolný zoznam, ktorý dokazuje len šťastnú cestu, nezachytí široké pravidlo politiky, ktoré niekto pridá v ďalšom okne údržby.