BGP se je predpone naučil, a promet še vedno obide tunel

Prehod veje prikazuje predpono oblaka v svoji tabeli BGP, seja s ponudnikom je vzpostavljena, pa vseeno zahteva uporabnika do te predpone odide skozi napačen vmesnik. Nič ni pokvarjeno tako, kot nakazuje spremljanje, ker je „BGP se je tega naučil“ trditev o krmilni ravnini. Med to tabelo in paketom so štirje ločeni prehodi, tok pa se ustavi natanko pri enem od njih. Prehodite vrata po vrsti in ustavite se pri prvih, ki ne uspejo.

Prva vrata: kaj je sosed dejansko poslal

Začnite s predpono, kot je bila prejeta, ne povzeta. Poiščite natančno omrežje in masko v tabeli BGP ter zapišite naslednji skok, pot AS in morebitno skupnost, ki bi jo lahko uvozna politika ujemala. Povzeta pot na nadzorni plošči lahko skrije dejstvo, da konkretna predpona ni bila nikoli sprejeta.

Uvozna politika je običajno mesto, kjer pot izgine brez napake. Seznam predpon, filter skupnosti ali zemljevid vhodnih poti lahko zavržejo posodobitev, medtem ko seja ostane gor in zdrava, zato zelena luč soseda dokaže tako malo. Odsotnost vrstice v dnevniku ne pomeni odsotnosti odločitve. Običajno pomeni, da je bila odločitev sprejeta tiho, natanko tako, kot je nastavljeno.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Preberite izhod v tem vrstnem redu. Prva dva ukaza povesta, ali so informacije prispele in kaj partner trdi, da je poslal; zadnja dva, ali je kaj doseglo tabele usmerjanja in posredovanja. Predpona, ki je prisotna v prvem ukazu in manjka v tretjem, je težava izbire ali namestitve, ne povezljivosti.

Druga vrata: izbira, nato namestitev

BGP izbere najboljšo pot, izbrana pot pa se ne namesti samodejno. Naslednji skok je treba razrešiti, drug vir poti pa morda že ima to predpono z boljšo administrativno razdaljo. Statična pot, ki je ostala od selitve, zlahka premaga veljavno pot BGP in pošlje promet drugam.

RFC 4271 drži tri ideje ločene: kaj je poslal partner, kaj je ta govorec izbral kot najboljše in kaj bo naprej oglaševal. To so pojmovne vloge, ne tri fizične podatkovne baze, ki jih mora ponudnik razkriti, a prav ta ločitev naredi „to je v BGP“ nepopoln odgovor.

Preverite tudi, kateri kontekst usmerjanja berete. Pot, nameščena v VRF, ki ji vmesnik uporabnika ne pripada, je za pakete tega uporabnika nevidna, tabela pa je ves čas videti pravilna.

Tretja vrata: iskanje, ki velja za ta tok

Zdaj prenehajte spraševati o poti in začnite spraševati o paketu. Zapišite izvorni naslov uporabnika, cilj, protokol, vrata in vhodni vmesnik, ker lahko vsak od njih izbere drugo politiko. Nato poglejte iskanje, ki velja za to kombinacijo, namesto splošne tabele usmerjanja.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Bolj specifična predpona je tu najpogostejše presenečenje, politična pot pa drugo. Obe preglasita agregat, ki ste ga gledali, in nobena ni vidna v povzetku tabele BGP.

Ping s prehoda samega ni dokaz o seji uporabnika. Drug izvorni naslov, druga politična pot in pogosto drugačen rezultat. Preizkusite z istim virom, ki ga uporablja aplikacija, ali priznajte, da preizkus odgovarja na drugo vprašanje.

Četrta vrata: oddaljena polovica poti

Če lokalno iskanje res izbere tunel, mora paket še vedno sprejeti zaščitna politika, dovoliti pravilo posredovanja in nanj mora odgovoriti nekaj na drugi strani. Kripto ACL brez para naslovov bo zavrgel promet, medtem ko tunel poroča, da je gor, kar ustvari časovno prekoračitev, ki je ni mogoče ločiti od okvare usmerjanja.

Povratna pot je enako pomembna kot odhodna. Stran oblaka mora vedeti, kako doseči vir veje, bodisi s potjo bodisi s pretvorbo, ki ste jo zavestno nastavili. Asimetrične povratne poti so pogoste v načrtih, preizkušenih samo iz ene smeri.

Povežite svežo avtorizirano povezavo s tremi opažanji: lokalno politiko, ki se je ujemala, števce tunela, ki so se premaknili, in sprejem na oddaljeni strani, kjer je viden. Če se števci ne premaknejo, paket ni nikoli vstopil v tunel, kar koli pravi tabela poti. Če se premaknejo in nič ne prispe, ga oddaljena stran zavrže ali napačno usmeri. Ta dva izida vodita do povsem različnih ekip.

Imenujte prehod, ki je odpovedal

Zapišite rezultat kot eno od petih stanj: ni prejeto, ni sprejeto s politiko, ni izbrano, ni nameščeno ali se ne ujema s tem tokom. Dodajte šesto za primer, ko je lokalna pot pravilna in oddaljeni konec ne more odgovoriti. Ta stavek je rezultat in je veliko bolj uporaben kot posnetek zaslona vzpostavljenega soseda.

V načrtu sprejema ohranite tudi negativni preizkus: cilj, ki ne sme skozi tunel, preverjen po spremembi. Kontrolni seznam, ki dokaže samo srečno pot, ne bo ujel širokega pravila politike, ki ga bo nekdo dodal v naslednjem oknu vzdrževanja.