BGP e mësoi prefiksin, por trafiku vazhdon ta anashkalojë tunelin

Gateway-i i degës shfaq prefiksin e resë në tabelën e tij BGP, sesioni me ofruesin është vendosur, dhe megjithatë kërkesa e një përdoruesi drejt atij prefiksi del nga ndërfaqja e gabuar. Asgjë nuk është prishur ashtu siç sugjeron monitorimi, sepse „BGP e mësoi” është një pohim për planin e kontrollit. Midis asaj tabele dhe paketës ka katër kalime të veçanta, dhe rrjedha ndalon pikërisht në një prej tyre. Përshkoni portat me radhë dhe ndaloni në të parën që dështon.

Porta e parë: çfarë dërgoi fqinji në të vërtetë

Filloni me prefiksin ashtu siç u prit, jo i përmbledhur. Kërkoni rrjetin dhe maskën e saktë në tabelën BGP dhe shënoni hop-in tjetër, rrugën AS dhe çdo komunitet që një politikë importi mund të përputhë. Një rrugë e përmbledhur në një panel mund të fshehë faktin se prefiksi konkret nuk u pranua kurrë.

Politika e importit është vendi i zakonshëm ku një rrugë zhduket pa gabim. Një listë prefiksesh, një filtër komuniteti ose një hartë e rrugëve hyrëse mund ta hedhin poshtë përditësimin ndërsa sesioni mbetet lart dhe i shëndetshëm, dhe për këtë një dritë e gjelbër fqinji provon kaq pak. Mungesa e një rreshti log nuk nënkupton mungesën e një vendimi. Zakonisht nënkupton se vendimi u mor në heshtje, pikërisht siç është konfiguruar.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Lexoni daljen në atë rend. Dy komandat e para thonë nëse informacioni mbërriti dhe çfarë pohon partneri se dërgoi; dy të fundit nëse diçka arriti në tabelat e rrugëzimit dhe të përcjelljes. Një prefiks i pranishëm në komandën e parë dhe mungues në të tretën është problem përzgjedhjeje ose instalimi, jo lidhshmërie.

Porta e dytë: përzgjedhje, pastaj instalim

BGP zgjedh rrugën më të mirë, dhe rruga e zgjedhur nuk instalohet automatikisht. Hop-i tjetër duhet të zgjidhet, dhe një burim tjetër rrugësh mund ta zotërojë tashmë atë prefiks me distancë administrative më të mirë. Një rrugë statike e mbetur nga migrimi do ta mundë lehtësisht një rrugë BGP të vlefshme dhe do ta dërgojë trafikun diku tjetër.

RFC 4271 mban tre ide të ndara: çfarë dërgoi një partner, çfarë zgjodhi ky folës si më të mirën dhe çfarë do të shpallë më tej. Këto janë role konceptuale, jo tre baza të dhënash fizike që një furnizues duhet të ekspozojë, por pikërisht ky ndarje e bën “është në BGP” një përgjigje të paplotë.

Kontrolloni gjithashtu cilin kontekst rrugëzimi po lexoni. Një rrugë e instaluar në një VRF të cilës ndërfaqja e përdoruesit nuk i përket është e padukshme për paketat e atij përdoruesi, dhe tabela duket e saktë gjatë gjithë kohës.

Porta e tretë: kërkimi që zbatohet për këtë rrjedhë

Tani ndaloni së pyeturi për rrugën dhe filloni të pyesni për paketën. Shënoni adresën burimore të përdoruesit, destinacionin, protokollin, portin dhe ndërfaqen hyrëse, sepse secili prej tyre mund të zgjedhë një politikë tjetër. Pastaj shikoni kërkimin që zbatohet për atë kombinim në vend të tabelës së përgjithshme të rrugëzimit.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Një prefiks më specifik është surpriza më e zakonshme këtu, dhe një rrugë politike është e dyta. Të dyja anashkalojnë agregatin që po shikonit, dhe asnjëra nuk është e dukshme në një përmbledhje të tabelës BGP.

Një ping i nisur nga vetë gateway-i nuk është provë për sesionin e një përdoruesi. Adresë burimore tjetër, rrugë politike tjetër dhe shpesh rezultat tjetër. Testoni me të njëjtin burim që përdor aplikacioni, ose pranoni që testi përgjigjet një pyetjeje tjetër.

Porta e katërt: gjysma e largët e rrugës

Nëse kërkimi lokal e zgjedh vërtet tunelin, paketa duhet ende të pranohet nga politika e mbrojtjes, të lejohet nga rregulli i përcjelljes dhe të marrë përgjigje nga diçka në anën tjetër. Një ACL kripto që nuk përfshin çiftin e adresave do ta hedhë poshtë trafikun ndërsa tuneli raporton veten lart, gjë që prodhon një skadim kohe të pandashëm nga një dështim rrugëzimi.

Rruga e kthimit ka po aq rëndësi sa ajo e daljes. Ana e resë duhet të dijë si të arrijë burimin e degës, ose përmes një rruge, ose përmes një përkthimi që e keni konfiguruar me qëllim. Rrugët e kthimit asimetrike janë të zakonshme në dizajne të testuara vetëm nga një drejtim.

Ndërlidhni një lidhje të re të autorizuar me tre vëzhgime: politikën lokale që u përputh, numëruesit e tunelit që lëvizën dhe pritjen në anën e largët ku kjo është e dukshme. Nëse numëruesit nuk lëvizin, paketa nuk hyri kurrë në tunel, çfarëdo që thotë tabela e rrugëve. Nëse lëvizin dhe asgjë nuk mbërrin, ana e largët po e hedh ose po e rrugëzon gabimisht. Këto dy rezultate çojnë në ekipe krejtësisht të ndryshme.

Emërtoni kalimin që dështoi

Shkruajeni rezultatin si një nga pesë gjendjet: nuk u prit, nuk u pranua nga politika, nuk u përzgjodh, nuk u instalua ose nuk u përputh nga kjo rrjedhë. Shtoni një të gjashtë për rastin kur rruga lokale është e saktë dhe skaji i largët nuk mund të përgjigjet. Ajo fjali është dorëzimi, dhe është shumë më e dobishme se një pamje ekrani e një fqinji të vendosur.

Mbani gjithashtu një test negativ në planin e pranimit: një destinacion që nuk duhet të kalojë nëpër tunel, i verifikuar pas ndryshimit. Një listë kontrolli që provon vetëm rrugën e lumtur nuk do ta kapë rregullin e gjerë të politikës që dikush shton në dritaren e ardhshme të mirëmbajtjes.