Tuneli qëndron, rruga u zhduk: ndarja e dy dështimeve VPN

Një host bëhet i paarritshëm ndërsa ndërfaqja e tunelit vazhdon të raportojë se është e vendosur, dhe dy vëzhgimet nuk kundërshtojnë njëra-tjetrën. Diçka hoqi rrugën që përdorte trafiku: një fqinj tërhoqi prefiksin e tij, një rrugë statike e ndjekur u hoq, ose një rrugë tjetër u preferua. Shoqata e sigurisë mund të mbetet plotësisht e shëndetshme në të tre rastet. Ndarja e ngjarjeve do të thotë të pyesësh cila shtresë ndryshoi e para, jo nëse VPN dështoi.

Tre faza që duken si një ngjarje e vetme

Një vendim rrugëtimi ka tre faza. Prefiksi merret, zgjidhet si më i miri dhe instalohet në tabelën e përcjelljes. Secila fazë mund të dështojë më vete, dhe dështimi duket identik nga ana e aplikacionit. Një prefiks i mësuar, por që humbi përzgjedhjen, nuk dallohet nga ai që nuk arriti kurrë kur prova e vetme që shikoni është tabela e përcjelljes.

Prandaj pyetja e parë është cila fazë u thye, jo cili protokoll është fajtor. Përgjigja vendos kujt i përket incidenti dhe cilin mjet përdor kontrolli tjetër.

Lexoni së pari rrugën e instaluar

Pyetni kernelin ku shkon në të vërtetë trafiku drejt destinacionit që dështon. ip route get shtyp hopin tjetër, ndërfaqen dhe adresën burimore që kerneli do të përdorte, dhe përgjigjet për një destinacion e jo për të gjithë tabelën. Nëse përgjigja emërton tunelin, tabela e përcjelljes ende beson se rruga ekziston dhe problemi ndodhet sipër saj.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

Një përgjigje «unreachable» do të thotë se nuk ka fare rrugë të instaluar, gjë që tregon një tërheqje ose një instalim që mungon. Një përgjigje që emërton një ndërfaqe fizike do të thotë se trafiku la tunelin pa vendosur askush këtë, dhe kontrolli tjetër është preferenca që fitoi. Ndërsa një përgjigje që emërton tunelin kur paketat vazhdojnë të zhduken tregon më tej në rrugë, te filtrimi ose te ana e largët.

Pastaj shikoni pikëpamjen e vetë protokollit

Një daemon rrugëtimi mban më shumë se një tabelë, dhe krahasimi interesant është mes tyre. Për BGP, gjendja e sesionit të fqinjit, njoftimi i pranuar dhe rruga e instaluar janë tre prova të veçanta. Një prefiks mund të rrijë në tabelën e pranuar dhe të mos arrijë kurrë te kerneli sepse fiton një rrugë me distancë administrative më të shkurtër. Kontrolloni të treja përpara se të përfundoni se pala tjetër ndaloi njoftimin.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Përmbledhja ju tregon nëse sesioni është i vendosur, pamja sipas prefiksit tregon nëse prefiksi u pranua, dhe kërkimi në kernel tregon nëse u instalua. Leximi i tyre në këtë rend pengon që dridhja e sesionit të ngatërrohet me një tërheqje, dhe tërheqja me një refuzim për shkak politike.

Kur orët nuk pajtohen

Vendosni regjistrin e tunelit, regjistrin e rrugëtimit dhe dështimin e parë të aplikacionit në një vijë të vetme kohore duke përdorur zonat e tyre reale kohore. Nëse humbja e fqinjit vjen e para, tuneli e rrëzoi rrugën bashkë me veten. Nëse tërheqja vjen e para, rrugëtimi ndryshoi dhe tuneli reagoi pas saj. Këto janë incidente të ndryshme me pronarë të ndryshëm, dhe rendi është i gjithë zbulimi.

Një minutë zhvendosje e orës mjafton për ta kthyer atë përfundim, prandaj konfirmoni zonën kohore dhe zhvendosjen përpara se të besoni sekuencën. Pajisjet që regjistrojnë në kohë lokale pa zhvendosje janë burimi i zakonshëm i një vije kohore të sigurt, por të gabuar.

Rikthim pa lak

Pas një tërheqjeje dy rrugë mund të jenë të përshtatshme: ajo që zgjedh protokolli dhe ajo që fiksoni me dorë. Vetëm e para është një vendim që rrjeti vazhdon të marrë për ju, prandaj një rrugë manuale është një zgjidhje e përkohshme dhe jo një plan rikuperimi. Një njoftim alternativ gjithashtu nuk ruan gjendjen e firewall-it ose NAT për një sesion tashmë të vendosur, kështu që rrjedhat e reja mund të funksionojnë ndërsa ajo origjinale mbetet e prishur. Konfirmoni cila kopje rezervë duhet të bëhet aktive dhe nëse faqja e largët do të pranojë një rrugë kthimi përmes saj.

Mos instaloni një mbivendosje statike të përhershme përpara se të kuptoni pse ndodhi tërheqja. Ai shkurtim mund ta fiksojë trafikun në një rrugë të dështuar ose të anashkalojë në heshtje një politikë rrugëtimi të qëllimshme, dhe e varros shkakun origjinal nën një konfigurim të ri. Riprovoni aplikacionin pasi rruga të jetë rikthyer, dhe konfirmoni se prefiksi i zgjedhur ka një rrugë të dhënash funksionale dhe jo vetëm një hyrje në një tabelë.