BGP сесија активна, путања клијента покварена: MPLS преко DMVPN-а

Пееринг је активан већ недељама, број префикса изгледа исправно, а саобраћај једног клијента и даље иде дужим путем или уопште не стиже. Исти показатељ процењује две различите ствари. BGP сесија јавља да два пера могу да размењују поруке преко TCP везе; она не говори ништа о томе може ли overlay пренети означен пакет баш за тог клијента.

Ту празнину је најлакше видети у дизајну MPLS преко DMVPN-а, где се пут преко хаба и директни пут преко spoke-а могу понашати различито из разлога који немају везе с пеерингом.

Шта сесија заправо доказује

BGP ради преко TCP-а, па сваком перу треба рута до адресе другог краја пре него што се било шта друго догоди. Ако за тај крај одаберете loopback, створили сте захтев за достижношћу, а не гаранцију прослеђивања. Сесија затим може остати активна кроз интерфејс који клијентски саобраћај никада не би користио.

Забележите четири чињенице на оба краја пре него што закључите: изворну адресу сесије, одредишну адресу, контекст рутирања у којем се налази и који би интерфејс кернел или рутер одабрао за тај пар. Те чињенице описују контролну раван. Клијентски пакети на њих додају VRF, стек ознака и overlay мапирање.

Четири механизма, не један

Ciscова документација за MPLS преко DMVPN-а јасно раздваја делове. MP-BGP дистрибуира клијентске overlay ознаке између уређаја на ивици провајдера. MPLS користи те ознаке за избор контекста прослеђивања пакета. NHRP мапира overlay адресу на транспортни крај који динамичком тунелу треба. IPsec штити пер пут где се примењује.

Било који од четири може бити исправан док је други погрешан, а комбинација је оно што носи саобраћај. Размена рута може да се заврши док веза ознаке за један VRF недостаје, док NHRP мапирање показује на застарелу транспортну адресу или док тунел постоји али ниједна политика не дозвољава унутрашњи пакет. Ниједан од тих услова не руши сесију.

Упоредите пут преко хаба с пречицом, једну променљиву по једну

Фиксирајте изворни хост, одредишни хост и VRF, затим пратите исти ток два пута. На путу преко хаба забележите следећи хоп, сервисну ознаку која идентификује удаљени клијентски контекст и мапирање overlaya у транспорт које се користи. На предвиђеном директном путу забележите исте три ствари. Разлика између две листе је квар, или његово одсуство.

Држите ток сталним током поређења. Промена изворног хоста, VRF-а или одредишта између опажања даје две неповезане приче, и то је најчешћи начин на који ова вежба пође по злу.

Држите loopback тестове у одвојеној прегради

Ping са loopback-а рутера корисан је тест и проверава другачији случај од тока с хоста. Изворна адреса припада рутеру, његов контекст рутирања може бити глобалан уместо VRF, а пут одговора може се разликовати од онога којим би ишао клијентски префикс. Зато су loopback који одговара и апликација која ради преко пречице одвојени резултати, а само други описује клијента.

Тестирајте оба, па их одвојено означите у белешкама. Када се разилазе, научили сте нешто конкретно о томе где дизајн одступа, а то је више него што ће вам једна зелена квачица икада рећи.

Тврдње о верзији и о квару траже сопствене доказе

Теренски извештаји понекад препоручују промену маске хоста или изворне адресе BGP-а, а такве извештаје вреди читати само уз квар о којем су писани и издања која је захватио. Заобилазно решење из једног издања није тврдња да сваки префикс /32 архитектура не подржава.

Користите документацију која одговара вашој фази DMVPN-а, платформи и издању, и запамтите да једно поглавље може покривати неколико распореда, укључујући FlexVPN. Пример из једног распореда не преноси се тихо на други. Одаберите крајеве сесије према дизајну контролне равни који вам заиста треба, па затим одвојено проверите клијентски пут прослеђивања, јер преписивање сваке loopback маске није замена за откривање који је посао пао.