BGP öneki öğrendi, ama trafik hâlâ tüneli atlıyor

Şube ağ geçidi bulut önekini BGP tablosunda gösteriyor, sağlayıcıyla oturum kurulmuş, yine de bir kullanıcının o öneke yönelik isteği yanlış arayüzden çıkıyor. İzlemenin ima ettiği gibi hiçbir şey bozuk değil, çünkü “BGP bunu öğrendi” kontrol düzlemine ilişkin bir ifadedir. O tablo ile paket arasında dört ayrı geçiş vardır ve akış tam olarak bunlardan birinde durur. Kapıları sırayla geçin ve ilk başarısız olan kapıda durun.

Birinci kapı: komşu gerçekte ne gönderdi

Önekle özetlenmiş hâliyle değil, alındığı gibi başlayın. BGP tablosunda tam ağı ve maskeyi bulun; sonraki atlamayı, AS yolunu ve bir içe aktarma politikasının eşleşebileceği herhangi bir topluluğu kaydedin. Panodaki özet rota, o belirli önekin hiç kabul edilmediği gerçeğini gizleyebilir.

İçe aktarma politikası, bir rotanın hatasız kaybolduğu olağan yerdir. Bir önek listesi, topluluk filtresi veya gelen rota haritası, oturum ayakta ve sağlıklı kalırken güncellemeyi düşürebilir; yeşil komşu ışığının bu kadar az şey kanıtlamasının nedeni budur. Bir günlük satırının olmaması, kararın olmadığı anlamına gelmez. Genellikle kararın sessizce, tam olarak yapılandırıldığı gibi alındığı anlamına gelir.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Çıktıyı bu sırayla okuyun. İlk iki komut bilginin ulaşıp ulaşmadığını ve eşin ne gönderdiğini iddia ettiğini söyler; son iki komut bir şeyin yönlendirme ve iletme tablolarına ulaşıp ulaşmadığını söyler. İlk komutta bulunup üçüncüde bulunmayan bir önek, bağlantı sorunu değil seçim veya kurulum sorunudur.

İkinci kapı: seçim, ardından kurulum

BGP en iyi yolu seçer ve seçilen yol otomatik olarak kurulmaz. Sonraki atlamanın çözülmesi gerekir ve başka bir rota kaynağı bu öneke daha iyi yönetimsel uzaklıkla zaten sahip olabilir. Geçişten kalan statik bir rota geçerli bir BGP yolunu kolayca yener ve trafiği başka bir yere gönderir.

RFC 4271 üç fikri ayrı tutar: eşin ne gönderdiği, bu konuşmacının neyi en iyi seçtiği ve bundan sonra ne duyuracağı. Bunlar kavramsal rollerdir, bir satıcının açığa çıkarması gereken üç fiziksel veritabanı değildir; ancak tam da bu ayrım “bu BGP'de var” ifadesini eksik bir yanıt yapar.

Hangi yönlendirme bağlamını okuduğunuzu da denetleyin. Kullanıcının arayüzünün ait olmadığı bir VRF'ye kurulmuş rota, o kullanıcının paketleri için görünmezdir ve tablo her zaman doğru görünür.

Üçüncü kapı: bu akışa uygulanan arama

Şimdi rotayı sormayı bırakıp paketi sormaya başlayın. Kullanıcının kaynak adresini, hedefi, protokolü, bağlantı noktasını ve giriş arayüzünü kaydedin, çünkü bunların her biri farklı bir politika seçebilir. Ardından genel yönlendirme tablosu yerine o birleşime uygulanan aramaya bakın.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Burada en yaygın sürpriz daha özel bir önektir, ikincisi ise politika rotasıdır. Her ikisi de baktığınız toplu rotayı geçersiz kılar ve hiçbiri BGP tablosunun özetinde görünmez.

Ağ geçidinin kendisinden gönderilen bir ping, bir kullanıcı oturumu hakkında kanıt değildir. Farklı kaynak adresi, farklı politika yolu ve çoğu zaman farklı sonuç. Uygulamanın kullandığı aynı kaynakla test edin veya testin başka bir soruyu yanıtladığını kabul edin.

Dördüncü kapı: yolun uzak yarısı

Yerel arama tüneli gerçekten seçiyorsa, paketin yine de koruma politikası tarafından kabul edilmesi, iletme kuralı tarafından izin verilmesi ve karşı tarafta bir şeyin yanıt vermesi gerekir. Adres çiftini içermeyen bir kripto ACL, tünel kendini ayakta bildirirken trafiği düşürür ve bu, yönlendirme arızasından ayırt edilemeyen bir zaman aşımı üretir.

Dönüş yolu, gidiş yolu kadar önemlidir. Bulut tarafı şube kaynağına nasıl ulaşacağını bilmelidir; ya bir rota ile ya da bilerek yapılandırdığınız bir çeviri ile. Asimetrik dönüş yolları yalnızca tek yönden test edilmiş tasarımlarda yaygındır.

Yeni yetkilendirilmiş bağlantıyı üç gözlemle ilişkilendirin: eşleşen yerel politika, hareket eden tünel sayaçları ve görülebildiği yerde uzak taraftaki alım. Sayaçlar hareket etmiyorsa, rota tablosu ne derse desin paket tünele hiç girmemiştir. Hareket ediyor ve hiçbir şey ulaşmıyorsa, uzak taraf onu düşürüyor veya yanlış yönlendiriyordur. Bu iki sonuç tamamen farklı ekiplere çıkar.

Başarısız olan geçişi adlandırın

Sonucu beş durumdan biri olarak yazın: alınmadı, politikayla kabul edilmedi, seçilmedi, kurulmadı veya bu akışla eşleşmedi. Yerel yolun doğru olduğu ve uzak uçun yanıt veremediği durum için altıncısını ekleyin. O cümle teslim edilecek sonuçtur ve kurulmuş bir komşunun ekran görüntüsünden çok daha yararlıdır.

Kabul planında olumsuz bir test de tutun: tünelden geçmemesi gereken bir hedef, değişiklikten sonra doğrulanmış. Yalnızca mutlu yolu kanıtlayan bir kontrol listesi, bir sonraki bakım penceresinde birinin ekleyeceği geniş politika kuralını yakalayamaz.