Екземпляр VPN на Huawei: читайте його з CLI, а не з STelnet

Питання про екземпляр VPN на Huawei зазвичай надходить із неправильним інструментом. Хтось хоче прочитати таблицю маршрутизації екземпляра й питає, як дістатися до пристрою через SSH. Це дві задачі, і друга лише приводить до запрошення.

Відокремте сеанс керування від об’єкта маршрутизації, і команди перестануть здаватися загадковими.

Дві речі, які люди змішують: сеанс і об’єкт

STelnet — це служба керування SSH від Huawei: вона приймає вхід і видає запрошення VRP. Екземпляр VPN — окремий контекст маршрутизації та служб усередині пристрою. Перше — як ви потрапляєте; друге — що ви перевіряєте, вже перебуваючи там. Їхнє змішування призводить до змін конфігурації SSH-сервера, тоді як справжнє питання стосувалося таблиці маршрутизації.

Ніщо в сеансі SSH не вказує, який екземпляр використає пакет.

Спершу перелічіть екземпляри

Почніть з інвентаризації. display ip vpn-instance перелічує ідентифікатори екземплярів, налаштованих на цій платформі та в цій версії. Читайте вивід, а не припускайте ім’я, бо екземпляра, про який вам казали, може не бути на цьому пристрої.

Ім’я в заявці на зміну — не ім’я в робочій конфігурації. Якщо імені немає в списку, зупиніться та уточніть, який пристрій має на увазі заявка, перш ніж гадати схожі імена. Неправильний екземпляр, який існує, дає вивід і впевнено неправильну відповідь.

Знайдіть один пункт призначення всередині екземпляра

Коли у вас є справжнє ім’я, запитайте власну таблицю маршрутизації екземпляра. display ip routing-table vpn-instance BLUE 192.0.2.20 запитує маршрут до одного пункту призначення в цьому контексті, що зазвичай інформативніше, ніж вивантаження всієї таблиці.

Замініть приклад адреси на пункт призначення, який вам справді важливий, і збережіть ім’я екземпляра точним.

Маршрут у публічній таблиці й маршрут у BLUE — це різні пошуки. Якщо пункт призначення знаходиться в одній і не знаходиться в іншій, ви знайшли межу, а не зламану команду.

Перевірте запрошення, перш ніж довіряти виводу

Запрошення вказує, з якого пристрою ви читаєте. Якщо ви відкрили другий сеанс SSH з першого, кожна наступна команда перевіряє дальній кінець, а не пристрій, з якого ви почали. Деякі клієнти дозволяють вибрати контекст маршрутизації для самого SSH-з’єднання, і це змінює те, як сеанс керування досягає пункту призначення, а не те, що він показує. Читайте запрошення під час кожного переходу.

Два пристрої зі схожими іменами хостів роблять цю помилку дорогою.

Запишіть контекст разом із висновком

Запишіть пристрій, ім’я екземпляра, пункт призначення та вибраний наступний хоп або інтерфейс. Додайте версію, бо родини команд і поля виводу відрізняються між продуктовими лінійками Huawei.

Наявність екземпляра не означає, що тунель віддаленого доступу піднятий. Перевірте власний вигляд стану функції для стану сеансу й тримайте це окремо від відповіді про маршрутизацію.

Саме цей запис робить наступне питання дешевим, бо хтось може порівняти той самий екземпляр і пункт призначення після зміни замість повторення розслідування. Процедура Huawei пошуку маршруту для кожного екземпляра дотримується тієї самої форми перевірки.