BGP prefiksni o‘rgandi, lekin trafik hanuz tunnelni chetlab o‘tadi

Filial shlyuzi o‘z BGP jadvalida bulut prefiksini ko‘rsatadi, provayder bilan sessiya o‘rnatilgan, ammo foydalanuvchining shu prefiksga so‘rovi baribir noto‘g‘ri interfeysdan chiqadi. Monitoring aytganidek hech narsa buzilmagan, chunki “BGP buni o‘rgandi” degani boshqaruv tekisligi haqidagi gap. O‘sha jadval bilan paket o‘rtasida to‘rtta alohida o‘tish bor va oqim aynan bittasida to‘xtaydi. Darvozalardan tartib bilan o‘ting va birinchi muvaffaqiyatsiz bo‘lganida to‘xtang.

Birinchi darvoza: qo‘shni aslida nima yubordi

Prefiksdan jamlangan ko‘rinishda emas, qabul qilingan holida boshlang. BGP jadvalida aniq tarmoq va maskani toping, keyingi sakrash, AS yo‘li va import siyosati mos kelishi mumkin bo‘lgan har qanday hamjamiyatni yozib oling. Dashboarddagi jamlangan marshrut aynan o‘sha prefiks hech qachon qabul qilinmaganini yashirishi mumkin.

Import siyosati — marshrut xatosiz yo‘qoladigan odatiy joy. Prefikslar ro‘yxati, hamjamiyat filtri yoki kiruvchi marshrut xaritasi yangilanishni tashlab yuborishi mumkin, sessiya esa yuqorida va sog‘lom qoladi; shuning uchun yashil qo‘shni chirog‘i juda kam narsani isbotlaydi. Jurnal satrining yo‘qligi qarorning yo‘qligini bildirmaydi. Odatda bu qaror jim, aynan sozlangandek qabul qilinganini bildiradi.

show ip bgp 10.60.20.0/24
show ip bgp neighbors 203.0.113.5 advertised-routes
show ip route 10.60.20.0
show ip cef 10.60.20.0

Chiqishni shu tartibda o‘qing. Birinchi ikki buyruq ma’lumot yetib kelganini va tengdosh nima yubordi deb da’vo qilishini aytadi; oxirgi ikkisi biror narsa marshrutlash va uzatish jadvallariga yetganini aytadi. Birinchi buyruqda bor va uchinchisida yo‘q prefiks — tanlash yoki o‘rnatish muammosi, ulanish muammosi emas.

Ikkinchi darvoza: tanlash, so‘ng o‘rnatish

BGP eng yaxshi yo‘lni tanlaydi va tanlangan yo‘l avtomatik o‘rnatilmaydi. Keyingi sakrash hal qilinishi kerak, va boshqa marshrut manbasi bu prefiksga yaxshiroq ma’muriy masofa bilan allaqachon ega bo‘lishi mumkin. Migratsiyadan qolgan statik marshrut amaldagi BGP yo‘lini oson yengib, trafikni boshqa joyga yuboradi.

RFC 4271 uchta fikrni alohida tutadi: tengdosh nima yubordi, bu ma’ruzachi nimani eng yaxshi deb tanladi va bundan keyin nimani e’lon qiladi. Bular kontseptual rollar, ishlab chiqaruvchi ochishi shart bo‘lgan uchta jismoniy ma’lumotlar bazasi emas, lekin aynan shu ajratish “bu BGPda bor” degan javobni to‘liq bo‘lmagan holga keltiradi.

Shuningdek qaysi marshrutlash kontekstini o‘qiyotganingizni tekshiring. Foydalanuvchi interfeysi tegishli bo‘lmagan VRFga o‘rnatilgan marshrut o‘sha foydalanuvchi paketlari uchun ko‘rinmas bo‘ladi, jadval esa doim to‘g‘ri ko‘rinadi.

Uchinchi darvoza: shu oqimga tegishli qidiruv

Endi marshrut haqida so‘rashni to‘xtatib, paket haqida so‘ray boshlang. Foydalanuvchining manba manzili, manzil, protokol, port va kiruvchi interfeysni yozib oling, chunki ularning har biri boshqa siyosat tanlashi mumkin. So‘ngra umumiy marshrutlash jadvali o‘rniga shu birikmaga tegishli qidiruvni ko‘ring.

ip route get 10.60.20.25 from 10.60.10.40
ip rule show
sudo tcpdump -ni tun0 'host 10.60.20.25'

Aniqroq prefiks bu yerda eng ko‘p uchraydigan ajabtovur holat, siyosat marshruti esa ikkinchi. Ikkalasi ham siz ko‘rib turgan agregatdan ustun turadi va ikkisi ham BGP jadvali xulosasida ko‘rinmaydi.

Shlyuzning o‘zidan yuborilgan ping foydalanuvchi sessiyasi haqida dalil emas. Boshqa manba manzili, boshqa siyosat yo‘li va ko‘pincha boshqa natija. Ilova ishlatadigan o‘sha manba bilan sinab ko‘ring yoki test boshqa savolga javob berishini tan oling.

To‘rtinchi darvoza: yo‘lning uzoq yarmi

Agar mahalliy qidiruv haqiqatan tunnelni tanlasa, paket baribir himoya siyosati tomonidan qabul qilinishi, uzatish qoidasi tomonidan ruxsat etilishi va narigi tomonda nimadir javob berishi kerak. Manzillar juftini qamramaydigan kripto ACL tunnel o‘zini yuqori deb e’lon qilganda trafikni tashlab yuboradi, bu esa marshrutlash nosozligidan ajratib bo‘lmaydigan kutish vaqtini keltiradi.

Qaytish yo‘li chiqish yo‘li kabi muhim. Bulut tomoni filial manbasiga qanday yetishni bilishi kerak, yo marshrut bilan yoki ataylab sozlagan tarjimangiz bilan. Asimmetrik qaytish yo‘llari faqat bir yo‘nalishdan sinovdan o‘tkazilgan loyihalarda keng tarqalgan.

Yangi ruxsat etilgan ulanishni uchta kuzatuv bilan bog‘lang: mos kelgan mahalliy siyosat, harakatlangan tunnel hisoblagichlari va ko‘rinadigan joyda uzoq tomondagi qabul. Hisoblagichlar harakatlanmasa, marshrut jadvali nima desa ham paket tunnelga hech qachon kirmagan. Ular harakatlanib, hech narsa yetib kelmasa, uzoq tomon uni tashlab yuboryapti yoki noto‘g‘ri marshrutlayapti. Bu ikki natija butunlay boshqa jamoalarga olib boradi.

Muvaffaqiyatsiz bo‘lgan o‘tishni nomlang

Natijani besh holatdan biri sifatida yozing: qabul qilinmadi, siyosat qabul qilmadi, tanlanmadi, o‘rnatilmadi yoki bu oqimga mos kelmadi. Mahalliy yo‘l to‘g‘ri bo‘lib, uzoq uchi javob bera olmaydigan holat uchun oltinchisini qo‘shing. O‘sha gap — topshiriladigan natija va u o‘rnatilgan qo‘shni skrinshotidan ancha foydali.

Qabul qilish rejasida salbiy testni ham saqlang: tunneldan o‘tmasligi kerak bo‘lgan manzil, o‘zgarishdan keyin tekshirilgan. Faqat omadli yo‘lni isbotlaydigan nazorat ro‘yxati keyingi texnik xizmat oynasida kimdir qo‘shadigan keng siyosat qoidasini ushlay olmaydi.