Tunnel turibdi, yo’l ketdi: ikki VPN nosozligini ajratish

Bitta xost yetib bo’lmaydigan holga keladi, tunnel interfeysi esa hanuz o’zini o’rnatilgan deb hisoblaydi, va bu ikki kuzatuv bir-biriga zid emas. Nimadir trafik yurgan yo’lni olib tashladi: qo’shni o’z prefiksini qaytarib oldi, kuzatilgan statik marshrut olib tashlandi, yoki boshqa marshrut afzal bo’ldi. Xavfsizlik assotsiatsiyasi uch holatda ham butunlay sog’lom qolishi mumkin. Hodisalarni ajratish VPN ishlamay qoldimi degan savol emas, qaysi qatlam birinchi o’zgarganini so’rash demakdir.

Bitta hodisaga o’xshaydigan uch bosqich

Marshrutlash qarori uch bosqichga ega. Prefiks qabul qilinadi, eng yaxshi deb tanlanadi va yo’naltirish jadvaliga o’rnatiladi. Har bir bosqich o’zi bilan muvaffaqiyatsiz bo’lishi mumkin, va nosozlik dastur tomonidan bir xil ko’rinadi. O’rganilgan, ammo tanlovda yutqazgan prefiksni hech qachon kelmagan prefiksdan ajratib bo’lmaydi, agar siz qarayotgan yagona dalil yo’naltirish jadvali bo’lsa.

Shuning uchun birinchi savol qaysi protokol aybdor emas, qaysi bosqich buzilgan. Javob hodisa kimga tegishli ekanini va keyingi tekshiruv qaysi asbobdan foydalanishini belgilaydi.

Avval o’rnatilgan marshrutni o’qing

Yadrodan nosoz manzil tomon trafik aslida qayerga ketishini so’rang. ip route get keyingi sakrashni, interfeysni va yadro ishlatadigan manba manzilini chop etadi, va butun jadval uchun emas, bitta manzil uchun javob beradi. Agar javob tunnelni nomlasa, yo’naltirish jadvali hali ham yo’l bor deb ishonadi va muammo uning ustida.

ip route get 10.20.5.10
ip route show 10.20.0.0/16

«unreachable» javobi o’rnatilgan marshrut umuman yo’qligini bildiradi, bu qaytarib olish yoki yetishmayotgan o’rnatishga ishora qiladi. Jismoniy interfeysni nomlagan javob trafik hech kim qaror qilmasdan tunneldan chiqqanini bildiradi, keyingi tekshiruv esa yutgan ustuvorlikdir. Paketlar hali ham yo’qolib turganda tunnelni nomlagan javob esa yo’lning ancha pastiga, filtrlashga yoki narigi tomonga ishora qiladi.

Keyin protokolning o’z ko’rinishiga qarang

Marshrutlash demoni bir nechta jadval saqlaydi, va qiziqarli taqqoslash ular orasida. BGP uchun qo’shni seans holati, olingan e’lon va o’rnatilgan marshrut uchta alohida dalildir. Prefiks olingan jadvalda o’tirib, yadroga hech qachon yetib bormasligi mumkin, chunki qisqaroq ma’muriy masofali marshrut yutadi. Boshqa tomon e’lon qilishni to’xtatdi degan xulosaga kelishdan oldin uchtasini ham tekshiring.

vtysh -c "show bgp summary"
vtysh -c "show bgp ipv4 unicast 10.20.0.0/16"

Xulosa seans o’rnatilganini, prefiks bo’yicha ko’rinish prefiks qabul qilinganini, yadrodagi qidiruv esa u o’rnatilganini aytadi. Ularni shu tartibda o’qish seans titrashini qaytarib olish bilan, qaytarib olishni esa siyosat bo’yicha rad etish bilan aralashtirishning oldini oladi.

Soatlar kelishmasa

Tunnel jurnalini, marshrutlash jurnalini va dasturning birinchi nosozligini ularning haqiqiy vaqt zonalari bilan bitta vaqt chizig’iga joylang. Agar qo’shni yo’qolishi birinchi kelsa, tunnel yo’lni o’zi bilan birga yiqitdi. Agar qaytarib olish birinchi kelsa, marshrutlash o’zgardi va tunnel keyin javob berdi. Bular turli egalari bo’lgan turli hodisalar, va tartib butun topilma.

Soatning bir daqiqalik farqi bu xulosani teskari aylantirish uchun yetarli, shuning uchun tartibga ishonishdan oldin vaqt zonasini va siljishni tasdiqlang. Siljishsiz mahalliy vaqtda jurnal yuritadigan qurilmalar ishonchli, ammo noto’g’ri vaqt chizig’ining odatiy manbai.

Halqasiz tiklash

Qaytarib olishdan keyin ikki yo’l mos kelishi mumkin: protokol tanlaydigan yo’l va qo’lda qadab qo’yadigan yo’l. Faqat birinchisi tarmoq siz uchun qabul qilishda davom etadigan qaror, shuning uchun qo’lda qilingan marshrut tiklash rejasi emas, vaqtinchalik chora. Zaxira e’lon ham allaqachon o’rnatilgan seans uchun xavfsizlik devori yoki NAT holatini saqlamaydi, shuning uchun yangi oqimlar ishlashi mumkin, asl oqim esa buzilgan holda qoladi. Qaysi zaxira faol bo’lishi kerakligini va uzoq sayt u orqali qaytish yo’lini qabul qiladimi yo’qmi, tasdiqlang.

Qaytarib olish nima uchun sodir bo’lganini tushunmaguningizcha doimiy statik qayta yozishni o’rnatmang. Bu qisqa yo’l trafikni muvaffaqiyatsiz yo’lga qadab qo’yishi yoki qasddan qilingan marshrutlash siyosatini jimgina chetlab o’tishi mumkin, va asl sababni yangi konfiguratsiya ostiga ko’madi. Marshrut tiklangach dasturni yana sinab ko’ring, va tanlangan prefiksda jadvaldagi yozuv emas, ishlaydigan ma’lumot yo’li borligini tasdiqlang.