Lab MPLS L3VPN không ping được? Kiểm tra năm chặng này

Hai router của khách hàng, một cặp thiết bị provider edge và một ping chết mà không có thông báo lỗi. Trong một lab MPLS L3VPN nhỏ, lỗi gần như luôn nằm ở một trong năm điểm kiểm tra, và mỗi điểm có một lệnh cho thấy phụ thuộc đang hoạt động hay đang thiếu. Sai lầm là khởi động lại BGP mỗi khi ping thất bại thay vì kiểm tra các phụ thuộc theo thứ tự. Nếu bạn nhảy thẳng vào cấu hình VRF, bạn có thể mất một giờ cho một vấn đề bắt đầu từ một chặng kế tiếp chưa được giải quyết cách đó hai thiết bị.

Làm việc với danh sách từ dưới lên. Một điểm kiểm tra đã qua thì vẫn qua, và lỗi đầu tiên là lỗi đáng để gỡ.

Điểm kiểm tra một: các PE đến được nhau

Mỗi PE cần một tuyến đến loopback của PE kia, và tuyến đó phải phân giải qua một thứ có thật. Interior gateway protocol là cách thông thường để đến đó, nhưng tuyến tĩnh cũng hoạt động miễn là tra cứu đệ quy rơi vào một adjacency còn sống. Trên các thiết bị kiểu IOS, show ip route 10.0.0.2 rồi show ip cef 10.0.0.2 cho biết tiền tố có tồn tại hay không và có adjacency đã phân giải phía sau hay không. Một tuyến trong bảng mà không có adjacency phía sau không phải là khả năng tiếp cận.

Kiểm tra cả hai chiều. Chi phí IGP không đối xứng, một passive interface ở sai phía hoặc một distribute list lọc loopback đều chỉ phá một chiều, và một chiều là đủ để giết phiên. Nếu loopback ping được nhưng phiên BGP đứng ở Active, hãy xem update source trước khi chạm vào bất cứ thứ gì khác.

Điểm kiểm tra hai: có một đường nhãn

Một tuyến IP đến loopback xa không chứng minh rằng giao vận sẽ đẩy một nhãn. Trong thiết kế LDP, hãy xác nhận rằng loopback xa có cả ràng buộc cục bộ và ràng buộc xa, và nhãn đi ra xuất hiện trong bảng forwarding. show mpls ldp bindings 10.0.0.2 32 hiển thị các cặp nhãn, và show mpls forwarding-table 10.0.0.2 hiển thị điều line card thực sự sẽ đặt. Khi lệnh thứ hai không hiển thị nhãn nào hoặc rơi trở lại IP, giao vận không mang lưu lượng VPN theo cách thiết kế giả định.

Sự khác biệt đến từ cách MPLS tách forwarding state khỏi các tiền tố đích, mô hình được mô tả trong RFC 3031. Nếu lab của bạn dùng RSVP-TE hoặc nhãn liền kề BGP thay vì LDP, hãy kiểm tra trạng thái riêng của cơ chế đó; giả định rằng LDP phân phối mọi nhãn lớp dưới là cách phổ biến để đuổi theo một lỗi ma. Một đường nhãn hỏng thường xuất hiện sau đó dưới dạng một tuyến VPN có tồn tại nhưng không dùng được.

Điểm kiểm tra ba: tuyến VPN đến nguyên vẹn

Xem tuyến VPNv4 hoặc VPNv6 của đúng tiền tố khách hàng, không phải bản tóm tắt phiên. show bgp vpnv4 unicast all 10.10.1.0/24 phải hiển thị route distinguisher, next hop đặt về loopback của PE xa và một nhãn. Nếu tiền tố thiếu, nghi phạm đầu tiên là chính sách export trên PE nguồn hoặc chính sách import trên PE nhận, và route target là thủ phạm thường gặp.

Đọc phần kiểm tra route target tách khỏi việc nhận BGP. Một tuyến có thể đến với next hop đúng và vẫn không hạ cánh vào VRF vì importtarget không khớp. Trên PE nhận, show ip route vrf CUSTOMER 10.10.1.0 là bài kiểm tra có ý nghĩa; bảng BGP chỉ chứng minh tuyến đã đi qua mặt phẳng điều khiển.

Điểm kiểm tra bốn: interface nằm trong VRF

Một định nghĩa VRF với route distinguisher và route target không di chuyển bất kỳ interface nào vào đó. Interface phía CE cần được gán VRF, và show ip vrf interfaces hoặc show ip interface brief phải liệt kê nó dưới đúng phiên bản. Đây là điểm kiểm tra nơi cấu hình sao chép hay sai nhất, vì khối VRF trông đầy đủ trong khi interface vẫn nằm trong bảng toàn cục.

Sau đó xác nhận rằng PE đã học tiền tố khách hàng cục bộ vào VRF đó, và CE có tuyến quay lại qua kết nối. Một default tĩnh trên CE trỏ về PE là đủ cho một lab, miễn là VRF của PE có tuyến đến LAN của CE. Nếu thiếu một trong hai nửa, ping thất bại trước khi bất kỳ nhãn nào được đặt.

Điểm kiểm tra năm: câu trả lời tìm được đường về nhà

Theo dõi gói đi rồi gói về, vì chúng dùng các bảng khác nhau. Trên PE vào, nguồn của khách hàng phải phân giải bên trong VRF tới tiền tố xa với nhãn xa. Trên PE ra, đích phải phân giải bên trong cùng VRF tới interface phía CE. Một ping xuất phát từ chính PE không phải bằng chứng: nó có thể đi ra qua bảng toàn cục hoặc một địa chỉ nguồn khác, và đó là lý do ping vrf CUSTOMER 10.10.2.10 source 10.10.1.1 là bài kiểm tra cần chạy.

Tường lửa trên máy chủ, reverse-path filtering và access list trên CE vẫn áp dụng. Nếu đường đi hoạt động mà câu trả lời chết, vấn đề là một tuyến hoặc một bộ lọc ở phía về, không phải giao vận MPLS.

Giữ một dòng cho mỗi điểm kiểm tra nêu tên phụ thuộc đầu tiên đã hỏng. Dòng đó biến lời phàn nàn rằng khách hàng không ping được thành một câu hỏi cụ thể về khả năng tiếp cận, trạng thái nhãn, import tuyến, tư cách thành viên interface hoặc đường về, và nó ngăn phiên gỡ lỗi tiếp theo lặp lại đúng năm lệnh đó theo đúng thứ tự đó.