Tuyến bị mất trong VRF: cục bộ, VPNv4 hay bảng chuyển tiếp?

Khách hàng nói một tiền tố biến mất sau khi đổi đích tuyến, và ảnh chụp màn hình đầu tiên họ gửi thường là bảng sai. Ba bảng khác nhau trả lời ba câu hỏi khác nhau: tiền tố có nằm trong VRF hay không, nó có được quảng bá và nhập vào như một tuyến VPNv4 hay không, và một mục chuyển tiếp có thực sự được cài hay không. Đọc chúng sai thứ tự sẽ cho ra những kết luận chắc chắn nhưng sai. Tài liệu này dẫn một tiền tố cục bộ và một tiền tố từ xa đi qua cả ba bảng theo thứ tự, và kết thúc bằng kế hoạch khôi phục cho thay đổi RT đã gây ra chuyện đó.

Gọi tên tiền tố và bảng mà nó thuộc về

Ghi ra hai tiền tố trước khi gõ bất cứ thứ gì. Một là cục bộ tại site của khách hàng, học được từ giao diện kết nối hoặc từ quảng bá CE. Cái kia là từ xa và được kỳ vọng đến qua xương sống của nhà cung cấp. Chúng đi vào cùng một VRF theo những đường khác nhau, và sự cố ở một cái không nói gì về cái kia.

Giữ rõ sự phân biệt giữa hai định danh, vì phần lớn sự lẫn lộn trong những phiếu này đến từ đó. Bộ phân biệt tuyến là một phần của NLRI VPNv4 và tồn tại để làm cho các tiền tố khách hàng vốn giống nhau trở nên duy nhất trên toàn xương sống. Đích tuyến là một cộng đồng mở rộng được mang như thuộc tính, và chính nó là thứ mà chính sách nhập và xuất khớp vào. Nó không phải tên thứ hai của bộ phân biệt và nó không được mang trong gói của khách hàng.

Bước 1: chứng minh tiền tố có trong VRF

Bắt đầu từ góc nhìn cục bộ, rồi đến các RT điều khiển việc nhập. Nếu tiền tố cục bộ không có ở đây, không gì phía trên có thể là nguyên nhân:

show ip route vrf CUST-A 172.21.4.0 255.255.255.0
show ip route vrf CUST-A | include 172.21.4.0
show ip vrf CUST-A

Tiền tố hiện ra như kết nối trực tiếp hoặc tĩnh là được học cục bộ, và sự hiện diện của nó không nói gì về việc nó có được xuất hay không. Đây là cách đọc sai phổ biến nhất trong quy trình này: một bảng VRF khỏe mạnh chỉ là bằng chứng về việc học cục bộ. Phía xuất là câu hỏi riêng, được trả lời bằng góc nhìn láng giềng và đích xuất gắn kèm.

Kiểm tra danh sách RT trên VRF khi còn ở đây. Nếu đích nhập dự kiến không có trong danh sách thì mọi thứ phía dưới đều vô nghĩa. Nếu có nhưng khác với thứ PE từ xa xuất ra, bạn đã tìm ra sự cố mà không cần mở một lần bắt gói nào.

Bước 2: đọc bảng VPNv4 và các đích của nó

Bảng VPNv4 cho thấy mặt phẳng điều khiển thực sự đã trao đổi những gì. Tìm tiền tố từ xa dưới đúng bộ phân biệt, rồi xem các cộng đồng gắn với nó:

show ip bgp vpnv4 all 10.60.9.0/24
show ip bgp vpnv4 all | include 10.60.9.0
show ip bgp vpnv4 vrf CUST-A neighbors 192.0.2.17 advertised-routes

Một mục có đích tuyến đúng nhưng không có cài đặt cục bộ chỉ về chính sách nhập hoặc về việc chọn tuyến, không phải về khả năng tiếp cận. Một mục không hề xuất hiện trong bảng VPNv4 chỉ về phía trên: có thể PE gốc chưa xuất nó, hoặc phiên không mang họ địa chỉ đó.

Có một trường hợp thứ ba khiến người ta bối rối trong lúc thay đổi. Một số nền tảng giới hạn những tuyến VPN mà chúng yêu cầu hoặc giữ lại, dựa trên thông tin thành viên của đích tuyến, nên việc thiếu một NLRI từ xa trong một góc nhìn đã lọc không phải là bằng chứng rằng quảng bá đó không tồn tại ở đâu cả. Hãy kiểm tra bảng không lọc và các tuyến được láng giềng quảng bá trước khi kết luận một tuyến đã bị rút trên toàn cầu.

Bước 3: xác nhận đã cài và đã gắn nhãn

Một mục BGP là một quyết định, không phải một đường đi. Các bảng chuyển tiếp cho biết gói có nơi để đi hay không:

show ip cef vrf CUST-A 10.60.9.0/24
show mpls forwarding-table vrf CUST-A | include 10.60.9.0
show ip bgp vpnv4 vrf CUST-A

Một mục CEF có lân cận đã phân giải và nhãn ra có nghĩa là lưu lượng mặt phẳng dữ liệu phải chạy được, và mọi triệu chứng còn lại thuộc về ứng dụng hoặc về lọc bên trong VRF. Một mục CEF cho thấy bước nhảy kế tiếp chưa phân giải nghĩa là đường nhãn chưa đầy đủ dù BGP trông khỏe, và đó đúng là trường hợp mà ảnh chụp bảng BGP đã đánh lừa một lần rà soát thay đổi.

So sánh nhãn mà PE cục bộ áp đặt với nhãn mà PE từ xa mong nhận được. Sự không khớp giữa hai góc nhìn là vấn đề cấp phát nhãn hoặc phiên, và nó sẽ không được sửa bằng cách sửa đích tuyến, dù bạn làm bao nhiêu lần.

Khôi phục thay đổi RT với phạm vi được nêu rõ

Nếu sự cố bắt đầu từ việc sửa đích tuyến, hãy hoàn tác nó như một bước có chủ ý duy nhất và nói rõ phạm vi bạn đang đổi. Gỡ một đích nhập sẽ rút lại tư cách bên trong VRF đó. Nó không xóa quảng bá VPNv4 khỏi xương sống, và trên một số nền tảng tuyến vẫn được giữ lại trong bảng. Đây là những kết quả khác nhau và tác động người dùng thấy được phụ thuộc vào việc bạn muốn kết quả nào.

configure terminal
vrf definition CUST-A
 address-family ipv4
  no route-target import 65000:410
 end
clear ip bgp vpnv4 vrf CUST-A soft in

Cấu hình lại mềm phía vào là đủ khi phiên đã lưu tiền tố; đặt lại cứng một phiên hướng tới nhà cung cấp trong giờ làm việc là quyết định mà người khác nên đưa ra. Trên Junos, các kiểm tra tương đương đọc trực tiếp bảng theo từng VRF và bảng VPN, và khôi phục là quay lại lúc commit chứ không phải hủy từng lệnh, nên hãy ghi lại khác biệt cấu hình trước khi bắt đầu.

Kết thúc bằng đúng ba lệnh đã dùng để bắt đầu, theo đúng thứ tự, và ghi lại kết quả kèm dấu thời gian. Một phiếu nói rằng RT đã sai và giờ đã đúng thì không thể dùng lại; phiếu cho thấy tiền tố có trong VRF, có trong VPNv4 và đã cài trong CEF mới là bằng chứng để người sau đối chiếu. Nếu chỉ hai mục đầu thay đổi thì bạn chưa làm xong thay đổi.