← Cloudflare Magic Transit / magic-transit / troubleshooting

Odstraňování problémů se směrováním a BGP

Tento průvodce vám pomůže diagnostikovat a vyřešit běžné problémy se směrováním a BGP u Magic Transit. Tyto problémy mohou ovlivnit doručování provozu, způsobit neočekávanou latenci nebo vést ke ztrátě konektivity.

Pokud řešíte problémy se směrováním nebo BGP, nejprve zkontrolujte následující:

1. Stav relace BGP: Ověřte, že relace je Navázáno, nikoli uvízlé ve stavu Připojit nebo Aktivní.
2. Pravidla firewallu: Ujistěte se, že port TCP 179 je povolen obousměrně mezi vaším routerem a Cloudflare.
3. Stav inzerování prefixu: Ověřte, že se prefixy zobrazují jako Inzerováno na řídicím panelu, nikoli Staženo nebo Schváleno.
4. Časování šíření tras: Na globální rozšíření změn počkejte dvě až pět minut. Cloudflare změny šíří během několika minut, ale nemá vliv na to, jak rychle externí poskytovatelé internetových služeb aktualizují své tabulky BGP.
5. Stav tunelu nebo CNI: Zkontrolujte, zda je podkladová konektivita funkční. Degradované tunely ovlivňují prioritu trasy.
6. Konflikty statických tras: Statické trasy mají přednost před trasami BGP se stejnou prioritou.

Když oznámíte nebo stáhnete prefix BYOIP, změny se v síti Cloudflare rozšíří během několika minut.

Když je trasa stažena, internetové sítě provádějí takzvaný BGP path hunting: hledají alternativní cesty, než dojde ke konvergenci na nový stav směrování. Toto chování zesilují tyto faktory:

• Globální anycastová síť Cloudflare a rozsáhlé peeringové vztahy
• Minimum Route Advertisement Interval (MRAI), obvykle 30 sekund na iteraci
• Více sítí Tier-1, které musí konvergovat nezávisle na sobě

Při hledání trasy může být provoz směrován neefektivně, nebo dokonce zcela zahozen.

Viz Bezpečně stáhněte prefix BYOIP kde najdete doporučený postup.

Tato část se zabývá relacemi BGP peeringu (beta) mezi vaší sítí a Cloudflare, navázanými přes CNI nebo tunelů. Tyto relace jsou nezávislé na tom, jak Cloudflare oznamuje vaše prefixy internetu, což je popsáno v Časování šíření tras.

• Relace BGP nikdy nedosáhne Navázáno stavu
• Nejsou inzerovány ani přijímány žádné trasy
• Protokoly routeru zobrazují opakované pokusy o připojení

1. Ověřte, že váš firewall povoluje port TCP 179 obousměrně mezi vaším routerem a peeringovou adresou Cloudflare.
2. Ověřte, že se IP adresa souseda přesně shoduje s peeringovou adresou poskytnutou Cloudflare.
3. Ověřte, že konfigurace ASN odpovídá nastavení na dashboardu. Podporováno je pouze eBGP, proto se vaše ASN musí lišit od ASN účtu Cloudflare.
4. Pokud používáte ověřování MD5, zkontrolujte, zda se heslo shoduje na obou stranách.

• Řídicí panel zobrazuje prefix jako Inzerováno
• Externí hostitelé se nemohou dostat k IP adresám v prefixu
• Provoz je zahozen

• Šíření tras stále probíhá
• Chybějící směrování zpáteční cesty ve vaší síti
• Problémy s validací ROA/RPKI u upstream ISP

1. Počkejte na propagaci: Na úplné globální rozšíření počkejte až pět minut. V síti Cloudflare se změny šíří rychle, ale externí sítě se aktualizují různou rychlostí.
2. Ověřte směrování zpáteční cesty: U konfigurací s odchozím provozem (egress) zajistěte, aby vaše síť měla trasy pro odesílání zpětného provozu přes Cloudflare. U konfigurací pouze pro příchozí provoz (ingress) nebo s přímým návratem ze serveru směrujte zpětný provoz přes vaše tunely.
3. Zkontrolujte externí viditelnost: Použijte nástroje BGP looking glass, například bgp.he.net ↗ nebo RIPE RIS ↗ abyste si ověřili, že je váš prefix viditelný z externích sítí.
4. Ověřte konfiguraci RPKI: Pokud používáte Resource Public Key Infrastructure (RPKI), ověřte, že vaše záznamy Route Origin Authorization (ROA) odpovídají prefixu a konfiguraci ASN v Cloudflare.

• Prefix stažený přes API nebo Dashboard
• Externí provoz nadále přichází do Cloudflare, ale je zahozen
• Ztráta konektivity přetrvává několik minut po stažení trasy

Jedná se o chování označované jako BGP path hunting. Když Cloudflare stáhne váš prefix, internetové sítě hledají alternativní cesty. Konvergence obvykle trvá dvě až pět minut, ale může trvat i déle než 11 minut. Během tohoto období může provoz:

• Směrování ke Cloudflare přes cesty uložené v mezipaměti ISP
• Smyčka mezi poskytovateli Tier-1, kteří ještě nedokončili konvergenci
• Zahozeny dříve, než dosáhnou vaší sítě

Postupujte podle bezpečného postupu pro stažení prefixu:

1. Před stažením: Inzerujte stejný prefix (se stejnou délkou) i u alternativního poskytovatele. BGP tak okamžitě získá alternativní cestu.
2. Volitelné - snížení priority Cloudflare: Přidejte AS prepend k trase Cloudflare, aby byla méně preferovaná, což umožní postupný přesun provozu.
3. Stažení z Cloudflare: Požádejte o stažení prefixu přes API nebo dashboard.
4. Počkejte na konvergenci: Před tím, než migraci považujete za dokončenou, počkejte alespoň 15 minut.

Použití stejné délky prefixu u Cloudflare i u vašeho ISP zabraňuje path huntingu. Sítě tak mají okamžitě k dispozici alternativní trasu.

Viz Bezpečně stáhněte prefix BYOIP pro podrobný návod.

• Provoz z konkrétních oblastí směrovaný přes vzdálená datová centra
• Vyšší než očekávaná latence pro regionální uživatele
• Provoz nepoužívá nejbližší tunel nebo CNI

• Degradace stavu tunelu způsobující snížení priority trasy
• Chybná konfigurace regionálního vymezení tras
• Priority BGP tras nejsou nastaveny podle očekávání
• Statické trasy přepisující trasy BGP

1. Zkontrolujte stav tunelu: Degradovaným tunelům se k prioritě trasy přičte 500,000. Nedostupným tunelům se přičte 1,000,000. Provoz se přesune na funkčnější cesty, které mohou vést přes jiné regiony. Viz Odstraňování problémů se stavem tunelu pro diagnostické kroky.

2. Zkontrolovat priority tras: Nižší hodnoty priority znamenají vyšší preferenci. Ověřte, že vaše trasy mají očekávanou konfiguraci priority.

   • Výchozí priorita trasy BGP: 100
   • Statické trasy s prioritou 100 mají přednost před trasami BGP na 100

3. Zkontrolujte regionální rozsah: Pokud používáte trasy vázané na region, zajistěte, aby všechny regiony měly pokrytí trasami. Provoz přicházející do regionu bez odpovídající trasy je zahozen.

4. Použít Network Analytics: Prostudujte vzorce provozu a zjistěte, kam provoz směřuje a jakými cestami prochází. Další informace najdete v Network Analytics pro pokyny k použití.

• CNI se v dashboardu zobrazuje jako nedostupné
• Relace BGP přes CNI vypadává
• Provoz se přepne na tunely nebo alternativní CNI

Problémy s CNI mohou nastat na více vrstvách:

I funkční fyzické spojení může mít problémy s BGP. Funkční relace BGP může existovat i v době, kdy jsou konkrétní prefixy staženy.

Zkontrolujte fyzickou vrstvu (na vaší straně):

1. Ověřte, že je rozhraní na vašem routeru administrativně ve stavu up.
2. Zkontrolujte úrovně optického signálu (Tx/Rx dBm). Neobvyklé hodnoty značí problém s optickým vláknem nebo transceiverem.
3. Pokud jsou úrovně signálu na přijímací straně nízké nebo chybí, kontaktujte své datacentrum a ověřte stav cross-connectu.

Zkontrolujte relaci BGP:

1. Ověřte, že stav sousedství BGP na vašem routeru zobrazuje Navázáno.
2. Pokud je nakonfigurováno ověřování, zkontrolujte nesoulad v ověřování MD5.
3. Zkontrolujte protokoly BGP, zda neobsahují chybové zprávy vysvětlující, proč mohlo dojít k ukončení relace.

Zkontrolujte údržbu:

1. Zkontrolujte Cloudflare Status ↗ pro plánovanou údržbu ovlivňující vaši lokalitu CNI.
2. Některé události údržby mohou dočasně ovlivnit konektivitu CNI, i když jsou označené jako nerušivé.

Viz Network Interconnect s informacemi o konfiguraci a nastavení CNI.

• BGP trasy se nepoužívají, přestože byly naučeny
• Provoz nesleduje očekávanou cestu BGP
• Změny trasy se neprojevují podle očekávání

Pokud statické trasy a trasy BGP sdílejí stejný prefix a prioritu, Cloudflare upřednostní statické trasy. Tím se zajistí, že ručně nakonfigurované trasy mají přednost, pokud jejich prioritu výslovně nesnížíte.

Upravte priority tras podle svých preferencí:

• Upřednostnit trasy BGP: Nastavte prioritu statické trasy na vyšší číslo (například 150 nebo 200). Vyšší čísla znamenají nižší prioritu.
• Upřednostnit statické trasy: Udržujte prioritu statické trasy na úrovni nebo pod 100. Trasy BGP mají ve výchozím nastavení prioritu 100.

Chcete-li v tomto příkladu upřednostnit trasu BGP, změňte prioritu statické trasy na 150 nebo vyšší, nebo statickou trasu úplně odeberte.

Viz Prioritizace tras pro podrobné informace o tom, jak fungují priority.

Pochopení vztahu mezi těmito komponentami pomáhá diagnostikovat problémy se směrováním:

I funkční CNI může mít nefunkční tunel, pokud jsou sondy kontroly stavu blokované nebo špatně nakonfigurované. Trasy BGP mohou být staženy, i když je fyzické spojení v pořádku.

Pokud jste postupovali podle tohoto návodu a stále máte problémy se směrováním, než se obrátíte na podporu Cloudflare, shromážděte následující informace.

1. ID účtu a postižené prefixy, název(y) tunelu nebo identifikátor(y) CNI
2. Časová razítka (v UTC), kdy k problému došlo
3. Podrobnosti konfigurace BGP:
   • Vaše ASN a peeringové ASN Cloudflare
   • IP adresy sousedů
   • Vyčištěná konfigurace routeru (odstraňte hesla a klíče)
4. Informace o aktuálním stavu:
   • Stav relace BGP z vašeho routeru
   • Snímky obrazovky Dashboardu zobrazující stav prefixu, trasy nebo tunelu

• Viditelnost externího BGP: Výsledky z nástrojů looking glass zobrazující váš prefix
• Protokoly routeru: Protokoly BGP souseda pokrývající časové období incidentu
• Výsledky Traceroute: Z postižených zdrojových sítí do vašeho prefixu
• Potíže s CNI: Údaje o úrovni optického signálu z vašeho zařízení

Shromážděte výstup z těchto příkazů (syntaxe se liší podle výrobce):

# Show BGP neighbor status
show bgp neighbors

# Show BGP summary
show bgp ipv4 unicast summary

# Show specific prefix in BGP table
show bgp ipv4 unicast <YOUR_PREFIX>

# Show interface status (for CNI)
show interface <YOUR_INTERFACE_NAME>

# Show received and advertised routes
show bgp ipv4 unicast neighbors <YOUR_NEIGHBOR_IP> routes
show bgp ipv4 unicast neighbors <YOUR_NEIGHBOR_IP> advertised-routes

• Řízení provozu: Prioritizace tras, BGP komunity a chování ECMP
• Inzerce prefixů: Metody řízení BGP a bezpečné postupy stažení
• Konfigurace tras: Konfigurace statické trasy
• Network Interconnect: Nastavení CNI a BGP peering
• Odstraňování problémů se stavem tunelu: Diagnostické kroky specifické pro tunel
• Network Analytics: Analýza a monitorování provozu
• Cloudflare Status ↗: Oznámení o údržbě a incidentech