EVPN-VXLAN-фабрика выглядит исправной, но не передаёт пакеты: разбор на трёх захватах

Лабораторные стенды на базе EVPN-VXLAN стали стандартным инструментом для отработки навыков сетевого инженера, однако даже правильно собранная топология способна преподнести неприятный сюрприз. Автор материала собрал дома фабрику EVPN-VXLAN на бесплатных образах Junos в containerlab — под Windows, в WSL2, на процессоре AMD. Стенд поднялся без явных ошибок, и все индикаторы указывали на нормальную работу. Тем не менее передача данных между хостами полностью отсутствовала, что делает этот кейс полезным для всех, кто строит подобные лаборатории.

Подробности

Внешне фабрика демонстрировала полную исправность. Обе сессии BGP находились в состоянии Establ, маршруты EVPN успешно разошлись между участниками, туннель был построен, а MAC-адрес соседнего хоста присутствовал в таблице. Несмотря на это, между хостами не проходило ни одного пакета — то есть плоскость управления работала, а плоскость передачи данных молчала. Диагностика потребовала разбора трёх захватов трафика, что в итоге позволило локализовать проблему. Разгадка оказалась в одной строке конфига, которой нет ни в одном туториале, — именно её отсутствие и приводило к тому, что сеть выглядела здоровой, но фактически не передавала трафик. Автор не приводит в анонсе точного содержания этой строки, однако сам подход к диагностике — последовательный анализ захватов на разных участках фабрики — заслуживает внимания как методика поиска подобных «тихих» отказов. Вторая половина материала посвящена честному измерению отказов. Автор задаётся вопросом, почему ping с секундным разрешением не годится для оценки потерь и задержек при сбоях. На практике такой инструмент просто не способен зафиксировать кратковременные провалы, которые возникают при переключениях и считаются критичными для современных сетей. Чтобы получить объективную картину, был использован поток в тысячу пакетов в секунду, а затем погашен линк. Именно такой подход позволяет увидеть реальную длительность перерыва связи и оценить, насколько быстро фабрика восстанавливает передачу данных после отказа.

Что делать

При построении лабораторных фабрик EVPN-VXLAN стоит учитывать, что состояние Establ для сессий BGP, наличие EVPN-маршрутов, построенный туннель и MAC соседа в таблице ещё не гарантируют прохождения трафика. Рекомендуется сразу проверять плоскость передачи данных, а не ограничиваться контролем плоскости управления. При возникновении подобной ситуации эффективен разбор захватов трафика на нескольких участках фабрики — это помогает локализовать место, где пакеты теряются. Также не лишним будет свериться с конфигурацией на предмет неочевидных строк, которые могут отсутствовать в типовых туториалах. Для измерения отказов следует отказаться от ping с секундным разрешением и использовать потоки с высокой частотой отправки пакетов, например тысячу пакетов в секунду, с последующим контролируемым гашением линка. Такой метод даёт честную оценку длительности перерыва и скорости восстановления, тогда как низкочастотные проверки способны пропустить короткие, но значимые провалы. Итог: даже внешне здоровая фабрика EVPN-VXLAN может не передавать ни одного пакета, поэтому диагностику нужно вести от плоскости передачи данных, а отказы измерять высокочастотными потоками, а не редкими ping-запросами.

Источник: Хабр — Системное администрирование