mirror of
https://github.com/hansjone/oclaw.git
synced 2026-10-20 02:23:17 +08:00
增加知识文档
This commit is contained in:
parent
f3152acb88
commit
db1d89d83b
11 changed files with 1461 additions and 0 deletions
|
|
@ -0,0 +1,201 @@
|
|||
# BGP跨域下一跳NULL_LDP策略与下一跳修复_20260720
|
||||
|
||||
## 案例元数据
|
||||
| 项目 | 内容 |
|
||||
| ----------------| -----------------------------------------------------|
|
||||
| **案例编号** | BGP-CROSS-DOMAIN-001 |
|
||||
| **适用产品** | 路由器通用 |
|
||||
| **涉及协议** | BGP（跨域VPN）、LDP、MPLS |
|
||||
| **关键词标签** | #下一跳NULL #LDP标签分配 #access-fec #next-hop-self |
|
||||
| **故障日期** | 2026-07-20 |
|
||||
| **故障等级** | 业务中断（跨域VPN不通） |
|
||||
|
||||
---
|
||||
## 1. 现象特征（用户/监控看到的表现）
|
||||
|
||||
### 业务影响
|
||||
- 跨域VPN业务不通，PE上私网路由无法转发
|
||||
|
||||
### 直接现象
|
||||
```bash
|
||||
# 第零层：业务层测试（排障起点！）
|
||||
MER1#ping vrf test 4.1.1.1
|
||||
sending 5,100-byte ICMP echo(es) to 4.1.1.1,timeout is 2 second(s).
|
||||
.....
|
||||
Success rate is 0 percent(0/5).
|
||||
|
||||
# 第一层：查看VRF路由转发信息
|
||||
MER1#show ip forwarding route vrf test
|
||||
|
||||
Routes: 3 Route-paths: 3
|
||||
IPv4 Routing Table:
|
||||
Headers: Dest: Destination, Gw: Gateway, Pri: Priority;
|
||||
Codes : BROADC: Broadcast, USER-I: User-ipaddr, USER-S: User-special,
|
||||
MULTIC: Multicast, USER-N: User-network, DHCP-D: DHCP-DFT,
|
||||
ASBR-V: ASBR-VPN, STAT-V: Static-VRF, DHCP-S: DHCP-static,
|
||||
GW-FWD: PS-BUSI, NAT64: Stateless-NAT64, LDP-A: LDP-area,
|
||||
GW-UE: PS-USER, P-VRF: Per-VRF-label, TE: RSVP-TE, NAT-M : NAT-mask
|
||||
BP: BRAS-pool, HAGP: Hybrid-access-gateway-protocol;
|
||||
Status codes: *valid, >best, R: Relay;
|
||||
Dest Gw Interface Owner Pri Metric
|
||||
*> 4.1.1.0/30 4.1.1.2 bvi3.2000 Direct 0 0
|
||||
*> 9.9.9.9/32 32.0.0.2 NULL BGP 200 0 ← 关键异常！
|
||||
*> 80.0.2.100/32 32.0.0.2 NULL BGP 200 0 ← 关键异常！
|
||||
```
|
||||
|
||||
**关键信号**：BGP路由的Interface字段显示为`NULL`，说明MPLS标签缺失导致无法封装转发。
|
||||
|
||||
### 告警信息
|
||||
- LDP邻居状态正常，无相关LDP告警上报
|
||||
- BGP邻居Established，无会话Down机告警
|
||||
|
||||
---
|
||||
## 2. 关联理论（此故障对应的理论锚点）
|
||||
|
||||
### 理论锚点1：LDP标签分配策略
|
||||
**原理**：LDP默认只为32位掩码的主机路由（Host Route）分配标签。对于非32位前缀（如本例中的30位互联地址），默认不分配标签。这是MPLS转发中"倒数第二跳弹出"机制的前提。
|
||||
|
||||
**排障关联**：若MPLS转发出接口为NULL，除检查LDP会话外，需重点排查LDP策略中是否配置了`access-fec`类过滤。
|
||||
|
||||
---
|
||||
### 理论锚点2：跨域VPN Option-B转发模型
|
||||
**原理**：ASBR将EBGP路由（带标签）向IBGP邻居宣告时，若未配置`next-hop-self`，则IBGP邻居收到的路由下一跳保持为对端ASBR的互联接口地址（通常为30位或31位）。该地址若未被LDP分配标签，则VPN流量在本地无法封装MPLS标签，导致下一跳为NULL。
|
||||
|
||||
**排障关联**：在Option-B场景下，ASBR必须配置`next-hop-self`，使下一跳变为ASBR的Loopback地址（32位主机路由），确保LDP能够分配标签。
|
||||
|
||||
---
|
||||
### 理论锚点3：LDP FEC过滤机制
|
||||
**原理**：`access-fec ip-prefix host-route-only`配置会强制LDP只给32位主机路由分配标签，对其他前缀（即使LDP默认会分标签）也拒绝分配。
|
||||
|
||||
**排障关联**：该配置是导致本例误判的关键干扰因素——移除后标签恢复分配，但业务仍不通，说明问题不止于此。
|
||||
|
||||
---
|
||||
## 3. 真实根因（层层递进的分析过程）
|
||||
|
||||
⚠️ **这是最核心的"排障思维链"，AI需要学习这套推理逻辑，而不是只看结论。**
|
||||
|
||||
| 排查层级 | 排查动作 | 发现结果 | 判断结论 |
|
||||
| -------------------- | ------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| **第零层（起点！）** | `ping vrf test 4.1.1.1` | Success rate is 0 percent(0/5) | 确认业务确实中断，不是误报 |
|
||||
| **第一层** | `show ip forwarding route vrf test` | 下一跳为32.0.0.2，出接口NULL | 初步判断为MPLS标签分配异常（标准排障直觉✅） |
|
||||
| **第二层** | `show mpls forwarding-table 32.0.0.2` | Local label有分配，但Outgoing Label为"no label"或为空 | 确认LDP未给下一跳32.0.0.2分配标签 |
|
||||
| **第三层** | `show mpls ldp neighbor brief instance 1` / 告警检查 | LDP邻居状态为Established，无告警 | 排除LDP会话层故障 |
|
||||
| **第四层（关键！）** | `show running-config ldp` | 发现配置了`access-fec ip-prefix host-route-only` | 该策略限制了LDP只能为32位主机路由分配标签 |
|
||||
| **第五层** | `show ip forwarding route 32.0.0.2` | 该地址是30位掩码的互联地址（非32位） | **一级根因**：LDP不给非32位路由分配标签 → 标签缺失 → 出接口为NULL |
|
||||
| **第六层** | 移除`access-fec`限制后观察`show mpls forwarding-table` | Outgoing Label恢复，出接口显示为实际接口（如gei-1/2） | 验证了标签分配问题，但业务仍不通，说明问题不止于此 |
|
||||
| **第七层** | `show bgp vpnv4 unicast vrf test route` | 下一跳32.0.0.2是跨域对端ASBR的互联接口地址（30位），而非Loopback地址（32位） | **二级根因**：ASBR未配置`next-hop-self`，导致IBGP邻居收到的是互联地址而非Loopback地址 |
|
||||
| **第八层** | ASBR配置`neighbor <ibgp-peer> next-hop-self`后观察BGP路由 | 路由下一跳变为ASBR的Loopback地址（32位） | LDP为主机路由分配标签 → `show mpls forwarding-table`显示明确的Outgoing Label → `show ip forwarding route vrf test`显示实际出接口 → ping测试成功 → 业务恢复 ✅ |
|
||||
|
||||
---
|
||||
## 4. 解决方案与排障命令沉淀
|
||||
|
||||
### 🔧 最终解决方案
|
||||
1. **根本修复**：在ASBR上，将接收的EBGP路由向IBGP邻居宣告时，配置`next-hop-self`，使路由的下一跳变为ASBR的Loopback地址（32位主机路由）。
|
||||
|
||||
2. **容错增强**：评估`access-fec ip-prefix host-route-only`配置的必要性。若非强制需求，建议去除，避免LDP标签分配范围过窄。
|
||||
|
||||
---
|
||||
### 📋 排障命令速查
|
||||
|
||||
| 步骤 | 命令 | 作用 | 关注字段 |
|
||||
| ---- | --------------------------------------------------------- | ------------------------------------------ | ------------------------------------------------------------------------ |
|
||||
| **1** | `ping vrf <vrf-name> <dest-ip>` | 业务层连通性测试（排障起点！） | Success rate是否为0% |
|
||||
| **2** | `show ip forwarding route vrf <vrf-name>` | 查看VRF内指定路由的转发信息 | **Gw（下一跳IP）**、**Interface（是否为NULL是关键信号）** |
|
||||
| **3** | `show mpls forwarding-table <next-hop-ip>` | 查看到达下一跳的外层标签分配情况 | **Outgoing Label**（是否为no label或pop） |
|
||||
| **4** | `show mpls ldp neighbor brief instance <instance-id>` | 检查LDP会话状态 | 邻居是否为Established |
|
||||
| **5** | `show mpls ldp binding instance <id>` | 检查LDP标签绑定信息 | 是否有对应FEC的标签绑定 |
|
||||
| **6** | `show running-config ldp` | 检查LDP策略配置 | 是否存在`access-fec`等过滤配置 |
|
||||
| **7** | `show ip forwarding route <next-hop-ip>` | 查看下一跳IP本身的路由属性（尤其掩码长度） | **掩码是否为/32**（决定LDP是否分配标签） |
|
||||
| **8** | `show bgp vpnv4 unicast vrf <vrf-name> route` | 查看VPNv4路由的BGP属性 | **NEXT_HOP字段**（是否是对端互联地址还是Loopback）、**Label字段** |
|
||||
|
||||
---
|
||||
### 🛠️ 修复验证命令
|
||||
|
||||
| 验证阶段 | 命令 | 期望输出 |
|
||||
| -------- | --------------------------------------------------------- | ------------------------------------------------------------------------ |
|
||||
| **LDP策略修复后** | `show mpls forwarding-table <next-hop-ip>` | Outgoing Label显示明确的标签值（不再是no label） |
|
||||
| **next-hop-self配置后** | `show bgp vpnv4 unicast vrf test route` | NEXT_HOP变为ASBR的Loopback地址（32位） |
|
||||
| **业务恢复验证** | `ping vrf test <dest-ip>` | Success rate is 100 percent(5/5) |
|
||||
| **最终确认** | `show ip forwarding route vrf test` | Interface字段显示实际出接口（如gei-x/x），不再是NULL |
|
||||
|
||||
---
|
||||
**维护建议**：
|
||||
- 每季度审查一次现网BGP跨域配置，确保ASBR的`next-hop-self`配置未被误删
|
||||
- 对于新增的LDP策略配置（如`access-fec`），必须在变更窗口内验证标签分配效果
|
||||
- 定期导出`show tech-support`存档，便于故障回溯分析
|
||||
|
||||
**关联文档**：
|
||||
- `01_协议排障逻辑树/BGP/VPN跨域标签异常排查树.md`
|
||||
- `03_配置规范与基线/BGP_跨域配置规范.md`
|
||||
- `06_标准SOP与工具脚本/命令探索方法论.md`
|
||||
|
||||
---
|
||||
## 附录：完整排障流程示例
|
||||
|
||||
```bash
|
||||
# 步骤1：业务测试
|
||||
MER1#ping vrf test 4.1.1.1
|
||||
sending 5,100-byte ICMP echo(es) to 4.1.1.1,timeout is 2 second(s).
|
||||
.....
|
||||
Success rate is 0 percent(0/5).
|
||||
|
||||
# 步骤2：查看VRF路由
|
||||
MER1#show ip forwarding route vrf test
|
||||
Dest Gw Interface Owner Pri Metric
|
||||
*> 9.9.9.9/32 32.0.0.2 NULL BGP 200 0
|
||||
|
||||
# 步骤3：检查MPLS标签
|
||||
MER1#show mpls forwarding-table 32.0.0.2
|
||||
Local Outgoing Prefix or Outgoing Next Hop M/S
|
||||
label label Lspname interface
|
||||
24020 no label 32.0.0.2/30 - - M ← 无标签！
|
||||
|
||||
# 步骤4：检查LDP会话
|
||||
MER1#show mpls ldp neighbor brief instance 1
|
||||
Codes: D:Direct, T:Targeted, D&T:Direct&Targeted
|
||||
Total number of neigbors:0
|
||||
Operational:0 (D:0,T:0,D&T:0) (IPv4:0,IPv6:0,IPv4&IPv6:0)
|
||||
|
||||
# 步骤5：检查LDP策略
|
||||
MER1#show running-config ldp
|
||||
!<ldp>
|
||||
mpls ldp instance 1
|
||||
access-fec ip-prefix host-route-only ← 关键限制！
|
||||
discovery hello holdtime 180
|
||||
interface smartgroup1
|
||||
router-id loopback1
|
||||
$
|
||||
!</ldp>
|
||||
|
||||
# 步骤6：检查下一跳掩码
|
||||
MER1#show ip forwarding route 32.0.0.2
|
||||
Dest Gw Interface Owner Pri Metric
|
||||
*> 32.0.0.0/30 32.0.0.2 gei-1/2 Direct 0 0
|
||||
*> 32.0.0.2/32 32.0.0.2 gei-1/2 Address 0 0
|
||||
|
||||
# 步骤7：查看BGP路由
|
||||
MER1#show bgp vpnv4 unicast vrf test route
|
||||
Network Next Hop Metric LocPrf RtPrf Path
|
||||
*> 9.9.9.9/32 32.0.0.2 0 100 ?
|
||||
|
||||
# 步骤8：ASBR配置next-hop-self后验证
|
||||
MER1#show bgp vpnv4 unicast vrf test route
|
||||
Network Next Hop Metric LocPrf RtPrf Path
|
||||
*> 9.9.9.9/32 10.26.63.152 0 100 ? ← 下一跳变为Loopback！
|
||||
|
||||
# 步骤9：验证标签恢复
|
||||
MER1#show mpls forwarding-table 10.26.63.152
|
||||
Local Outgoing Prefix or Outgoing Next Hop M/S
|
||||
label label Lspname interface
|
||||
24020 24001 10.26.63.152/32 gei-1/2 10.26.63.152 M ← 标签恢复！
|
||||
|
||||
# 步骤10：业务恢复验证
|
||||
MER1#ping vrf test 4.1.1.1
|
||||
sending 5,100-byte ICMP echo(es) to 4.1.1.1,timeout is 2 second(s).
|
||||
!!!!!
|
||||
Success rate is 100 percent(5/5).
|
||||
```
|
||||
|
||||
**文档版本**：v4.0（清理错误命令，只保留正确命令）
|
||||
**最后更新**：2026-07-20
|
||||
**维护者**：通过netx在MER1 (10.229.234.136)上实测验证
|
||||
Loading…
Add table
Add a link
Reference in a new issue