Настройки сети
Сценарии настройки VRF
Проверка и диагностика VRF

Проверка и диагностика VRF

  • Проверено на версии — 2.2.1

Порядок один и тот же: сначала интерфейс системы — приняты ли настройки, доставлены ли они и что агенты показывают о себе, затем встроенные инструменты диагностики, и только потом консоль на машине.

Шаг 1. Настройки приняты и доставлены

На вкладке VRF у профиля должны быть заполнены столбцы Сети и Агенты и стоять статус Работает.

  • Агенты равно нулю — в сегменте нет ни одного узла. Для сегмента типа Без тега узлы перечисляются вручную; для сегмента VLAN список ведёт система, но узлы могли быть исключены кнопкой Убрать.
  • Статус Не доставляется — номер таблицы маршрутизации профиля занят другим VRF, созданным раньше. Настройки такого профиля на агенты не передаются. Подсказка на значке статуса содержит точную причину.

Затем откройте раздел Сеть и убедитесь, что сетевые агенты находятся в состоянии Работает. Профиль не доедет до агента, с которым нет связи.

Откройте профиль на редактирование и проверьте, что под полями IPv4 и IPv6 узлов указаны выданные адреса. Пустое поле без выданного адреса означает, что выдача не состоялась — чаще всего диапазон выдачи задан вне сети сегмента либо исчерпан.

Шаг 2. Что видно на агенте через интерфейс

Всё, что агент знает о своём сетевом состоянии, доступно на его вкладках в разделе Сеть → <сетевой агент>.

Что проверяемГде смотретьЧто должно быть
Устройства VRF и сегментавкладка Интерфейсыустройство с именем профиля и типом vrf, рядом интерфейс сегмента (ens19.300 для VLAN либо сам интерфейс без тега), оба в рабочем состоянии
Адреса и плавающий шлюзвкладка IP/VIPадрес агента из сети сегмента; на одном из агентов — плавающий шлюз и VIP конфигураций балансировки
Доехал ли VLANвкладка Соседиузлы сети сегмента на интерфейсе сегмента: соседи появляются только при реальном обмене на канальном уровне
Что сгенерировано для BGPвкладка Конфигурацияблок router bgp … vrf <имя> с соседями и подставленным системой адресом источника
MTU интерфейса сегментавкладка Интерфейсы, столбец MTUна 4 байта меньше родительского на каждый добавленный тег

Состояние серверов приложения смотрится в группе серверов: столбец Состояние показывает результат проверок доступности, которые идут с адреса агента в этом VRF.

Шаг 3. Встроенные инструменты диагностики

Раздел Кластеры балансировки → <кластер> → Диагностика запускает утилиты на выбранном агенте.

  • TCP Dump — снимает трафик на выбранном интерфейсе. Для VRF это основной инструмент: выберите интерфейс сегмента и посмотрите, доходят ли пакеты и с каких адресов уходят.
  • Traceroute — строит путь до узла, интерфейс выбирается в форме.
  • DNS Lookup — разрешение имён с агента.
ℹ️

У инструмента Ping выбора интерфейса нет, поэтому проверить им связность внутри VRF нельзя: запрос уйдёт по общей таблице маршрутизации. Для VRF пользуйтесь TCP Dump и Traceroute, а простую проверку доступности выполняйте на машине.

Шаг 4. Консоль на машине

Нужна, когда картина в интерфейсе не сходится или требуется то, чего в интерфейсе пока нет: таблица маршрутизации VRF, состояние BGP-сессий, счётчики наблюдения за изоляцией.

ip route show vrf demo                   # таблица маршрутизации сети
ip -6 route show vrf demo                # то же для IPv6
ip vrf exec demo ping -c3 10.88.0.114    # связность внутри VRF
ping -c3 10.88.0.114                     # то же вне VRF: пакеты идти НЕ должны
vtysh -c 'show bgp vrf demo summary'     # состояние BGP-сессий
nft list table inet a5-crossvrf          # счётчики наблюдения за изоляцией

Если ip vrf exec в вашей системе недоступен, тот же результат даёт привязка к устройству VRF: ping -I demo -c3 10.88.0.114.

Как читать эти счётчики — в описании поля Наблюдение за изоляцией.

Симптомы и причины

СимптомВероятная причинаЧто проверить
Профиль сохранён, на агентах ничего не появилосьСтатус Не доставляется либо в сегменте нет узловСтолбцы Агенты и Статус в списке VRF
Устройство VRF есть, интерфейса сегмента нетРодительский интерфейс на этой машине называется иначеПоле Интерфейс сегмента и переопределение у узла
Устройство и интерфейс есть, адреса нетДиапазон выдачи задан вне сети сегмента или исчерпанПоле Диапазон выдачи и число узлов сегмента
Из VRF ничего не доступно, хотя адреса на местеVLAN не доведён коммутатором до этой машиныВкладка Соседи: пустая таблица на интерфейсе сегмента — верный признак
Трафик проходит и без входа в VRFТот же адрес настроен где-то ещё, вне профиляВкладка IP/VIP этого агента
Узлы группы серверов недоступныСерверы отвечают не на тех адресах, из которых идут проверкиИсточником проверок служит адрес агента в этом VRF
BGP-сессия установлена, маршрутов нольПустой список Разрешённые префиксы соседа означает «не принимать ничего»Карточка соседа в профиле
Счётчик наблюдения растёт вдвое быстрее ожидаемогоПакет в VRF проходит фильтр дважды: с интерфейсом и с устройством VRFДелите показания пополам
Узел исчез из профиля после переименования агентаУзел ссылается на агента по имениВерните прежнее имя агента либо добавьте узел заново
MTU интерфейса сегмента меньше ожидаемогоКаждый тег отнимает 4 байта, а ядро отвергает недостижимое значениеMTU родительского интерфейса на вкладке Интерфейсы

Дополнительные материалы

IPv4 и IPv6 в одном VRFНастройка IP Transparency