Meeting」で、実行委員をやってきました。今回はネットワークのトラブルシューティングコンテスト「NETCON」のスタッフです。問題作成担当として2問担当しましたので、それぞれここで解説していきたいと思います。IGPMP-BGPRoute-TargetVPN識別ラベルと転送ラベル回答例まとめコンフィグCE1CE2PE1PE2P1P2RT問題CE1-CE2のLoopback0間でping疎通ができない。以下の結果が得られるように問題を解決せよ。各インターフェースのIPアドレスは変更してはならない既存の設定内容は削除してはならないトンネリング、ルーティング追加は許可しない。必要な場合に限り1箇所だけスタティックルートの追加を認める。状況確認まず現在の状態を見てみます。*CE2#全く通りませんね。進めましょうか...IGPトポロジ図をまずみてみましょう。CE1-CE2(OSPF)間に異なるIGP(IS-IS)が存在するので、再配送の可能性も考えてまずはIS-IS区間をみてみましょう。GigabitEthernet0/0/0/2おや?IS-ISの経路情報が全くありません。IETF-NSF確立できていません。IS-ISのプロトコルレベルで情報収集してみましょう。nonePE1はGig2(P1接続インターフェース)とLoopback0でIS-ISが動作しており、エリア49.0001に所属していることがわかります。IS-TypeはLevel-1で動作していることもわかります。configuration)P1はG0/0/0/1(PE1接続インターフェース)、G0/0/0/2(P2接続インターフェース)とLoopback0でIS-ISが動作しており、エリア49.0011に所属していることがわかります。IS-TypeはLevel-1で動作していることもわかります。noneP2はGig0/2(P1接続インターフェース)、G0/1(PE2接続インターフェース)とLoopback0でIS-ISが動作しており、エリア49.0002に所属していることがわかります。IS-TypeはLevel-1で動作していることもわかります。configuration)PE2はG0/0/0/2(P2接続インターフェース)とLoopback0でIS-ISが動作しており、エリア49.0012に所属していることがわかります。IS-TypeはLevel-1で動作していることもわかります。ん?IS-ISでは、Level-1ルータは同一エリア、Level-2ルータは異なるエリアを接続するルータです。Level-1ルータが異なるエリアに送信する場合には同一エリアに所属するL1-L2ルータをネクストホップとします。このことからすると、現在「すべてのルータが異なるエリアに属する」状況で「すべてのルータがLevel-1ルータ」となっているので、隣接関係が確立できません。解決するには以下の2つが考えられます。すべてのルータをLevel-1/2もしくはLevel-2とし、異なるエリアでも隣接関係確立可能にする。すべてのルータをLevel-1のまま、同一エリアに所属させる。今回の環境では規模も大きくないですし、全部同じエリアにしてみましょう。TITLE)で設定します。NETは「エリア+システムID」で設定します。エリアにしてみましょう。UTCRP/0/0/CPU0:PE2(config-isis)#endでは隣接関係を確認してみます。MP-BGP次に考えるところですが、期待されている出力はこうでした。msecCE1-CE2間は5ホップあるはずなのに3ホップしかありません。間にMPLSラベルの情報も見えます。これはもしかするとMPLSを使ったL3VPN(MPLS-VPN)環境なのかもしれません。MPLSであれば、IS-ISの範囲はMPLSラベルスイッチングがされていると予想できます。YesIS-IS区間のインターフェースでMPLSが有効になっているのが確認できました。MPLSでは転送時に宛先IPアドレスに対応するラベルを使って出力インターフェースを決定します。PE2にはそれらしいものがありますが、相手側の情報が見えていません。具体的には、PE1に192.168.200.200/32、PE2に192.168.100.100/32の情報がなければ転送することができません。BGP(MP-BGP)によって「VPN識別ラベル」を交換し、そのVPNの出口となるルータまでの転送用に「転送ラベル」を使用します。詳しくはこちらのPDFをご覧ください。現在の状況からすると、この「VPN識別ラベル」の情報が両端に存在しないので、MP-BGPに問題があると推測されます。PE2でのMP-BGPの状態を確認してみます。MPLS-L3VPNでVPN識別ラベルを交換する際はVPNv4アドレスファミリを使用するので、showコマンドでもvpnv4アドレスファミリを指定します。ピアリングするようになっているようです。そのルータとは接続できていないようです。10.0.0.100はトポロジからするとRTルータのようです。(0/5)こちらもピアリングができておらず、しかも疎通できていません。念のためルーティングテーブルもみてみます。200経路情報がありません。PE2とピアリングすることはできません。トポロジ図からみても、RTルータはIS-ISに含まれていないので、勝手にIS-ISを有効化して良いか判断がつきません。何か手がないか、設問をもう一度見てみます。各インターフェースのIPアドレスは変更してはならない既存の設定内容は削除してはならないトンネリング、ルーティング追加は許可しない。必要な場合に限り1箇所だけスタティックルートの追加を認める。1箇所だけスタティックルートの追加が可能なので、ここで使ってみることにします。RTルータはP1にしか接続していないので、デフォルトルートを追加してみましょう。Upピアリングできたようです。1どうやらIS-ISに再配送がかかっているようです。この経路を知っていそうなのは接続しているP1なので、本当に再配送されているのか念のため確認しておきましょう。IPv4アドレスファミリ内でスタティック経路をlevel-1として再配送する設定が入っており、スタティック経路の設定としてちゃんとRTルータ(10.0.0.100/32)の経路も入っていました。これがすぐにピアが確立した理由ですね。元々のlevel-1からlevel-2に変更した場合はこの再配送にも設定変更が必要になります。MP-BGPの状態を確認してみましょう。PE2は受信できていません。route-mapRT#何もありません。うーん、ではRTはどうして受信できているのでしょうか?Route-TargetRTルータが受け取っている情報を見てみます。10.0.0.12(PE2)に向かいそうに見えます。おっと、ここでもう1つ確認できるものを見つけました。MP-BGPでVPNv4プレフィックスを受信するには、このRTの値がVPNの情報とマッチしている必要があります。Forwarding)によって設定されるのでこちらをみてみます。activePE1はRTを65000:1として広告し、65000:2のものを取り込む設定になっています。policyPE1はRTを65000:1として広告し、65000:2のものを取り込む設定になっています。RTとして65000:1がついています。PE2どちらも「65000:2」となっているのに、お互いが広告しているプレフィックスには「65000:1」がついています。これではどちらも相手が広告したプレフィックスを取り込むことができません。同じVPNですので、どちらも「65000:1」のRTを取り込めるようにしてみます。UTCRP/0/0/CPU0:PE2(config-vrf-af)#end結果も良さそうです。*まだダメみたいです。他に何があるのでしょうか?VPN識別ラベルと転送ラベル先ほどMPLS-L3VPNではVPN識別ラベルと転送ラベルを使うという話がありました。これは「あるVPNの特定のプレフィックスを表すラベル」と「VPNの端点となるルータへ到達するためのラベル」のことです。MPLS区間では、プレフィックスやVPN識別ラベルではなく「転送ラベル」を使うので、きちんとルータ間でMPLSラベルによる転送ができるのか確認してみます。PE1から見てみましょう。RequiredPE1は、192.168.200.200/32のラベル(VPN識別ラベル)を24001、ネクストホップ(VPNの対向ルータ)が10.0.0.12であると理解しています。10.0.0.12についてのラベルによる転送を確認していくことになります。10.1.11.11PE1はGi2インターフェースから転送ラベル24003をつけて10.1.11.11(P1)に渡します。←ここP1はラベル24003で受け取ったらGi0/0/0/2からラベルなしで10.2.11.2へ渡します。Label)10.2.12.12(PE2)に渡すことになっています。0PE2は転送ラベルを取り外した状態で受け取り、VPN識別ラベルである24001が見えるようになります。24001のラベルがついたパケットはラベルなしでGi0/0/0/0から192.168.2.2(CE2)に渡すことになっています。Path)が出来上がっているはずなのに、途中(P1-P2間)でラベルの情報が途切れているためLSPが確立していません。何かここに問題がありそうです。Protocol)によって交換しています。LDPででのネイバ確立ができているか確認してみましょう。P2間でもLDPネイバーが確立しているはずなのにできていません。LDPはLDPルータIDを使ってネイバ確立しますが、そのルータIDは「/32」であることが条件になっています。/32というとLooback0に割り当てているはずなので確認してみましょう。SPendなんとLoopback0が/24になっています。P2間のLDPネイバ確立を妨げている原因のようです。Loopback0には/32のアドレスを割り当てる必要がありますので、ここを修正してみましょう。10.0.0.2:0ネイバ確立しました。これでLSPも確立したはずです。10.2.12.12PE1から10.0.0.12へは「転送ラベルとして24003をセット→19に付け替え→転送ラベルを外してPE2に渡す」ようになってますね。疎通確認してみましょう。msec通るようになりました!これで解決ですね。回答例かなり長くなってしまいました。それではNETCONの回答形式である報告書っぽくしてみましょう。トラブル事象について調査、対応致しましたので報告いたします。IS-IS区間でのエリアIDミスマッチ原因)IS-IS区間の各ルータにおいて、全てがLevel-1ルータにもかかわらずエリアIDが不一致であったために経路情報が交換できていませんでした。対処)各ルータに同一エリアとなるNET設定を追加しました。PE2ルータへの到達性がないため、MP-BGPピアリングが確立できていませんでした。172.16.1.254)を追加しました。PE2ルータ双方で、広告するプレフィックスのroute-targetを65000:2としていますが、インポート対象のroute-targetが65000:1となっているため、VPN対象プレフィックスが取り込めていませんでした。PE2ルータ双方に65000:1のroute-targetを取り込む設定を追加しました。原因)PE1-PE2間のルータのLoopback0インターフェースのプレフィックス長が/32になっていないため、PE1-PE2間のLSPが確立していませんでした。対処)P1ルータのLoopback0において、プレフィックス長を/24から/32に修正しました。以上まとめMPLS-L3VPNって、アンダーレイのIGP、データプレーンのMPLS、オーバーレイのMP-BGPそれぞれがきちんと動作していないといけない、なかなか複雑なVPNです。running-configしても問題点が見つけにくいものという狙いで作成した問題です。どれだけの方が正答できたのかな。Quadを使わせてもらってます。...技術ネタWordPressへ攻撃食らってたので対応した今日記事を書こうかと思ってブログにアクセスしたところ、全く応答しない!SSH接続しようとしても全くアクセス出来ない。ESXiでCSR1000vやIOS-XRvを動かしてますが、いちいちパワーオン操作するのがめんどくさくて。Meeting」で、実行委員をやってきました。今回はネットワークのトラブルシューティングコンテスト「NETCON」のスタッフです。2016に行ってきました。コメントをキャンセルメールアドレスが公開されることはありません。※サイトΔホーム技術ネタスポンサーリンクプロフィールネットではあらしくんと自称してます。由来は前職の事務の女性がつけたニックネーム。52XXX(R&S)現在SPトラックに向けてお勉強中。ネットワークとともに.ホーム検索トップサイドバータイトルとURLをコピーしました。