排除回指路由故障

引言： 回指路由簡(jiǎn)單點(diǎn)講就是回到本地網(wǎng)絡(luò)的路由，一般都是一條或者多條靜態(tài)路由來(lái)完成。筆者單位為了方便服務(wù)器從互聯(lián)網(wǎng)上遠(yuǎn)程管理和登錄，具體方法是使用一對(duì)一的NAT來(lái)實(shí)現(xiàn)，但是配置完畢后不能實(shí)現(xiàn)在公網(wǎng)上登錄，經(jīng)過(guò)對(duì)NAT數(shù)據(jù)配置檢查，并對(duì)數(shù)據(jù)轉(zhuǎn)發(fā)路徑的分析后發(fā)現(xiàn)是沒(méi)有設(shè)置回指路由。本文介紹故障的處理過(guò)程。

故障現(xiàn)象

近日，為了方便服務(wù)器從互聯(lián)網(wǎng)上遠(yuǎn)程管理和登錄，我們給服務(wù)器設(shè)置了一個(gè)私網(wǎng)地址10.66.69.117，然后將該私網(wǎng)地址使用一對(duì)一的NAT轉(zhuǎn)換出去，但是數(shù)據(jù)配置做好后，發(fā)現(xiàn)從公網(wǎng)上不能訪問(wèn)該服務(wù)器。這里簡(jiǎn)要介紹一下NAT的定義，當(dāng)在內(nèi)部網(wǎng)絡(luò)的一些主機(jī)本來(lái)已經(jīng)分配到了本地IP地址（即僅在本內(nèi)部網(wǎng)使用的專用地址），但現(xiàn)在又想和因特網(wǎng)上的主機(jī)通信（并不需要加密）時(shí)，可使用NAT方法來(lái)解決。NAT的實(shí)現(xiàn)方式分為靜態(tài)、動(dòng)態(tài)和端口的多路復(fù)用三種方式，這里我們使用到的是靜態(tài)NAT即一對(duì)一NAT，一個(gè)私網(wǎng)地址對(duì)應(yīng)一個(gè)公網(wǎng)地址。

故障分析

知悉NAT的定義和故障現(xiàn)象后，立即展開(kāi)排查，首先在內(nèi)網(wǎng)中ping 10.66.69.117這臺(tái)服務(wù)器，結(jié)果是正常的。然后使用可以訪問(wèn)互聯(lián)網(wǎng)的PC機(jī)Ping公網(wǎng)地址 111.161.66.241，結(jié)果是Ping不通的。這樣就可以得出結(jié)論，內(nèi)網(wǎng)服務(wù)器部署是沒(méi)有問(wèn)題的，而且服務(wù)器是開(kāi)放ICMP協(xié)議的，既然轉(zhuǎn)換后的公網(wǎng)地址Ping不通，那問(wèn)題出在哪呢？

接下來(lái)重新梳理下思路，認(rèn)真檢查NAT的配置，均沒(méi)有發(fā)現(xiàn)問(wèn)題。這個(gè)時(shí)候在服務(wù)器上設(shè)置DNS后，該服務(wù)器是可以正常訪問(wèn)Internet，然后在互聯(lián)網(wǎng)上查看了一下本機(jī)轉(zhuǎn)換出去的公網(wǎng)地址的確是111.161.66.241，這就說(shuō)明數(shù)據(jù)從內(nèi)網(wǎng)到互聯(lián)網(wǎng)這一鏈路是沒(méi)有問(wèn)題的。那么，從公網(wǎng)上訪問(wèn)服務(wù)器是不是存在問(wèn)題呢？經(jīng)過(guò)查找資料得知，需要在我們的核心路由器上配置回指路由。在這里需要簡(jiǎn)要介紹一下網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)（如圖1）。

通過(guò)圖1可以看到，兩臺(tái)核心路由器連接流控設(shè)備，流控設(shè)備上連接的是互聯(lián)網(wǎng)出口，其中從BRAS到兩臺(tái)核心路由器路徑是等價(jià)的，意思是BRAS到核心路由器的數(shù)據(jù)轉(zhuǎn)發(fā)是負(fù)載均衡的。而且核心路由器使用默認(rèn)路由指向流控設(shè)備，通過(guò)NAT和策略路由將內(nèi)網(wǎng)數(shù)據(jù)轉(zhuǎn)發(fā)到互聯(lián)網(wǎng)出口處。這里，兩臺(tái)核心路由器至流控設(shè)備也是等價(jià)的，從而實(shí)現(xiàn)數(shù)據(jù)的負(fù)載均衡。

故障排除

圖1 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

再回到剛才訪問(wèn)服務(wù)器的問(wèn)題上來(lái)，數(shù)據(jù)流從互聯(lián)網(wǎng)出口到達(dá)流控設(shè)備后，有兩條路徑轉(zhuǎn)發(fā)給核心路由器，這樣就會(huì)引起數(shù)據(jù)轉(zhuǎn)發(fā)有問(wèn)題，所以需要人為地定義一條路由指向核心路由器，這里我們定義將回指路由指向核心路由器-1，具體的配置命令為：

IP route 10.66.69.117 2 5 5.2 5 5.2 5 5.2 5 5 10.254.148.53

上面回指路由的意思是將目的訪問(wèn)10.66.69.117的數(shù)據(jù)轉(zhuǎn)發(fā)給核心路由器即 10.254.148.53，該地址是核心路由器-1和流控設(shè)備的互連接口地址。當(dāng)然，這里也可以將下一跳指向核心路由器-2道理是一樣的。完成回指路由的配置工作后，再次從公網(wǎng)上訪問(wèn)服務(wù)器是正常的。同時(shí)也可以正常Ping通111.161.66.241這一NAT后的地址。

經(jīng)驗(yàn)總結(jié)

從得知網(wǎng)絡(luò)故障現(xiàn)象開(kāi)始，使用Ping命令，排除了內(nèi)部網(wǎng)絡(luò)故障的嫌疑，然后認(rèn)真檢查設(shè)備的NAT配置，并結(jié)合網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)對(duì)數(shù)據(jù)轉(zhuǎn)發(fā)路徑的轉(zhuǎn)發(fā)進(jìn)行分析，得到網(wǎng)絡(luò)故障是因?yàn)闆](méi)有配置回指路由引起的。

該故障處理完成后回過(guò)頭來(lái)思考數(shù)據(jù)的轉(zhuǎn)發(fā)都是雙向的，即一來(lái)一回，只有數(shù)據(jù)兩個(gè)方向都沒(méi)有問(wèn)題了，才能達(dá)到數(shù)據(jù)通訊的正常。其實(shí)，網(wǎng)絡(luò)故障的出現(xiàn)并不可怕，怕的是找不到頭緒，這就要求我們結(jié)合網(wǎng)絡(luò)結(jié)構(gòu)，認(rèn)真分析網(wǎng)絡(luò)通訊的過(guò)程，從而最終找到故障點(diǎn)。同時(shí)，還要做好故障的歸納總結(jié)工作，故障處理經(jīng)驗(yàn)文檔化的過(guò)程，是排除故障寶貴經(jīng)驗(yàn)的總結(jié)，它記錄了此次故障排除過(guò)程中所有的操作和配置改動(dòng)。這些也是下次進(jìn)行故障定位的重要依據(jù)，為故障的解決贏得先機(jī)。