Comment résoudre les problèmes de connectivité BGP via un attachement Transit Gateway Connect ?

Résolution

Vérifier les exigences pour la session BGP

Effectuez les opérations suivantes :

• Vérifiez que l'unité de transmission maximale (MTU) du tunnel d’encapsulation générique de routage (GRE) est inférieure à la MTU de l'interface externe. Soustrayez l'en-tête GRE de 24 octets et la surcharge d'en-tête de l'adresse IP externe de 20 octets de la MTU de l'interface externe.
  Remarque : le tunnel GRE est également désigné de pair de connexion Transit Gateway.
• Vérifiez que vous avez correctement configuré le pair de connexion et qu'il est opérationnel entre votre appliance et la passerelle de transit.
• Vérifiez si vous utilisez des types BGP pris en charge, tels que le BGP interne (iBGP) et le BGP externe (eBGP), pour un comportement de routage spécifique.
• Créez un ou plusieurs pairs de connexion sur un attachement de connexion et établissez deux sessions BGP sur chaque pair de connexion à des fins de redondance.
  Important : il est recommandé de configurer deux sessions d’appairage BGP. Un pair de connexion avec une seule session BGP peut perdre temporairement la connectivité pendant la maintenance de l'infrastructure AWS.

Remarque : l’attachement de connexion ne prend pas en charge la détection de transfert bidirectionnel (BFD) et le redémarrage progressif.

Pour plus d'informations sur les exigences relatives à un attachement de connexion, consultez la section Exigences et considérations.

Vérifier que les ressources AWS se trouvent à l’état approprié

Consultez votre attachement de connexion et vos pairs de connexion pour vous assurer qu'ils se trouvent à l'état Disponible.

Remarque : un nouveau pair de connexion demeure à l'état En attente jusqu'à ce que le provisionnement soit terminé.

Vérifiez également que la configuration du pair de connexion affiche l'adresse de la passerelle de transit, l'adresse IP du pair et le bloc CIDR interne pour le BGP.

Vérifier l'adresse BGP et la configuration de l'ASN dans AWS et sur votre appliance

Lorsque vous ne configurez pas correctement l'adresse IP ou le numéro de système autonome (ASN) entre les pairs, la formation de voisins BGP échoue.

Remarque : à des fins de redondance, utilisez deux sessions d'appairage BGP pour chaque pair de connexion. AWS crée deux sessions d’appairage BGP par défaut. Si vous utilisez plusieurs pairs de connexion, configurez les deux sessions d'appairage BGP.

Tout d'abord, vérifiez les configurations suivantes pour votre pair de connexion :

• Pour CIDR interne, vérifiez que les sessions BGP utilisent le bloc CIDR /29 pour les adresses IP homologues.
• Pour ASN pair, vérifiez si vous avez spécifié un ASN ou si AWS a attribué l'ASN par défaut.
  Remarque : si vous ne spécifiez pas d'ASN lorsque vous créez le pair de connexion, AWS utilise le même ASN de passerelle de transit et crée une session iBGP. Cela peut entraîner un comportement de routage inattendu.

Vérifiez ensuite les configurations suivantes pour votre appliance :

• Vérifiez que vous avez configuré l'interface du tunnel avec la première adresse IP du bloc CIDR interne. Par exemple, si la plage de blocs CIDR interne est 169.254.6.0/29, configurez 169.254.6.1 sur le tunnel de l'appliance.

• Vérifiez que la passerelle de transit utilise la deuxième adresse IP de la plage de blocs CIDR interne.
  Exemple de configuration pour Cisco IOS :

  interface Tunnel0
    ip address 169.254.6.1 255.255.255.248
    tunnel source GRE OUTER IP ADDDRESS
    tunnel destination TGW TUNNEL IP
  router bgp 65001
    neighbor 169.254.6.2 remote-as 64512
    neighbor 169.254.6.2 ebgp-multihop 2
    neighbor 169.254.6.2 timers 10 30

  Remarque : remplacez 169.254.6.1 et 169.254.6.2 par vos adresses IP depuis le bloc CIDR interne. Remplacez TGW TUNNEL IP et GRE OUTER IP ADDRESS par vos valeurs. Pour eBGP, configurez ebgp-multihop et définissez la valeur de durée de vie (TTL) sur 2.

Résoudre les problèmes liés aux états du voisin BGP

Consultez le résumé de votre BGP et les informations relatives aux voisins de votre appliance. Par exemple, si votre appliance exécute Cisco IOS, exécutez les commandes suivantes.

Pour afficher un résumé de l'état de la session BGP avec tous les voisins, exécutez la commande show ip bgp summary suivante :

show ip bgp summary

Pour afficher des informations sur les connexions BGP et TCP aux voisins, exécutez la commande show ip bgp neighbors suivante :

show ip bgp neighbors

Pour afficher la journalisation du débogage BGP, exécutez la commande debug ip bgp :

debug ip bgp

Si votre voisin BGP se trouve à l'état Inactif, Actif ou Connexion, procédez comme suit :

1. Exécutez la commande telnet suivante pour tester la connectivité à l'adresse IP homologue du BGP configurée sur votre passerelle de transit :

   telnet TGW-BGP-PEER-IP 179

   Remarque : remplacez TGW-BGP-PEER-IP par l'adresse IP homologue BGP de votre passerelle de transit.

2. Exécutez la commande tcpdump sur votre appliance pour surveiller les paquets GRE et le trafic BGP, tel que le port TCP 179.

3. Vérifiez que les paquets encapsulés GRE et le protocole TCP SYN/ACK pour le port 179 apparaissent.

4. Si votre appliance utilise des temporisateurs BGP différents ou plus courts, il est recommandé de configurer votre appliance afin qu'elle corresponde aux paramètres par défaut de la passerelle de transit. Réglez keepalive sur 10 secondes et maintenez la durée définie sur 30 secondes.

Vérifier les associations et la propagation des tables de routage

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, choisissez Attachements de la passerelle de transit, puis sélectionnez l'ID de votre attachement.
3. Dans l'onglet Détails, sélectionnez l'ID de la table de routage, puis vérifiez si vous avez associé l’attachement à la table de routage appropriée.
4. Pour la même table de routage, choisissez l'onglet Propagations.
5. Vérifiez que vous avez activé la propagation afin que la table de routage puisse accepter la propagation à partir de l’attachement de connexion.

Si les itinéraires apparaissent dans la table de routage de la passerelle de transit et non dans la table de routage de l’attachement de connexion, vérifiez les associations de tables de routage et vos paramètres de propagation.

Si les itinéraires attendus n'apparaissent pas, effectuez les actions suivantes :

• Vérifiez si votre appliance envoie des annonces BGP. Vérifiez également les filtres d'exportation ou les cartes d'itinéraire susceptibles de bloquer les annonces.
• Pour les connexions iBGP, la passerelle de transit installe des itinéraires uniquement lorsqu'ils proviennent d'un homologue eBGP. Vérifiez que les itinéraires annoncés par votre appliance sur les connexions iBGP disposent d’un ASN, ou utilisez plutôt eBGP.

Le quota par défaut pour les itinéraires dynamiques que vous pouvez annoncer depuis votre appliance à votre homologue Connect est de 1000. Vous pouvez ajuster le quota. Cependant, il est recommandé de limiter le nombre d’itinéraires dynamiques à 1000 afin d'éviter toute instabilité du BGP.

Vérifier l’existence de problèmes de MTU et de fragmentation

L'encapsulation GRE augmente la taille des paquets et entraîne la fragmentation des paquets. Lorsque les paquets se fragmentent, les sessions BGP ne peuvent pas s'établir.

Pour résoudre ce problème, procédez comme suit :

• Vérifiez que vous avez correctement configuré la MTU GRE sur votre appliance. Pour calculer la MTU GRE, soustrayez 24 octets d'en-tête GRE et 20 octets d'en-tête d'adresse IP (44 octets au total) de la MTU externe. Par exemple, si la MTU externe est de 1500, réglez la MTU sur 1456.

• Pour vérifier l'existence de problèmes liés au chemin MTU, exécutez la commande ping suivante depuis votre appliance avec différentes tailles de paquets et incluez l'indicateur « Ne pas fragmenter » -M :

  ping -M do -s 1400 TRANSIT_GATEWAY_BGP_PEER_IP

  Remarque : remplacez 1400 par des valeurs différentes pour trouver la taille de MTU maximale qui fonctionne sans fragmentation. Remplacez TRANSIT_GATEWAY_BGP_PEER_IP par l'adresse IP homologue du BGP de la plage de blocs CIDR interne. Si vous avez configuré deux sessions BGP, exécutez la commande ping pour les deux adresses IP homologues BGP.

• Exécutez tcpdump ou Wireshark sur votre interface GRE pour vérifier la présence de paquets fragmentés. Recherchez les indicateurs d'adresse IP qui affichent des fragments supplémentaires et vérifiez s'il existe des retransmissions TCP.

Si vous rencontrez des problèmes de MTU, réduisez la MTU du tunnel GRE sur votre appliance. Activez également le bridage de la taille maximale de segment (MSS) sur votre appliance afin que les paquets volumineux ne surchargent pas le chemin.

Informations connexes

Connecter des attachements et des pairs de connexion dans AWS Transit Gateway

Tableaux de routage des passerelles de transit dans AWS Transit Gateway

Quotas AWS Transit Gateway