No se pueden lograr tiempos de failover de subsegundos con BGP para la configuración activa-pasiva

Incidencia

BGP no se establece al instante con el mismo par cuando el clúster de alta disponibilidad de Palo Alto Networks (ha) falla desde el dispositivo activo al pasivo.

Se espera que al fallar en el dispositivo activo al pasivo, el failover debe ser transparente y no tener ninguna caída de tráfico. Pero al fallar sobre el clúster, la conexión BGP en el dispositivo activo va hacia abajo y el nuevo dispositivo activo establece la conectividad BGP con el par. Una vez que el peering se pierde con el dispositivo activo anterior, el vecino (peer) y el nuevo dispositivo activo anuncian las rutas BGP entre ellos. Durante el tiempo que el peer y el nuevo dispositivo activo tienen una conexión BGP establecida, hay una interrupción y el tráfico se cae porque las rutas todavía no existen en la tabla de enrutamiento.

Causa

• El reinicio elegante no se ha configurado tanto en los cortafuegos del clúster como en el peer.
• Las rutas no se han sincronizado en los miembros del clúster

Resolución

Compruebe que los dos miembros de los clústeres tienen el reinicio agraciado configurado. El reinicio elegante en el dispositivo Palo Alto Networks está configurado bajo:

Red > routers virtuales > BGP > Advanced > reinicio elegante

Active la casilla de verificación "reinicio agraciado" y configure los temporizadores en consecuencia. Cuando el router reinicia su proceso BGP, la conexión TCP al router peer puede borrarse. En circunstancias normales, esto haría que el enrutador del mismo nivel borrara todas las rutas asociadas con el enrutador de reinicio. Esto no ocurre con el reinicio elegante BGP, sin embargo. En su lugar, el router de par marca todas las rutas como "obsoletos", pero sigue utilizando para reenviar paquetes basados en la expectativa de que el router de reinicio se restablecerá la sesión BGP en poco tiempo. Asimismo, el enrutador de reinicio también continúa retransmitiendo paquetes en el ínterin.

Cuando el router de reinicio abre la nueva sesión BGP, de nuevo enviará la capacidad BGP 64 a sus pares. Pero esta vez, las banderas se establecerán en el intercambio de capacidades de reinicio agraciado para permitir que el router del mismo nivel sepa que el proceso BGP ha reiniciado.

Antes de fallar, compruebe también si las rutas se han sincronizado en los dos miembros del mismo par mediante el comando:

> Mostrar encaminamiento FIB

Propietario: kprakash