主页 / server / 问题 / 899110
Accepted
yakatz
Asked: 2018-02-28 05:21:05 +0800 CST

同步网桥接口的状态

  • 772

我们有冗余的 10G 光纤链接到我们的上游互联网提供商，处于活动/故障转移配置中。在我们的路由器和上游路由器之间，我们有一对以透明模式运行 Vyos 的防火墙。我们使用 BGP 进行路由通告，我们无法更改大部分参数。

绘画：网络布局图

如果到其中一台路由器的链路出现故障（例如，x图中带有 的路由器 - 这恰好是我们最常见的故障类型），整个网络将无法访问，直到 BGP 超时（最长 150 秒）。我已经知道，如果我们强制桥另一侧的链路关闭，我们的路由器将立即开始通过另一条链路转发流量。

如果另一侧发生故障，是否有某种方法可以自动关闭防火墙上桥的一侧？

该解决方案是否有任何隐藏的陷阱？

bridge

2 个回答

  1. 我会在 VyOS 机器上运行一个脚本来检查上游连接的状态，然后根据需要在另一端执行ifdown/ 。ifup

    执行此操作的最简单方法是将脚本放入/etc/network/if-down.d（检查出现故障的界面是否是更新的一侧并关闭另一侧）和/etc/network/if-up.d（检查出现的界面是否是更新的一侧并打开另一侧它的一面是）。
    或者，您可以使用 cron（或 Systemd Timers，或任何类似的调度程序）每分钟运行一次监控脚本，或者您可以将其编写为无限循环，休眠几秒钟以进行亚分钟检查。

    • 1
  2. Best Answer

    我编写了一个脚本来检查接口/sys以确定它们是否是桥成员，然后反弹桥。VyOS 用于netplugd监控接口，出于某种原因，我的脚本混淆了它（我可能会为此写一个单独的问题），但我认为这是一个很好的通用解决方案。

    #!/bin/bash

## This script will bounce a br interface if a member interface goes down.
## This will cause router BGP timers to reset, making outages last only seconds instead of minutes.
##
## This script is called by netplug on Vyos:
## /etc/netplug/linkdown.d/my-brdown
##
## Version History
## 1.0 - Initial version
##

LOCKDIR=/var/run/my-bridge-ctl

# Since we only have one br, not going to implement this right now.
#IGNORE_BRIDGES=()

IFACE=$1

#Remove the lock directory
function cleanup {
    if rmdir $LOCKDIR; then
        logger -is -t "my-bridge-ctl" -p "kern.info" "Finished"
    else
        logger -is -t "my-bridge-ctl" -p "kern.error" "Failed to remove lock directory '$LOCKDIR'"
        exit 1
    fi
}

if mkdir $LOCKDIR; then
    #Ensure that if we "grabbed a lock", we release it
    #Works for SIGTERM and SIGINT(Ctrl-C)
    trap "cleanup" EXIT

    logger -is -t "my-bridge-ctl" -p "kern.info" "Acquired lock, running"

    # Processing starts here

    IFACE_DESC=$(<"/sys/class/net/${IFACE}/ifalias")
    IFACE_BR_DIR="/sys/class/net/${IFACE}/brport"

    if [ ! -d "$IFACE_BR_DIR" ]; then
        logger -is -t "my-bridge-ctl" -p "kern.warning" "Interface ${IFACE} (${IFACE_DESC-no desc}) went down. Not a member of a bridge. Skipping."
    else
        IFACE_BR_LINK=$(realpath "/sys/class/net/${IFACE}/master")
        IFACE_BR_NAME=$(basename $IFACE_BR_LINK)
        IFACE_BR_DESC=$(<"${IFACE_BR_LINK}/ifalias")
        logger -is -t "my-bridge-ctl" -p "kern.warning" "Interface ${IFACE} (${IFACE_DESC:-no desc}) went down. Member of bridge ${IFACE_BR_NAME} (${IFACE_BR_DESC:-no desc})."

        # TODO: Insert IGNORE_BRIDGE check here

        find "${IFACE_BR_LINK}/brif" -type l -print0 | while IFS= read -r -d $'\0' IFACE_BR_MEMBER_LINK; do
            IFACE_BR_MEMBER_NAME=$(basename $IFACE_BR_MEMBER_LINK)
            logger -is -t "my-bridge-ctl" -p "kern.info" "Handling ${IFACE_BR_NAME} member interface ${IFACE_BR_MEMBER_NAME} (${IFACE_BR_MEMBER_LINK})."

            # Actually do the bounce
            ip link set dev ${IFACE_BR_MEMBER_NAME} down && sleep 2 && ip link set dev ${IFACE_BR_MEMBER_NAME} up

            logger -is -t "my-bridge-ctl" -p "kern.info" "Interface ${IFACE_BR_MEMBER_NAME} bounced."
        done
    fi

    sleep 5
else
    logger -is -t "my-bridge-ctl" -p "kern.info" "Could not create lock directory '$LOCKDIR'"
    exit 1
fi
    • 1

相关问题