Обзор
Соединение сайта имеет первостепенное значение для хостов за сокетом, чтобы иметь доступ к WAN через Cato cloud. Отсутствие соединения сайта может нарушить работу бизнеса. Данный план действий призван предоставить руководство по устранению этой проблемы.
Симптомы
Сбой соединения сокета может проявляться различными способами. Администратор может отметить следующие симптомы:
Сайт отключен в CMA
Сайт подключен к неожиданному PoP
Сетевая аналитика показывает, что туннель нестабилен
Возможные причины
Ниже приведены возможные причины, которые вы можете выявить во время устранения неполадок
Нет соединения сокета
Движение трафика DTLS только в одну сторону
Плохая производительность подложки
Ограничения геолокации IP
Несоответствующая конфигурация выбора PoP
Конфигурация SLA на неправильных базовых линиях
Устройство NAT перед сокетом
Устранение проблемы
Этапы устранения симптомов, с которыми может столкнуться администратор, приведены ниже. Эти этапы предназначены для выявления возможных причин возникших проблем. Шаги для решения будут выделены позже в руководстве.
Устранение проблемы отключения сайта в CMA
Сбор информации из событий
С помощью Главная > События в CMA администратор может быстро получить историю событий соединения для сайтов в аккаунте. События можно фильтровать на релевантные события, выбрав предустановку "Статус подключения сайтов" или фильтруя по Тип события "Подключение" и Подтип "Отключено" Вы можете дополнительно фильтровать по названию интересующего сайта с помощью поля 'Исходный сайт'.
Просмотр временной метки соответствующего события отключения от интересующего сайта может помочь сосредоточить расследование. Были ли известны какие-либо более широкие события сети или местные события питания на этой временной метке? Есть ли изменения в журнале аудита, которые предшествуют этому и могут быть коррелированы?
Проверка подключения сокета
Пожалуйста, просмотрите предварительные условия соединения сокетов Cato, чтобы понять требования к подключению сокета.
Статус подключения сокета можно увидеть через его локальный WebUI, см. Вход в локальный WebUI сокета. Для подключения сокета, WAN-порт, используемый для обслуживания соединения с облаком Cato, должен отображать зеленый значок статуса. Индикатор отличного от зеленого цвета указывает на проблему с подключением. Значение различных цветов значков состояния описано в Понимание значков состояния ссылки
Для красного значка убедитесь, что между сокетом и устройством ISP имеется рабочая физическая связь. Это включает в себя надежное подключение кабелей и засветку светодиодов порта, как ожидается.
Конфликт IP также будет обнаружен по состоянию соединения сокета. Предупреждение о конфликте IP-адресов будет продолжать отображаться в течение 24 часов с момента первого обнаружения конфликта, как объясняется в данной статье Базы знаний.
Подтвердите, что статус Принудительное восстановление через обход Интернета в разделе Инструменты - Обычный. Кнопка 'Принудительный обход' заставит весь трафик ЛВС обходить Cato и отключит туннель Cato, показывая Сайт как отключенный в CMA. Таким образом, все удаленная конфигурация и доступ к этому устройству будет сбой. В конфигурации HA, если на основном Socket включена функция "Force Bypass", вторичный Socket продолжит оставаться резервным Socket, и трафик за Socket будет направлен непосредственно в Интернет.
На скриншоте ниже показано "Обход включен" на основном сокете, а резервный сокет остается в режиме ожидания.
Если статус Force Recovery активный, выйдите из этого состояния, нажав кнопку Exit Forced Bypass.
В случае проблемы с подключением мы можем использовать вкладку Инструменты для дополнительных тестов. Чтобы подключиться к Cato, сокет требует L3-доступа к публичным IP-адресам Cato. Используйте инструмент ping, чтобы убедиться, что этот Сокет может напрямую через порт WAN получить доступ к IP-адресам или доменам Cato, или к общедоступным IP-адресам, таким как 8.8.8.8. Если ни один из них недоступен, пожалуйста, просмотрите Раздел устранения отсутствия соединения сокета .
Запуск захвата пакетов
Также можно выполнить захват пакетов, чтобы убедиться, что запрос сокета на установление DTLS-туннеля к PoP получил ответ. При захвате на соответствующем порту WAN должны быть видны двунаправленные пакеты на UDP/443 к PoP. Следующий снимок экрана показывает успешное рукопожатие DTLS и обмен пакетами Данных приложения.
Если обнаружены только исходящие пакеты DTLS или рукопожатие DTLS неполное, пожалуйста, просмотрите Решение проблемы неполного рукопожатия DTLS.
Не удается установить туннель из-за устройства NAT перед сокетом
Для Сокетов, использующих несколько WAN-соединений, если между Сокетом и PoP находится устройство NAT, то возможно, что одно или несколько WAN-соединений не могут подключиться к PoP. Это может создавать проблемы с подключением, такие как статус ВРО сайта - Не готово.
PoP использует исходный порт каждого входящего DTLS-соединения для подключения каждой WAN-ссылки к одному и тому же логическому туннелю. Устройство NAT может изменить исходный порт и предотвратить подключение WAN-ссылки к тому же логическому туннелю, что и другие WAN-ссылки.
Проблемы с DTLS-соединениями с провайдерами LTE/5G
Как упомянуто в данном исследовании случая, при использовании провайдеров LTE/5G для подключения к Cato, интернет-провайдер может вмешиваться в DTLS-рукопожатие на порт UDP/443, что может проявляться как специфичные для оператора данные (например, APN) во время рукопожатия.
Даже если существует двусторонняя связь DTLS, рукопожатие не завершено; следовательно, туннель Cato не будет поднят.
Чтобы решить эту проблему, измените порт DTLS на UDP/1337, пожалуйста, посмотрите Решение проблемы неполного рукопожатия DTLS.
Устранение непредвиденного выбора PoP
Проверка IP-адреса провайдера интернет-услуг и текущего выбранного PoP
В разделе Мониторинг, выберите Сайт и откройте панель Обзор Сайта. В разделе Сокеты Сайта, нажмите 'Просмотреть журнал', чтобы увидеть все недавние подключения. Ищите публичный IP провайдера интернет-услуг (Удаленный IP), который подключается к Cato, а также Имя провайдера интернет-услуг и местоположение. Столбец 'PoP' покажет текущий PoP, к которому подключен Сайт.
Важно проверить, что 'Удаленный IP' и местоположение провайдера интернет-услуг совпадают с ожидаемыми, и что провайдер интернет-услуг не перенаправляет подключение в непредвиденное местоположение. Местоположение провайдера интернет-услуг (город) должно соответствовать или быть близким к стране/городу, указанному в общих настройках Сайта внутри CMA.
Проверка конфигурации выбора PoP на CMA
Устаревшее или неправильно настроенное предпочитаемое местоположение PoP на сайте может навязывать подключения к субоптимальным PoP. Конфигурацию выбора PoP можно просмотреть на сайте через страницу Сеть > Сайт > Настройки Сайта > Общие.
Если местоположение здесь настроено таким образом, что оно не подходит для оптимального подключения, или если предпочтительно позволить механизму выбора Cato PoP определить оптимальный PoP, пожалуйста, просмотрите раздел Решение непригодной конфигурации выбора PoP.
Проверка конфигурации выбора PoP на Сокете
Устаревшая или непригодная конфигурация выбора PoP также может существовать в конфигурации сокета. Чтобы просмотреть, является ли это так, перейдите в Настройки подключения к облаку в веб-интерфейсе сокета, см Использование веб-интерфейса сокета.
Если здесь существует конфигурация и предпочтительно позволить механизму выбора Cato PoP определить оптимальный PoP, пожалуйста, просмотрите раздел Решение непригодной конфигурации выбора PoP.
Проверка Статус PoP
Сокеты могут подключаться к неожиданному PoP из-за того, что ближайший географически PoP подвергается обслуживанию или другой подобной проблеме. Пожалуйста, просмотрите страницу Статус PoP для проверки, является ли это так.
Проверка ограничений местоположения для геолокации
Согласно MSA Cato, площадки сокетов в некоторых геолокациях ограничены от подключения к PoP в других местах. MSA изложен при покупке услуг Cato.
Площадки сокетов в некоторых геолокациях будут ограничены пулом доступных PoP, например, площадки сокетов в Китае будут подключаться к PoP в Китае, а вьетнамские площадки сокетов будут подключаться к пулу PoP в Азии.
Для получения дополнительной информации об этом, пожалуйста, обратитесь к MSA.
Проверка признаков перемещения сокета между PoP
Страница События может быть использована для определения, если сокет вероятно не находится на первоначально определенном оптимальном PoP из-за проблем с подключением. Использование выбора Поля, хронология подключения сокета к различным PoP.
Используя пресет событий 'Сайт подключен', и дальнейшую фильтрацию до интересующего сайта, а также установку значения поля 'event_message' на 'Обнаружена проблема с производительностью, переподключение к другому узлу сервиса в Cato Cloud', мы можем увидеть все случаи, когда площадка сокетов перемещалась между PoP из-за нарушения параметров подключения туннеля пределами, установленными в SLA. Если площадка сокетов нарушает Пороговые значения SLA для нескольких PoP, продолжайте выполнение потока устранения неполадок для проверки Настройки SLA подключения.
Проверка, что SLA подключения не слишком строг
SLA подключения играет важную роль в обеспечении подключения сайта к оптимальному PoP, особенно в динамичных сетевых средах с общедоступным подложным уровнем, таком, как подключения интернет-провайдера. Слишком строгий SLA подключения, однако, может вызвать ненужные переподключения к PoP, отличным от предпочтительного местоположения администратора.
Конфигурация SLA подключения для сайта может быть просмотрена в разделе Сеть > Сайта > Конфигурация сайта > SLA подключения.
Используя Сетевую аналитику для построения базового плана метрик производительности последней мили, задумайтесь, подходят ли метрики SLA для данного сайта.
Если эти параметры не подходят, пожалуйста, посмотрите Решение конфигурации SLA на неправильных базисах
Если параметры подходят, но события реоптимизации PoP все еще регулярно происходят к нескольким PoP, пожалуйста, просмотрите раздел Решение проблем с низкой производительностью подложки.
Если сокет продолжает подключаться к непригодному PoP после выполнения вышеуказанных шагов, пожалуйста, откройте заявку в Поддержку и укажите текущий и ожидаемый PoP.
Устранение неполадок нестабильного туннеля
Проверка взаимосвязи между производительностью последней мили и подключением сайта
Замечая, что данный сайт испытывает плохую производительность в своем подключении к PoP, важно изолировать, если потеря пакетов вероятна из-за производительности на линии ISP подложки.
Это может быть сделано путем сопоставления любых данных о производительности за определенный период с результатами последних мили в этом же временном интервале и поиска закономерностей.
Это можно сделать с помощью Сетевой аналитики.
Приведенный выше пример показывает обнаружение потери пакетов на восходящем туннеле сайта к PoP. Мы видим несколько всплесков около 10% и постоянный низкий уровень потерь на протяжении всего периода времени.
При сравнении этого с производительностью последней мили за тот же период времени, мы можем увидеть следующее:
Последняя миля также может показывать некоторые изменения в производительности, но на неё влияет постоянный уровень потерь между ~10-20%. Из этого ясно, что потеря пакетов в туннеле от сокета до PoP Cato вероятнее всего является симптомом плохой производительности подложки.
Если это так при устранении Проблемы с производительностью, пожалуйста, посмотрите Решение проблем с Плохо производительностью подложки
Кросс-ссылка схожих сайтов
Общие свойства между сайтами можно использовать для попыток выявить факты о рассматриваемой проблеме. Например, у сайта ниже возникли проблемы с подключением. Примечание: подключенный PoP - Лондон:
Эту информацию можно использовать, чтобы сверить её с другими сайтами, которые могут быть подключены к Лондону, чтобы увидеть, вопросы ли общие. Это можно увидеть на скриншоте ниже:
Если кросс-ссылка указывает, что проблема в PoP Cato, посмотрите раздел Проверка Статуса PoP.
Кросс-ссылки также полезны для сайтов с общими ISP. Это сделано в приведенном ниже примере:
Если эта кросс-ссылка подразумевает, что ISP испытывает проблемы с подключением, см. раздел Решение проблем с плохой производительностью подложки.
Проверьте, что SLA Соединения не слишком мягкое
SLA подключения играет важную роль в обеспечении подключения сайта к оптимальному PoP, особенно в динамичных сетевых средах с общедоступным подложным уровнем, таком, как подключения интернет-провайдера. Однако слишком мягкий SLA Соединения может заставить сокет дольше оставаться на субоптимальных соединениях с PoP, чем это необходимо администратору, и тем самым влиять на чувствительные приложения.
Конфигурацию SLA Соединения по каждому сайту можно увидеть в Сеть > Сайт > Настройки Сайта > SLA Соединения.
Используя Сетевую аналитику для построения базового плана метрик производительности последней мили, задумайтесь, подходят ли метрики SLA для данного сайта.
Если эти параметры не подходят, пожалуйста, посмотрите Решение проблем с конфигурацией SLA на неверных базовых уровнях.
Решение обнаруженных проблем
Устранение отсутствия подключенности сокета
Важно изолировать, оказывают ли проблемы с подключением влияние только на сокет. Если вы подключите ноутбук к тому же подключению ISP, возникают ли те же проблемы с разрешением DNS или пингованием адресов? Если да, свяжитесь с вашим ISP для дальнейших действий.
Убедитесь, что на тестовом ноутбуке отключен IPv6 и, в случае статической IP-адресации, назначьте тот же IP, что и у сокета, при тестировании.
Если проблемы с подключением ограничены вашим сокетом, убедитесь, что IP-конфигурация верна на вкладке Настройки сети в WebUI:
Устранение незавершенного DTLS рукопожатия
Убедитесь у вашего провайдера, что DTLS-трафик на UDP-порт 443 разрешен для выхода в Интернет. По необходимости этот порт может быть изменен на UDP/1337, как описано в Настройка другого порта для подключения к PoP Cato.
Решение проблем с плохой производительностью подложки
Плохая производительность подложки повлияет на любой туннель, построенный на этой подложке. Хотя подложка является зоной ответственности ISP, существуют инструменты, которые можно использовать для идентификации, где возникают проблемы с производительностью, и для попытки смягчить их, где это возможно.
WebUI сокета имеет инструмент трассировки маршрута, который позволит выполнить ping по общедоступным хостам через соединение интернет-провайдера. При использовании ping общедоступных имен хостов можно определить, в каком из этапов на l3‑пути между сокетом и сервисом происходит потеря или чрезмерная задержка.
В приведенном выше случае потеря пакетов явно происходит непосредственно от границы L3, предоставленной ISP.
Хотя в конечном итоге любые проблемы с подложкой должны быть переданы ISP, обеспечение правильной настройки в CMA поможет смягчить влияние проблем с производительностью. Убедитесь, что конфигурация пропускной способности сетевого интерфейса точна для пропускной способности, предоставляемой линией. Инструменты тестирования скорости в Веб-интерфейсе сокета могут быть использованы для оценки Соединения. Кроме того, уменьшение параметров бурстинга соединения может вынудить Cato задействовать движок QoS раньше и позволить вашему трафику с низким приоритетом быть отброшенным в пользу более критичных приложений.
Решение проблемы Неуместной Конфигурации Выбора PoP
Чтобы отменить любую ручную конфигурацию выбора PoP и позволить Cato выбрать оптимальный PoP для подключения сокета, сначала убедитесь, что на CMA нет ручной конфигурации местоположения PoP, а затем сделайте то же самое для сокета.
В CMA это можно сделать в Сеть > Сайт > Общие > Предпочтительные местоположения PoP.
Убедитесь, что выбрано 'Автоматически'.
В веб-интерфейсе сокета перейдите к Настройки соединения с облаком.
Убедитесь, что Назначение установлено на 'Steering'.
Решение Конфигурации SLA на Некорректных Исходных Условиях
Первый шаг в обеспечении того, чтобы конфигурация SLA подходила — понять, какие критические пороги или требования для критических приложений используются на сайте.
Чтобы расширить это рассмотрение, приведем два примера.
Приложение A терпимо к низкому уровню потери пакетов и обладает хорошими возможностями переупорядочивания пакетов, однако, сессия должна поддерживаться, чтобы сервис работал; прерывание и воссоздание потока вызывает проблемы в приложении.
Приложение B очень чувствительно к спорадической потере пакетов. Даже низкие уровни потери могут вызвать прерывание передачи данных, и передача должна быть начата снова с самого начала. Тем не менее, управляющий канал очень устойчив к завершению и повторному подключению сессий.
С профилем приложения A мы бы создали конфигурацию SLA, которая допускает низкий уровень потерь даже в течение длительных временных периодов; предпочтительнее сохранить подключение к PoP, чтобы поддерживать сессию, даже если потери иначе влияют на сервис.
Приложение B, наоборот, требует более строгой конфигурации SLA. Предпочтительнее изменить PoP, если даже незначительное количество потерь пакетов обнаружено, чтобы защитить целостность передач.
Очевидно, что сайты используют сочетание приложений с различными профилями и требованиями. Администратору придется быть стратегическим, чтобы сбалансировать эти потребности для подходящей политики SLA.
Поднятие случаев на поддержку Cato
Если соблюдение данной стратегии не решило проблему, отправьте тикет в поддержку. Чтобы получить максимально полезные ответы на запросы, администратор должен предоставить результаты выполненных шагов по устранению неполадок во время использования этого плейбука. Включая, например:
Соответствующие фильтры для привлечения внимания к конкретным событиям.
Результаты тестов web-интерфейса.
Выводы сетевого анализа.
Требования к конфигурации SLA.