← Cloudflare One / cloudflare-one / troubleshooting / wan

Stav tunelu

Tento návod vám pomůže diagnostikovat a vyřešit běžné problémy se stavem tunelů v Cloudflare WAN. Kontroly stavu tunelu sledují koncové body tunelů GRE a IPsec (v dashboardu Cloudflare označované jako konektory) a směrují provoz na nejlepší dostupné trasy.

Pomocí následující tabulky přiřaďte svůj příznak k nejpravděpodobnější příčině a první akci:

• Dashboard: Stav tunelu podle datového centra a objem provozu podle tunelu (přejděte na Insights > Stav sítě > Stav sítě)
• API: Stav tunelu prostřednictvím API pro stav tunelů Cloudflare WAN
• Network Analytics: Objem provozu, počty paketů a rozložení protokolů přes Network Analytics
• Z vaší sítě: Traceroute a MTR z endpointu vašeho tunelu směrem ke Cloudflare. Protože endpointy Cloudflare využívají anycast, tento test ověří cestu pouze k nejbližšímu datovému centru. Chcete-li otestovat konkrétní regiony, použijte Cloudflare Traceroute API a spouštět traceroute z konkrétních lokalit Cloudflare do vaší sítě.

• Korelace mezi událostmi stavu tunelu a incidenty v síti Cloudflare
• Rozhodnutí o přeposílání jednotlivých paketů (které datové centrum přeposlalo který paket kterým tunelem)
• Historická data ze sond kontroly stavu starší než doba uchovávání v dashboardu

Pokud řešíte problémy se stavem tunelu, nejprve zkontrolujte následující:

1. Typ kontroly stavu: Pokud používáte stavový firewall (například Palo Alto Networks, Check Point, Cisco nebo Fortinet), změňte typ kontroly stavu z Reply na Požadavek.
2. Ochrana anti-replay: Na routeru vypněte ochranu anti-replay nebo nastavte okno pro opakování na 0.
3. nastavení MTU: Ověřte, že je MTU nastavena správně (obvykle 1476 pro GRE, 1400-1450 pro IPsec).
4. Parametry IPsec: Ověřte, že se vaše kryptografické parametry shodují s Podporovaná konfigurace Cloudflare.
5. Směr kontroly stavu: Cloudflare WAN ve výchozím nastavení používá Obousměrné.
6. Pravidla Cloudflare Network Firewall (méně časté): Ujistěte se, že provoz ICMP z IP adresy Cloudflare ↗ je povoleno.

Stav sítě ↗ stránka v dashboardu Cloudflare zobrazuje tři stavy stavu tunelu:

Dashboard zobrazuje stav tunelu měřený z jednotlivých datacenter Cloudflare, kam váš provoz směřuje. Je běžné, že některé lokality hlásí zhoršený stav kvůli problémům na cestě přes internet. Zaměřte se na lokality, které vykazují provoz v Objem provozu (1 h) sloupec.

Dashboard stavu tunelu zobrazuje stav pro každé datové centrum a každý tunel zvlášť. Každé datové centrum Cloudflare sleduje stav jednotlivých tunelů nezávisle.

Častým zdrojem nejasností je, když se v dashboardu zobrazí „100% degraded“ a uživatelé si to mylně vykládají jako 100% ztrátovost paketů. Nejde ale o totéž.

Jak se aktivuje degradovaný stav:

Když sonda kontroly stavu selže, Cloudflare odešle dvě další sondy. Pokud některé sondy uspějí a jiné selžou, tunel přejde pro dané datové centrum do zhoršeného stavu. K vyvolání tohoto přechodu stačí i pár sekund přerušované ztráty paketů.

Co zkontrolovat:

Zaměřte se na datová centra, která vykazují provoz v Objem provozu (1 h) sloupec. Datacentrum se zhoršeným stavem a nulovým nebo minimálním provozem má pouze informativní charakter: značí problém na trase mezi daným datacentrem Cloudflare a vaší sítí, ale pokud jím neprochází žádný provoz, váš provoz to neovlivní.

Časování obnovy:

Tunely zůstávají ve stavu degradovaný minimálně pět minut, i když kontroly stavu začnou být okamžitě úspěšné. Zotavení ze stavu degradovaný do stavu funkční vyžaduje trvale úspěšné kontroly stavu po delší dobu a může trvat až 30 minut. Podrobnosti o tom, jak tunely přecházejí mezi stavy, naleznete v Chování při obnově níže.

Když se tunel stane nezdravým, Cloudflare u tras přes tento tunel uplatní penalizaci priority:

• Degradovaný: Přidá 500,000 na prioritu trasy
• Nedostupný: Přidá 1,000,000 na prioritu trasy

Tyto penalizace přesouvají provoz na funkčnější tunely a přitom zachovávají redundanci. Cloudflare nikdy trasy zcela neodstraní, takže možnosti failoveru zůstávají zachovány i v případě, že jsou všechny tunely nefunkční.

Tunely přecházejí mezi stavy asymetricky, aby se zabránilo flappingu:

• Funkční na Degradovaný/Down: Rychle přechází při zjištění selhání. Tunel může přejít přímo ze stavu Healthy do stavu Down, pokud selžou všechny opakované pokusy o kontrolu.
• Nedostupný na Degradovaný: Vyžaduje tři po sobě jdoucí úspěšné sondy kontroly stavu.
• Degradovaný na Funkční: Vyžaduje míru selhání pod 0.1% po dobu 30 po sobě jdoucích sond.

Pokyny ke sledování stavu tunelu najdete v Zkontrolujte stav tunelu na dashboardu.

Typ kontroly stavu:

Směr kontroly stavu:

• Dashboard zobrazuje tunel jako Down nebo Degraded
• Skutečný uživatelský provoz úspěšně prochází tunelem
• Míra selhání kontroly stavu je 100 % navzdory funkční konektivitě

Stavové firewally (například Palo Alto Networks, Check Point, Cisco a Fortinet) zahazují pakety kontroly stavu. Cloudflare ve výchozím nastavení odesílá ICMP Reply pakety jako sondy kontroly stavu.

Stavové firewally tyto pakety kontrolují a hledají odpovídající ICMP Požadavek ve své tabulce relací. Pokud neexistuje odpovídající požadavek, firewally odpověď zahodí jako „out-of-state“.

Změňte typ kontroly stavu z Reply na Požadavek:

1. Přejděte na Connectory stránce.

   Přejděte na Connectory ↗

2. V Tunely IPsec/GRE, vyberte Úprava na dotčeném tunelu.

3. V části Typ kontroly stavu, změňte z Reply na Požadavek.

4. Vyberte Aktualizovat tunel.

Když používáte Požadavek stylu kontrol stavu Cloudflare odesílá požadavek ICMP echo. Stavový kontrolní mechanismus (stateful inspection) vašeho firewallu tento požadavek rozpozná jako legitimní a automaticky povolí odpověď ICMP reply.

• Tunely byly funkční před zapnutím Cloudflare Network Firewall
• Po přidání pravidel Cloudflare Network Firewall selhávají kontroly stavu
• Blokování provozu ICMP způsobí okamžité selhání kontrol stavu

Cloudflare Network Firewall zpracovává veškerý provoz včetně kontrolních paketů (health check) Cloudflare. Pokud vytvoříte pravidlo, které blokuje provoz ICMP, zablokujete tím i kontrolní pakety, kterými Cloudflare sleduje stav tunelu.

Přidejte povolovací pravidlo pro provoz ICMP z IP adres Cloudflare před libovolná pravidla blokování:

1. Přejděte na Zásady brány firewall stránce.

   Přejděte na Zásady brány firewall ↗

2. Vytvořte novou zásadu s následujícími parametry:

3. Umístěte toto pravidlo před libovolná pravidla, která blokují provoz ICMP.

Další informace najdete v tématu Pravidla Cloudflare Network Firewall a kontroly stavu endpointů.

• U tunelu IPsec často dochází ke střídání stavů funkční a nedostupný (flapping)
• Občasná ztráta paketů na tunelu
• Provoz funguje po určitou dobu a poté se zastaví bez jakýchkoli změn konfigurace
• Protokoly routeru zobrazují zahozené pakety z důvodu:
  • "replay check failed"
  • "invalid sequence number"
  • "invalid SPI" (Security Parameter Index)

Na routeru máte povolenou ochranu anti-replay. Ta u IPsec očekává, že pakety od jednoho odesílatele budou přicházet postupně za sebou.

Anycast architektura Cloudflare znamená, že provoz vašeho tunelu může pocházet z tisíců serverů rozmístěných ve stovkách datacenter. Každý server si udržuje vlastní čítač pořadí, takže z pohledu vašeho routeru pakety přicházejí mimo pořadí.

Zakažte ochranu anti-replay na svém routeru:

U většiny routerů:

Ve své konfiguraci IPsec vyhledejte nastavení ochrany anti-replay a vypněte ji.

Pokud můžete nastavit pouze velikost replay okna:

Nastavte okno proti opakování na 0 účinně zakázat kontrolu.

Pro zařízení, která neumožňují vypnout anti-replay:

Povolte ochranu proti replay útokům v Cloudflare dashboardu. Tím se veškerý provoz tunelu přesměruje přes jediný server, což zachová správná sekvenční čísla, ale připraví vás o výhody anycastu.

1. Přejděte na Connectory stránce.

   Přejděte na Connectory ↗

2. V Tunely IPsec/GRE, vyberte Úprava na vašem tunelu IPsec.

3. Povolit Ochrana proti opakování.

4. Vyberte Aktualizovat tunel.

Pro směrovače Cisco IOS/IOS-XE, které hlásí chyby „invalid SPI“:

Povolte funkci ISAKMP pro zotavení z neplatného SPI, která routeru pomůže znovu synchronizovat Security Associations:

configure terminal
crypto isakmp invalid-spi-recovery
exit

Podrobné vysvětlení, proč je toto nastavení nutné, najdete v Ochrana anti-replay.

• Stav tunelu klesá na Degraded nebo Down pravidelně
• Problémy se shodují s intervaly rekey IPsec (obvykle každých několik hodin)
• Tunel se automaticky obnoví za 1-3 minuty
• Protokoly routeru zobrazují úspěšné dokončení výměny klíčů (rekey)

Když endpoint tunelu zahájí rekeying IPsec, nové Security Associations (SA) se musí rozšířit po celé síti Cloudflare. Zpoždění šíření rekeyingu bylo výrazně omezeno a ve většině nasazení je vzácné. V některých konfiguracích však může během rekeyingu stále dojít ke krátkodobému zhoršení stavu tunelu.

Cloudflare rekey nikdy sama nezahajuje, pouze na něj reaguje. Všechny pokusy o rekey musí vycházet z vašeho tunel endpointu. Pokud vaše zařízení během rekey obdrží odpověď TEMPORARY_FAILURE, musí pro obnovu znovu navázat relaci IKE.

Toto chování je očekávané a tunel se automaticky obnoví. Pro minimalizaci dopadu:

1. Nakonfigurujte Dead Peer Detection (DPD) s restartováním: Nastavte akci DPD endpointu tunelu na „restart“, aby se relace IKE automaticky obnovila v případě, že rekey selže s TEMPORARY_FAILURE. Bez restartu DPD se zařízení může zaseknout ve smyčce neúspěšných rekey.

2. Zvyšte intervaly rekeyingu: Nastavte na svém tunelovém endpointu delší životnost SA a snižte tak frekvenci rekey. Běžné hodnoty jsou 8 až 24 hodin pro IKE SA a 1 až 8 hodin pro IPsec SA.

3. Upravte citlivost kontroly stavu: Pokud krátkodobé zhoršení výkonu během výměny klíčů (rekey) spouští upozornění, zvažte snížení frekvence kontrol stavu:

   1. Přejděte na Connectory stránce.
   Přejděte na Connectory ↗
   2. V Tunely IPsec/GRE, vyberte Úprava na tunelu.
   3. Změňte Frekvence kontroly stavu na Low.

4. Rozprostření časů rekey: Pokud máte více tunelů, nakonfigurujte pro ně různé hodnoty SA lifetime, aby nedocházelo k jejich současné výměně klíčů (rekey).

• Kontroly stavu nakonfigurované jako obousměrné trvale selhávají
• Jednosměrné kontroly stavu fungují správně
• Provoz prochází tunelem normálně

Obousměrné kontroly stavu vyžadují, aby tunelem procházela jak sonda, tak odpověď. Váš router musí:

1. Přijímat pakety ICMP určené pro IP adresy rozhraní tunelu
2. Směrujte odpověď ICMP zpět přes tunel do Cloudflare

Pokud selektory provozu nebo pravidla firewallu tento provoz nepovolují, obousměrné kontroly stavu selžou.

Pro tunely IPsec:

Nakonfigurujte traffic selectors tak, aby přijímaly pakety pro adresy tunelového rozhraní. Pokud je například adresa tunelového rozhraní 10.252.2.27/31:

• Povolte provoz do/z 10.252.2.26 (na straně Cloudflare)
• Povolte provoz do/z 10.252.2.27 (na vaší straně)

Pro všechny typy tunelů:

Ujistěte se, že váš firewall povoluje provoz ICMP na rozhraní tunelu. Mnoho firewallů vyžaduje explicitní pravidla, která na rozhraních tunelu povolí správní provoz (včetně ping).

Podrobné informace o fungování obousměrných kontrol stavu najdete v Tunnel health checks.

• Stav tunelu zobrazuje Down a nikdy se nestane funkčním
• Tunelem neprochází žádný provoz
• Protokoly routeru zobrazují selhání vyjednávání IKE

Navázání tunelu IPsec může selhat kvůli několika neshodám v konfiguraci:

1. Ověřte, že kryptografické parametry odpovídají podporované konfiguraci Cloudflare:

   Phase 1 (IKE)

Phase 2 (IPsec)

2. Ověřte Pre-Shared Key (PSK):

   • Znovu vygenerujte PSK v dashboardu Cloudflare
   • Zkopírujte nový PSK přesně (bez mezer nebo znaků navíc)
   • Aktualizujte svůj router s novým PSK

3. Zkontrolujte formát IKE ID: Cloudflare pro IKE ID používá formát FQDN. Ujistěte se, že je váš router nastaven tak, aby přijímal identitu partnera ve formátu FQDN. FQDN se zobrazuje v podrobnostech tunelu na dashboardu Cloudflare.

4. Ověřte pravidla brány firewall: Ujistěte se, že váš hraniční firewall povoluje:

   • port UDP 500 (IKE)
   • port UDP 4500 (IKE NAT-T)
   • IP protokol 50 (ESP)

Úplný seznam podporovaných parametrů najdete v Podporované konfigurační parametry.

• Kontroly stavu trvale selhávají u tunelů IPsec založených na zásadách
• Provoz odpovídající traffic selectors tunelu (encryption domain) prochází normálně
• Tunely typu Route-based fungují na stejném zařízení správně

Tunely IPsec v režimu Policy-Based používají traffic selectors k určení, které prefixy jsou v tunelu povoleny. Kontroly stavu typu reply si posílají pakety na vlastní IP adresy Cloudflare. Tyto adresy leží mimo traffic selectors tunelu, které povolují pouze cíle v síti zákazníka, takže koncový bod tunelu pakety kontroly stavu zahazuje.

Některé firewally, například Check Point, mohou pakety kontroly stavu typu Reply označit jako podvržené, protože jsou adresované samy sobě, a to i u tunelů založených na trasách.

1. Změňte typ kontroly stavu z Reply na Požadavek.
2. Nakonfigurujte na endpointu tunelu adresu loopback jako cíl kontroly stavu. Cíl musí být:
   • Směrovatelné z endpointu tunelu
   • Pokryto selektory provozu tunelu (encryption domain)
3. U obousměrných kontrol stavu se ujistěte, že je zdroj kontroly stavu (Interface Address tunelu nakonfigurovaná na dashboardu Cloudflare) rovněž pokryt selektorem provozu.

Pokud jste postupovali podle tohoto návodu a stále máte problémy se stavem tunelu, než se obrátíte na podporu Cloudflare, shromážděte následující informace:

1. ID účtu a Název(y) tunelu ovlivněné
2. Časová razítka (v UTC), kdy k problému došlo
3. Podrobnosti konfigurace tunelu:
   • Typ tunelu (GRE nebo IPsec)
   • Typ kontroly stavu (Request nebo Reply)
   • Směr kontroly stavu (obousměrný nebo jednosměrný)
   • Frekvence kontroly stavu (Low, Medium nebo High)
4. Informace o routeru:
   • Výrobce a model
   • Verze firmwaru/softwaru
   • Konfigurace IPsec (upravená tak, aby neobsahovala PSK)
5. Pozorované příznaky:
   • Stav funkčnosti tunelu v Dashboardu
   • Zda je ovlivněn provoz uživatelů
   • Chybové zprávy z protokolů routeru

• Zachytávání paketů z vašeho routeru zobrazující provoz tunelu
• Protokoly routeru pokrývající období, kdy problém nastal
• Traceroute výsledky z vaší sítě ke koncovým bodům Cloudflare
• Snímky obrazovky dashboardu stavu tunelu
• Distribuované traceroute pomocí nástrojů, jako je ping.pe ↗ k otestování dostupnosti z několika globálních lokalit

Shromážděte výstup z těchto příkazů (syntaxe se liší podle výrobce):

• IPsec SA status: show crypto ipsec sa
• Stav IKE SA: show crypto isakmp sa
• Stav rozhraní tunelu: show interface tunnel <number>
• Směrovací tabulka: show ip route

• Tunnel health checks: Technické podrobnosti o chování kontroly stavu
• Ochrana anti-replay: Proč musí být anti-replay vypnutý
• Konfigurace koncových bodů tunelu: Pokyny k nastavení tunelu
• Zkontrolujte stav tunelu na dashboardu: Návod k navigaci v dashboardu
• Network Analytics: Nástroje pro analýzu provozu

Další informace najdete v úplné dokumentaci Cloudflare WAN.