调试策略连接网络的 ping 失败

在执行其他任何操作之前，请检查源虚拟机和目标虚拟机的状态。

• 每个虚拟机的状态是否为 Up？

• 相应的分路接口是否 处于活动状态？

在 Contrail UI 中检查虚拟机状态：

在 http 代理侦测中检查分路接口状态，例如：

https://<host ip address>:8085/Snh_ItfReq?name=

当虚拟机状态为 “已启动”且 tap 接口为 “活动”时，您可以重点关注影响流量的其他因素，包括路由、网络策略、安全策略和具有静态路由的服务实例。

每当通过网络策略连接的虚拟网络路由上遇到 ping 失败时，请使用以下故障排除指南。

检查网络策略配置：

• 验证策略是否已附加到每个虚拟网络。

• 每个附加的策略都应具有允许从一个虚拟网络到另一个虚拟网络的流量的显式规则，或允许所有流量规则。

• 验证策略规则中操作的顺序是否正确，因为操作按其列出顺序应用。

• 如果有多个策略附加到虚拟网络，请验证这些策略是否按逻辑顺序附加。首先应用列出的第一个策略，首先应用其规则，然后再应用下一个策略。

• 最后，如果其中一个虚拟网络没有显式规则来允许来自另一个虚拟网络的流量，则该流量流将被视为 未解析 流或 短 流，并且将丢弃所有数据包。

在 Contrail UI 中按以下顺序检查策略、附件和流量规则：

检查计算节点中的 VN1-VN2 ACL 信息：

使用路由信息检查虚拟网络策略配置：

检查 VN2 路由的 VN1 路由信息：

如果缺少路由，ping 将失败。计算节点中的流检查会显示操作： D（rop）。

重复的 dropstats 命令通过在每次迭代 dropstats 时递增 “流操作丢弃 ”计数器来确认丢弃。

在计算节点上发出的流和 dropstats 命令：

为了帮助调试流，可以使用计算节点的代理自检页面中的详细流查询。

感兴趣的领域包括：

• 输入 [来自 流 –l 输出]： src/dest ip、src/dest 端口、protocol 和 vrf

• 详细流查询的输出： short_flow、src_vn、action_str>操作

流命令输出：

获取单个流的详细信息：

FetchFlowRecord 的输出显示未解析的 IP 地址：

您还可以从 Contrail UI 检索有关未解析流的信息，如下所示：

如果仍然遇到可访问性问题，请排查任何特定于协议的操作，其中交换路由，但只允许特定协议。

下面显示了代理自检中特定于协议的流的示例查询：

下面显示策略操作清楚地将 拒绝 显示为操作。