Kiểm thử BGP Graceful Restart và Route Reflector failover

RFC 4724 cho phép peer giữ route đã học trong một cửa sổ khi BGP speaker restart, dựa trên capability và giả định forwarding state được bảo toàn. Route được đánh dấu stale rồi được refresh hoặc loại bỏ sau End-of-RIB/timer. Cơ chế này giảm churn nhưng có thể kéo dài blackhole nếu giả định forwarding không đúng.

Route reflector giảm số phiên iBGP nhưng tạo điểm điều phối control plane. Hai RR không mặc nhiên tạo failover hoàn chỉnh: client policy, cluster ID, add-path, multipath, IGP reachability và next-hop resolution vẫn quyết định đường dữ liệu.

Topology gồm hai RR, ít nhất ba client, traffic generator ở hai prefix edge và collector BMP/telemetry nếu có. Mỗi client peering với cả hai RR. Một điểm capture/update log ở control plane và sequence traffic ở data plane giúp nối T0 gây lỗi đến T5 dịch vụ phục hồi.

Chạy baseline khi cả hai RR hoạt động; ghi số prefix, attribute mix, best-path distribution và route churn tự nhiên. Không thay IGP, policy hoặc timer giữa các lượt so sánh.

Ghi NOS/version, GR capability, restart/stale timer, LLGR, BFD, hold/keepalive, route-refresh, add-path, multipath, cluster ID, next-hop-self và policy. Khóa prefix count, update rate, AS-path/community mix và traffic profile.

• Biến: Prefix scale · Mức thử: nhỏ, mục tiêu, đỉnh · Rủi ro: CPU/RIB/FIB backlog
• Biến: Restart type · Mức thử: process, supervisor, reboot · Rủi ro: Khác khả năng giữ FIB
• Biến: RR failure · Mức thử: một RR, cả hai, path · Rủi ro: Control-plane isolation
• Biến: Stale timer · Mức thử: theo cấu hình · Rủi ro: Blackhole kéo dài
• Biến: BFD · Mức thử: bật/tắt · Rủi ro: Xung đột mục tiêu GR
• Biến: Update burst · Mức thử: steady/burst · Rủi ro: Churn và queue

KPI gồm session-down/up time, End-of-RIB time, route retention, stale-prefix duration, update/withdraw count, RIB-to-FIB delay, packet loss, reorder, latency và application interruption. Đo số route sai next-hop, không chỉ tổng route.

Bằng chứng gồm capability negotiation, BGP event/update, RIB/FIB snapshot, GR state, CPU/memory, sequence traffic và capture. Pass/fail phải nêu RR/client/version, lỗi được tiêm và SLO; “session Established trong 30 giây” không đủ nếu traffic mất lâu hơn.

• Sự kiện: Restart BGP process RR1 · Điều cần chứng minh: Client giữ/refresh route đúng · Dấu hiệu fail: Stale quá timer hoặc churn lớn
• Sự kiện: Reboot RR1 · Điều cần chứng minh: RR2 duy trì control plane · Dấu hiệu fail: Traffic blackhole
• Sự kiện: Mất path client–RR1 · Điều cần chứng minh: RR2 tiếp tục update · Dấu hiệu fail: Policy khác biệt gây route sai
• Sự kiện: Client mất forwarding · Điều cần chứng minh: Peer loại stale đúng · Dấu hiệu fail: Route vẫn giữ và blackhole
• Sự kiện: Cả hai RR restart lệch · Điều cần chứng minh: Không split view · Dấu hiệu fail: Prefix thiếu/loop
• Sự kiện: Update burst khi recovery · Điều cần chứng minh: Queue thoát và hội tụ · Dấu hiệu fail: RIB/FIB backlog kéo dài

• Đồng bộ thời gian; lưu config, capability và baseline route.
• Phát traffic có sequence qua các prefix đại diện.
• Restart riêng BGP process trên RR1.
• Lặp với supervisor/VM/container restart theo nền tảng.
• Mất đường client–RR1 trong khi RR1 còn sống.
• Gây lỗi forwarding ở client để thử stale-route risk.
• Tăng prefix/update burst trong cửa sổ recovery.
• Lặp với BFD bật/tắt và timer được phê duyệt.
• Khôi phục; so RIB/FIB, best path và traffic.
• Chạy ít nhất ba lần; xuất percentile và verdict.

• Hai RR có policy/capability được đối chiếu.
• Đã xác nhận GR negotiation hai chiều.
• Stale timer phù hợp với failure model.
• Đã thử lỗi không giữ được forwarding state.
• RIB và FIB được quan sát riêng.
• Update burst thử trong recovery.
• BFD/IGP interaction đã ghi.
• Packet loss đo đầu-cuối, không suy từ log.
• RR recovery không tạo split view/loop.
• Runbook có điều kiện vô hiệu GR nếu blackhole.

GR behavior phụ thuộc implementation, AFI/SAFI, restart type và khả năng giữ FIB. Kết quả IPv4 unicast không tự áp dụng EVPN, VPNv4/v6 hoặc flowspec. RR failover không thay thế thiết kế IGP và next-hop redundancy.

Generator có thể đạt prefix scale nhưng không tái tạo attribute/update distribution production. Báo cáo phải giữ seed/profile để tái lập, tránh công bố “hitless” khi độ phân giải packet không đủ thấy micro-outage.

• Graceful Restart: Giữ route tạm thời trong lúc peer restart.
• Stale route: Route được giữ nhưng chưa được refresh.
• End-of-RIB: Marker kết thúc cập nhật ban đầu.
• Route Reflector: Giảm full-mesh iBGP bằng phản xạ route.
• RIB/FIB: Bảng định tuyến control plane và forwarding plane.
• Control-plane churn: Khối lượng update/withdraw do biến động.