Добрый день коллеги.
Есть проблема с VPNaaS (Openstack Queens) следующего плана.
При построении IPSec туннеля между двумя проектами (VPNaaS-VPNaaS) все работает нормально, но через произвольный промежуток времени (от 20 минут до 2-ух недель) пропадает связь между конечными хостами в противоположных локальных сетях. При этом пинг с конечного хоста на шлюзы обоих локальных сетей проходит.
Как пример, есть следующая топология:
host-loc-1(
10.9.9.2/24) - (
10.9.9.1/24)VPNaaS1 - VPNaaS2(
192.168.10.1/24) - host-loc-2(
192.168.10.8/24)
И при возникновении проблемы, адрес
10.9.9.2 перестает пинговать
192.168.10.8, но продолжает пинговать
192.168.10.1.
VPN соединение при этом активно, а причиной проблемы является пропадание правил iptables в цепочке FORWARD для namespace проекта.
Нормальное состояние:
"""
ip netns exec qrouter-ID iptables -L -n | grep -A 5 "Chain FORWARD"
Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 192.168.10.0/24 10.9.9.0/24 policy match dir in pol ipsec reqid 1 proto 50
ACCEPT all -- 10.9.9.0/24 192.168.10.0/24 policy match dir out pol ipsec reqid 1 proto 50
neutron-filter-top all -- 0.0.0.0/0 0.0.0.0/0
neutron-l3-agent-FORWARD all -- 0.0.0.0/0 0.0.0.0/0
"""
Проблема:
"""
ip netns exec qrouter-ID iptables -L -n | grep -A 5 "Chain FORWARD"
Chain FORWARD (policy ACCEPT)
target prot opt source destination
neutron-filter-top all -- 0.0.0.0/0 0.0.0.0/0
neutron-l3-agent-FORWARD all -- 0.0.0.0/0 0.0.0.0/0
"""
Может кто-то сталкивался с такой проблемой и может что-то подсказать?
Как можно увидеть по какой причине сносятся правило из FORWARD?
