FortiGate get router info routing-table all

Visão geral

get router info routing-table all apresenta as rotas atualmente instaladas na routing table do FortiGate para o VDOM ativo.

É um dos primeiros comandos a utilizar quando um FortiGate recebe tráfego mas parece encaminhá-lo para a interface, gateway ou túnel VPN errados.

Comando

get router info routing-table all

O que faz

O comando mostra rotas ativas provenientes de fontes como:

• Connected networks
• Static routes
• RIP
• OSPF
• BGP
• IS-IS

Também identifica a candidate default route.

Os códigos exatos apresentados podem depender dos routing protocols ativos e da versão de FortiOS.

Quando utilizar

Utiliza este comando quando:

• Um destino está inacessível.
• O tráfego sai pela interface WAN errada.
• Uma VPN está up, mas a subnet remota não está acessível.
• Uma nova static route não parece estar ativa.
• Suspeitas que uma rota mais específica está a sobrepor-se a outra.
• Precisas de confirmar o default gateway ativo.
• Precisas de perceber se uma rede está diretamente ligada ou foi aprendida dinamicamente.

Exemplo de output

S*      0.0.0.0/0 [10/0] via 192.0.2.1, wan1
C       10.1.10.0/24 is directly connected, VLAN10
S       10.2.20.0/24 [10/0] via IPSEC-SITE2 tunnel 198.51.100.10
O       10.3.30.0/24 [110/20] via 10.1.10.2, VLAN10

Como ler códigos de rota comuns

C - Connected

A subnet existe diretamente numa interface do FortiGate.

C 10.1.10.0/24 is directly connected, VLAN10

Normalmente significa que uma interface nesse VDOM tem um endereço pertencente à subnet.

S - Static

A rota foi configurada estaticamente.

S 10.2.20.0/24 [10/0] via IPSEC-SITE2 tunnel 198.51.100.10

O - OSPF

A rota foi aprendida através de OSPF.

B - BGP

A rota foi aprendida através de BGP.

* - Candidate default

Uma rota marcada com * é uma candidate default route.

Exemplo comum:

S* 0.0.0.0/0 [10/0] via 192.0.2.1, wan1

Administrative distance e metric

As rotas apresentam frequentemente valores entre parênteses retos, por exemplo:

[10/0]

O primeiro valor representa administrative distance. O segundo é a metric utilizada pelo routing protocol ou tipo de rota quando aplicável.

Não compares rotas apenas pela administrative distance. A seleção começa pela especificidade do prefixo: uma rota mais específica pode ter precedência sobre uma rota mais ampla.

Por exemplo:

10.1.10.0/24
10.1.10.0/26

O tráfego para 10.1.10.20 corresponde aos dois prefixos, mas /26 é mais específico e, por isso, é a rota relevante antes de administrative distance ser utilizada para desempatar candidatos com o mesmo comprimento de prefixo.

Consideração sobre VDOM

Quando existem VDOMs, os comandos de routing têm de ser executados no contexto do VDOM relevante.

Se uma rota parecer estar em falta, confirma que não estás a consultar a routing table de outro VDOM.

Workflow de troubleshooting

1. Encontrar o prefixo de destino

Para um destino como:

10.2.20.15

identifica todas as entradas da tabela que possam corresponder ao endereço.

2. Identificar a rota mais específica

Procura rotas sobrepostas com prefixos mais longos.

Exemplo:

10.2.20.0/24
10.2.20.0/26

A rota /26 cobre endereços de 10.2.20.0 a 10.2.20.63 e será mais específica para esses destinos.

3. Verificar gateway ou interface de saída

Confirma que o next hop ou túnel selecionado corresponde ao caminho pretendido.

4. Comparar com evidência de pacotes

Utiliza:

diagnose sniffer packet any 'host 10.2.20.15' 4 0 l

Se o FortiGate estiver a selecionar um caminho inesperado, utiliza debug flow para observar a decisão de routing durante o processamento do pacote.

Como validar

Uma verificação de routing está concluída quando consegues identificar:

• A rota mais específica para o destino.
• A origem da rota.
• A interface de saída ou túnel.
• O next-hop gateway quando aplicável.
• Se existe outra rota sobreposta capaz de alterar o resultado para parte do address space.

Riscos e considerações

Este é um comando de diagnóstico read-only e não altera o estado de routing.

O risco está na interpretação incorreta da tabela e não na execução do comando.

Erros comuns de interpretação incluem:

• Ignorar rotas com prefixos mais longos.
• Consultar o VDOM errado.
• Assumir que uma rota configurada tem obrigatoriamente de estar ativa.
• Confundir routing com permissões de firewall policy.

Uma rota correta não prova que uma firewall policy permite o tráfego.

Artigos relacionados

• FortiGate debug flow
• FortiGate packet sniffer
• FortiGate execute ping
• FortiGate IPsec tunnel established but no traffic

Fontes

Consulta as referências oficiais da Fortinet indicadas nos metadados do artigo.