先分层再分域
MPLS VPN 排障的核心方法是先分层、再分域：分层指承载层（接口、误码、MTU、链路保护）、控制层（PE-CE 协议表、VPNv4 表、RT 与下一跳）、转发层（标签转发逐跳对照）；分域指客户侧、PE、核心。最有效的动作是用「同一前缀在不同设备上的表状态」做对照，找出从哪一跳之后出现差异。
基本信息
| 第一步 | 界定范围：单站点、单方向还是全断 |
|---|---|
| 承载层 | 接口状态、误码、MTU、链路保护 |
| 控制层 | PE-CE 协议表、VPNv4 表、RT 与下一跳 |
| 转发层 | 标签转发表逐跳对照 |
| 对照方法 | 同一前缀在不同设备的表状态比对，定位差异出现的节点 |
| 收尾 | 双向业务测试并归档结论 |
典型排查场景
- 客户报障定位：先确定是单站点还是全断，缩小范围
- 单向不通：去程与回程分别验证，避免只看一个方向
- 路由在表但业务不通：转查转发层标签与 MTU
- 变更后异常：按分层顺序核对，不要直接改配置
- 多设备协同：用统一命令清单在各设备上取证，便于横向对比
对照核查
对照核查
show ip route vrf CUST-A 10.10.2.0 # 客户侧与 PE 侧 VRF 路由
show ip bgp vpnv4 all 10.10.2.0/24 # VPNv4 表中的前缀与 RT
show mpls forwarding-table | include 10.10.2.0 # 转发层标签核对
ping vrf CUST-A 10.10.2.1 source 10.10.1.1 # 带源的业务验证分层的检查对象
| 层 | 检查对象 | 典型问题 |
|---|---|---|
| 承载层 | 接口、误码、MTU | 物理与链路问题导致丢包或不通 |
| 控制层 | PE-CE 表、VPNv4 表、RT、下一跳 | 路由没学到或导入不进去 |
| 转发层 | 标签转发表、转发面明细 | 路由有但流量不通 |
| 业务层 | 端到端连通性与应用响应 | 单向不通、MTU 相关的应用异常 |
先对照表状态再改配置：多点取证能直接定位差异出现在哪台设备，先改配置会破坏现场，让后续判断失去依据。
单向验证不够：返回路径独立决策，去程正常不代表回程正常，必须双向测试并各自取证，否则容易得出「网络是好的」的错误结论。