Hiërargiese DMVPN: een wolk per tonnelverhouding

'n Tak-spoke registreer suksesvol by sy streekshub en kan steeds nie 'n diens in 'n ander streek bereik nie. Die tonnel is op, die NHS-toestand lyk gesond, en die fout verskyn net by bestemmings wat 'n laaggrens oorsteek. Daardie patroon beteken gewoonlik die ontwerp het nooit gesê watter toestelle aan watter DMVPN-wolk deelneem nie, so die lae is op intuïsie gebou en stem nou nie ooreen nie.

Die simptoom verskyn by die laaggrens

In 'n hiërargiese ontwerp beklee 'n sentrale hub, verskeie streekshubs en baie tak-spokes elk 'n posisie. 'n Streekshub kan meer as een tonnelverhouding hê, en takke hoef nie by elke sentrale eindpunt te registreer nie. Die paaie wat saak maak, is tak na streeksdiens, tak na 'n ander goedgekeurde streeks-spoke, en tak na 'n sentrale bestemming.

Wanneer een van daardie paaie faal terwyl die ander werk, is die probleem byna altyd 'n ontbrekende of botsende rolomskrywing eerder as 'n stukkende tonnel. Skryf die beoogde paaie neer en vergelyk dit met wat die toestelle werklik gebou het. Daardie vergelyking neem 'n uur en voorkom 'n week se raai. Hou dit by die ontwerpdocument.

Een wolk, een interface-kontrak

Teken vir elke wolk die tonnel-interface, die overlay-adressering, die plaaslike onderlaagbron, die NHS- en NBMA-verhoudings, multicast-lewering en die beskermingsbeleid aan. Noem ook watter roetes tussen die streeks- en sentrale kontekste kruis, want daardie sin is die ontwerp.

'n Streekshub met twee tonnel-interfaces het twee kontrakte nodig, nie een met twee adresse nie. Die onderlaagbron, die NHRP-domein en die roetes kan per interface verskil, en 'n dokument wat hulle saamvoeg, sal diegene mislei wat die tweede een konfigureer.

Identifiseerders is plaaslike konteks, nie toegangsbeheer nie

NHRP-netwerk-ID's en GRE-sleutels is die twee waardes wat die meeste vir globale instellings aangesien word. Die IOS XE NHRP-gids beskryf die netwerk-ID as plaaslik betekenisvol, so ooreenstemmende nommers op afgeleë routers verifieer niks, en die verandering van een router se plaaslike nommer skep nie 'n toegangsgrens nie.

'n GRE-sleutel, waar die ontwerp een gebruik, help om die ontvangende tonnelkonteks te identifiseer, en dit word ooreengekom onder die eindpunte wat daardie konteks deel. Dit is nie 'n wagwoord nie, en dit vervang nie IKE-verifikasie of roetebeleid nie. Behandel albei waardes as konfigurasiekonteks wat binne 'n verhouding moet ooreenstem, nie as sekuriteitsbeheermaatreëls wat streke skei nie.

Roeteer doelbewus tussen lae

Bepaal watter prefikse die streekshub opwaarts adverteer en watter sentrale bestemmings dit aan sy spokes bied. Kontroleer dan die werklike volgende hop en die fase-spesifieke kortpadgedrag vir elke pad, want 'n opsommingsroete en 'n kortpad kan heel ander aanstuur lewer as wat die diagram suggereer.

Gebruik roetering en toegangsbeleid om streekskeiding af te dwing. As 'n tak nie direk 'n ander streek mag bereik nie, moet die roete en die beleid dit sê, eerder as om te vertrou op 'n identifiseerder wat nooit ontwerp is om dit af te dwing nie. Skryf die beleid langs die identifiseerder neer. Anders sal die volgende ingenieur aanneem die nommer doen die werk.

Diagnoseer die onverwagte kortpad

Wanneer 'n tak probeer om 'n direkte verhouding met 'n sentrale eindpunt te skep, ondersoek sy roete, sy NHRP-kartering en die gekose tonnelkonteks voordat jy identifiseerders lukraak verander. Ontbrekende bereikbaarheid, 'n onbedoelde NHS-verhouding en 'n wettige maar ongemagtigde kortpad vra drie verskillende regstellings.

Die DMVPN-konfigurasiegids wys die tonnel- en NHRP-instellings saam, wat juis is hoekom die scopes eers op papier geskei moet word. Teken die wolk-kontrakte aan, hou die lae-roetes eksplisiet, en die volgende grensfout sal 'n plek hê om na te wys.