OSPF أم EIGRP فوق VTI على ASA: أيّهما يدعمه إصدارك
لا يعمل OSPFv2 وEIGRP عبر VTI على ASA إلا بدءًا من 9.19(1)، وفقط مع تمكين البث المتعدد. قارن بينهما على الإصدار الذي تشغّله، ثم تحقّق من الجيران.
تفترض معظم النقاشات بين OSPF وEIGRP أن النفق قادر أصلًا على حمل البروتوكول، وعلى ASA يكون هذا الافتراض هو الجزء الجدير بالفحص أولًا. لا تصبح المقارنة مثيرة إلا بعد التأكد من الصورة ونوع VTI ومسار البث المتعدد. أخطئ في هذا الترتيب تقضِ عصرًا كاملًا في ضبط المؤقتات على نفق لن يُنشئ جوارًا أبدًا. أبدأ كل تصميم من هذه التصاميم بملاحظات الإصدار والتكوين الجاري، لا بتفضيل البروتوكول.
الإصدار يحسم قبل البروتوكول
دليل Cisco لـ VTI على ASA 9.24 هو أساس توثيقي صالح للاستخدام: يصف VTIs الثابتة والديناميكية ويسرد التوجيه الثابت وBGP وOSPF وEIGRP. ويضع سجل الميزات دعم OSPFv2 وEIGRP على VTI في الإصدار 9.19(1). وأي شيء أقدم من ذلك نقاش آخر.
إذن السؤالان الأولان مملّان وحاسمان:
| Check | What decides it |
|---|---|
| Image and release | Whether the feature history lists OSPFv2 or EIGRP on VTI for the version you run |
| VTI type | Static or dynamic, and which routing context the platform permits |
| Multicast on the tunnel | Whether it is enabled, and whether the group limits are respected |
القول بأن ASA لا يستطيع استخدام VTIs، أو لا يستطيع حمل IGP، كان صحيحًا في بعض الصور الأقدم وليس مصفوفة دعم حالية. وبالمثل، ليس دليل 9.24 تعليمًا بترقية كل جهاز. إنه يخبرك بما يدعمه ذلك الإصدار، وعلى إصدارك المنشور أن يجيب عن نفسه.
مرور اليونيكاست لا يعني أن IGP سيتشكّل
يشير الدليل نفسه إلى أن اليونيكاست يمر افتراضيًا وأن البث المتعدد يجب تمكينه لـ OSPFv2 أو EIGRP على VTI، مع حدود موثّقة لمجموعات البث المتعدد. تلك الجملة الواحدة تفسّر معظم حالات الجوار الفاشلة التي رأيتها في هذا التصميم. بينغ ناجح عبر النفق، أو حالة IPsec خضراء، يثبت مسار اليونيكاست فقط. اكتشاف البروتوكول يحتاج مسار البث المتعدد، والاثنان يُكوّنان بشكل منفصل.
افحص تكوين واجهة النفق بحثًا عن إعداد البث المتعدد هذا قبل أن تمس مؤقتات hello أو hold. إن كان الإعداد غائبًا، فالجوار ليس بطيئًا، بل مستحيل.
OSPF وEIGRP جنبًا إلى جنب على النفق نفسه
على النفق نفسه يبدو البروتوكولان كما يبدوان في أي مكان آخر. يحتاج OSPF إلى نوع شبكة مطابق، ومنطقة، ومصادقة، ومعاملات جيران؛ ويحتاج EIGRP إلى رقم AS الخاص به وإعدادات مستوى الواجهة المرافقة له.
الفخ هو نسخ عبارات الجيران من نموذج نفق مختلف. كانت النصيحة بشأن الجيران الساكنين في تصميم غير VTI موجودة لتجنّب البث المتعدد، وهي لا تنتقل إلى VTI يُتوقع أن يحمل البروتوكول أصالةً. كوّن سلوك الواجهة المدعوم، ثم دع البروتوكول يشكّل جواره بنفسه.
ثم قارن على المحاور التي تختلف فعلًا في طوبولوجيتك: التشغيل البيني مع الطرف الآخر، وسلوك التقارب الذي يمكنك اختباره، والمعرفة التشغيلية لدى فريقك. الحكاية التاريخية عن بروتوكول أسرع أو أخف ليست قياسًا لشبكتك.
الجيران لا يساوون المسارات المثبّتة
بعد أن يصبح الجوار قائمًا، افصل ما يُنشأ عمّا يُقبل. انظر إلى أي بادئات فروع يعلنها كل طرف، وأيها يُستقبل، وأيها يُختار، وأيها يصل فعلًا إلى جدول التوجيه. يجب أن يكون نطاق الاستيراد والتصدير وإعادة التوزيع مدروسًا لا إعلانًا شاملًا لكل ما تعرفه الجهاز.
show ospf neighbor و show eigrp neighbors يخبرك أن الجلسة حيّة. show route يخبرك ما إذا وصلت بادئة الفرع، وهذان سؤالان مختلفان.
مسار التطبيق سؤال ثالث مرة أخرى. علاقة الجيران توزّع قابلية الوصول؛ وهي لا تمنح إذنًا عبر الجدار الناري، ولا تثبت أن محدّدات المرور وقواعد التصفية متوافقة. تحقّق من التدفق المسموح ومسار الرد الخاص به باختبار معتمد بدلًا من افتراض أن المسار يعني السياسة.
ما ينبغي أن تسجّله المقارنة المكتملة
اكتب واجهة النفق، والإصدار الذي يدعمها، وتبادل التحكم الذي تحقّقت منه، وسياسة التوجيه التي حدّدتها. أضف إعداد البث المتعدد، لأنه التفصيل الذي يقرّر في صمت ما إذا كان أي من الباقي يعمل. احتفظ بذلك السجل بجانب الإصدار المنشور كي يمكن مراجعة تغيير ميزة لاحق دون البدء من افتراض انتهت صلاحيته.
إن غاب أي من تلك الأربعة فلديك تفضيل لا تصميم. أصلح الحقيقة الغائبة أولًا؛ اختيار البروتوكول هو الجزء السهل.