Суседзі EIGRP не ўзнікаюць на накладанні DMVPN

Unicast праз накладанне працуе, а суседства ўсё роўна не ўзнікае, таму правярайце рэплікацыю multicast у NHRP, палітыку EIGRP на тунелі і IPsec як тры асобныя ўзроўні.

Тунель падняты, адзін філіял можа пінгаваць іншы, а EIGRP па-ранейшаму не паказвае ніводнага суседа на хабе. Гэтая камбінацыя нармальная, а не загадкавая: ping даказвае дасяжнасць unicast праз NHRP, а hello-паведамленні EIGRP ідуць як multicast. На накладанні DMVPN мадэль дастаўкі пратаколу маршрутызацыі — гэта другая плоскасць канфігурацыі, і менавіта яе людзі прапускаюць, бо першая плоскасць ужо выглядае здаровай. Кожны ўзровень ніжэй правяраецца ўласнай камандай, таму збой на адным не вяртае вас у пачатак спіса.

Запішыце суседствы, якія чакаеце

Перад любой камандай show складзіце кароткі спіс: які філіял з якім хабам павінен стаць суседам, праз які тунельны інтэрфейс і ў якой аўтаномнай сістэме EIGRP. Шматахавыя схемы ламаюцца ў прамежках паміж хабамі, і спіс ператварае «EIGRP зламаны» ў «філіял 3 не рэгіструецца на хабе 2». Уключыце тунельныя падсеткі, якія чакаеце на кожным звяне, бо неадпаведнасць адрасоў на двух канцах выглядае дакладна як збой пратаколу. Запішыце спіс у заяўку, каб наступная змена параўноўвала з праектам, а не з апошнім здымкам экрана.

Праверце NHRP, затым шлях multicast

Пачніце са стану рэгістрацыі і адлюстраванняў, якія хаб сапраўды трымае. Філіял без дынамічнага запісу на хабе не зарэгістраваны, і ніводны пратакол маршрутызацыі гэтага не выправіць. Затым пераканайцеся, што філіял прымае multicast з адраса NBMA хаба, — гэта асобны радок ад запісу NHS.

show dmvpn
show ip nhrp
show ip nhrp nhs detail
interface Tunnel0
 ip nhrp network-id 1
 ip nhrp nhs 203.0.113.1 nbma 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel mode gre multipoint
 tunnel key 100

Менавіта ip nhrp map multicast радок дазваляе філіялу адпраўляць свае hello на хаб як рэплікаваны multicast праз накладанне, а таксама дазваляе multicast хаба дасягаць зарэгістраваных філіялаў. Без яго unicast праз NHRP працуе, а multicast — не, і менавіта гэтае раздзяленне робіць ping падобным на доказ. Дапаможнік Cisco IOS XE DMVPN апісвае паводзіны multicast на хабе і філіялах для кожнай фазы, таму ўзгадніце сваю канфігурацыю з той фазай, якую вы сапраўды разгарнулі, а не капіруйце фрагмент з іншай тапалогіі.

Праверце ўласную палітыку інтэрфейса EIGRP

Тунель, якога няма ў працэсе EIGRP або які з’яўляецца passive, ніколі не ўтворыць суседства, як бы здарова не выглядала накладанне. Чытайце ўдзел інтэрфейса і табліцу суседзяў разам, бо першае тлумачыць другое.

show ip eigrp interfaces detail Tunnel0
show ip eigrp neighbors detail
show run | section router eigrp
router eigrp 100
 network 10.10.0.0 0.0.0.255
 passive-interface default
 no passive-interface Tunnel0

Аўтэнтыфікацыя і вагі метрык павінны супадаць на абодвух канцах. Ланцуг ключоў з няправільным рэжымам або неадпаведнасць значэння K скідвае hello без відавочнага радка syslog у атрымальніка. Калі схема выкарыстоўвае відавочна настроеных unicast-суседзяў, цалкам трымайцеся гэтай мадэлі, а не накладайце яе зверху на налады multicast, пакуль нешта не ўзнікне.

Трымайце транспарт GRE і ахову IPsec асобна

DMVPN пераносіць multicast унутры GRE, а IPsec ахоўвае пакеты GRE, а не ўнутраны multicast напрамую. Таму агульнае сцвярджэнне, што IPsec не можа пераносіць multicast, для гэтай схемы памылковае і бескарыснае як дыягназ. Праверце профіль IPsec на тунелі, асацыяцыі бяспекі для кожнага peer і стан тунельнага інтэрфейса як тры асобныя факты.

show crypto ipsec sa peer 198.51.100.1
show interfaces Tunnel0 | include line protocol
show ip nhrp multicast

SA, якая паднята і лічыльнікі якой растуць, пакуль EIGRP застаецца ўнізе, вяртае ваша расследаванне вышэй па стэку: пакеты ахоўваюцца і дастаўляюцца, значыць праблема ў тым, якія пакеты пратакол вырашае адпраўляць.

Правярайце маршруты, а не толькі колькасць суседзяў

Як толькі суседства ўтварылася, прачытайце, што яно абвяшчае і ўсталёўвае. На шматпунктавым тунелі split horizon і паводзіны наступнага хопа вызначаюць, ці можа філіял дасягнуць іншага філіяла праз хаб, а сумаванне можа схаваць прэфікс, нават калі суседскія адносіны бездакорныя.

Скончыце дазволенай праграмай паміж двума сайтамі і пацвердзіце шлях, які яна праходзіць. Прамыя скарочаныя шляхі філіял-філіял — гэта патрабаванне перасылкі з уласным станам NHRP і бяспекі, і іх даданне, каб колькасць суседзяў выглядала лепш, звычайна стварае другую праблему.

Запішыце паэтапную схему, адлюстраванне multicast і палітыку EIGRP у адным месцы. Наступнаму інжынеру спатрэбіцца схема, а не стэнаграма.

Падобныя артыкулы