Іерархічны DMVPN: адна воблака на кожныя адносіны тунэля

Філіяльны вузел паспяхова рэгіструецца ў сваім рэгіянальным цэнтры і ўсё яшчэ не можа дасягнуць сэрвісу ў іншым рэгіёне. Тунэль падняты, стан NHS выглядае здаровым, і збой праяўляецца толькі для прызначэнняў, якія перасякаюць мяжу ўзроўню. Такі ўзор звычайна азначае, што праект ніколі не ўказваў, якія прылады ўдзельнічаюць у якой воблаку DMVPN, таму ўзроўні будаваліся інтуітыўна і цяпер не ўзгадняюцца.

Сімптом праяўляецца на мяжы ўзроўняў

У іерархічным праекце цэнтральны цэнтр, некалькі рэгіянальных цэнтраў і мноства філіяльных вузлоў займаюць кожны сваю пазіцыю. Рэгіянальны цэнтр можа валодаць больш чым аднымі адносінамі тунэля, і філіялам не трэба рэгістравацца ў кожнай цэнтральнай кропцы. Важныя шляхі — ад філіяла да рэгіянальнага сэрвісу, ад філіяла да іншага дазволенага рэгіянальнага вузла і ад філіяла да цэнтральнага прызначэння.

Калі адзін з гэтых шляхоў адмаўляе, а астатнія працуюць, праблема амаль заўсёды ў адсутным або супярэчлівым вызначэнні ролі, а не ў зламаным тунэлі. Запішыце меркаваныя шляхі і параўнайце іх з тым, што прылады фактычна пабудавалі. Гэта параўнанне займае гадзіну і прадухіляе тыдзень здагадак. Захоўвайце яго разам з праектным дакументам.

Адна воблака, адзін кантракт інтэрфейса

Для кожнай воблакі запішыце тунэльны інтэрфейс, адрасацыю верхняга ўзроўню, лакальную крыніцу базавай сеткі, адносіны NHS і NBMA, дастаўку многаадраснай рассылкі і палітыку аховы. Таксама ўкажыце, якія маршруты перасякаюць рэгіянальны і цэнтральны кантэксты, бо менавіта гэты сказ і ёсць праект.

Рэгіянальны цэнтр з двума тунэльнымі інтэрфейсамі мае патрэбу ў двух кантрактах, а не адным з двума адрасамі. Крыніца базавай сеткі, дамен NHRP і маршруты могуць адрознівацца для кожнага інтэрфейса, і дакумент, які іх аб'ядноўвае, увядзе ў зман таго, хто наладжвае другі.

Ідэнтыфікатары — лакальны кантэкст, а не кантроль доступу

Ідэнтыфікатары сеткі NHRP і ключы GRE — гэта два значэнні, якія часцей за ўсё памылкова ўспрымаюць як глабальныя налады. Кіраўніцтва па NHRP у IOS XE апісвае ідэнтыфікатар сеткі як лакальна значны, таму аднолькавыя нумары на аддаленых маршрутызатарах нічога не аўтэнтыфікуюць, а змена лакальнага нумара аднаго маршрутызатара не стварае мяжы доступу.

Ключ GRE, калі праект яго выкарыстоўвае, дапамагае вызначыць кантэкст тунэля, які прымае, і ўзгадняецца паміж канчатковымі кропкамі, якія падзяляюць гэты кантэкст. Ён не з'яўляецца паролем і не замяняе аўтэнтыфікацыю IKE або палітыку маршрутызацыі. Разглядайце абодва значэнні як канфігурацыйны кантэкст, які павінен супадаць у межах адносін, а не як сродкі бяспекі, што раздзяляюць рэгіёны.

Маршрутызуйце паміж узроўнямі свядома

Вызначце, якія прэфіксы рэгіянальны цэнтр абвяшчае ўверх і якія цэнтральныя прызначэнні прапануе сваім філіялам. Затым праверце фактычны наступны хоп і паводзіны скарачэння, спецыфічныя для фазы, для кожнага шляху, бо зводны маршрут і скарачэнне могуць даць зусім іншае перанакіраванне, чым падказвае схема.

Выкарыстоўвайце маршрутызацыю і палітыку доступу, каб забяспечыць рэгіянальнае раздзяленне. Калі філіял не павінен напрамую дасягаць іншага рэгіёна, гэта павінны гаварыць маршрут і палітыка, а не спадзяванне на ідэнтыфікатар, які ніколі не быў прызначаны гэта забяспечваць. Запішыце палітыку побач з ідэнтыфікатарам. Інакш наступны інжынер будзе меркаваць, што працу выконвае нумар.

Дыягнастуйце нечаканае скарачэнне

Калі філіял спрабуе стварыць прамыя адносіны з цэнтральнай кропкай, праверце яго маршрут, яго адлюстраванне NHRP і выбраны кантэкст тунэля, перш чым выпадкова змяняць ідэнтыфікатары. Адсутная дасягальнасць, ненаўмысныя адносіны NHS і законнае, але недазволенае скарачэнне патрабуюць трох розных выпраўленняў.

Кіраўніцтва па канфігурацыі DMVPN паказвае налады тунэля і NHRP разам, і менавіта таму межы трэба спачатку падзяліць на паперы. Запішыце кантракты воблакі, трымайце маршруты ўзроўняў яўнымі, і наступны збой на мяжы будзе на што паказаць.