OSPF ці EIGRP праз VTI на ASA: якую з іх падтрымлівае вашая версія

Большасць спрэчак вакол OSPF і EIGRP мяркуе, што тунель ужо можа пераносіць пратакол, і менавіта гэта дапушчэнне на ASA варта праверыць першым. Параўнанне робіцца цікавым толькі пасля таго, як пацверджаны вобраз, тып VTI і шлях multicast. Памыліцеся з гэтым парадкам — і вы страціце паўдня на наладку таймераў у тунелі, які ніколі не ўтворыць суседства. Я пачынаю кожны такі праект з нататкаў да версіі і бягучай канфігурацыі, а не з перавагі пратакола.

Версія вырашае раней за пратакол

Кіраўніцтва Cisco па VTI для ASA 9.24 — прыдатная аснова для дакументацыі: у ім апісаны статычныя і дынамічныя VTI і пералічаны статычная маршрутызацыя, BGP, OSPF і EIGRP. У гісторыі функцый падтрымка OSPFv2 і EIGRP на VTI аднесена да 9.19(1). Усё, што старэйшае, — іншая размова.

Такім чынам, першыя два пытанні сумныя і вырашальныя:

Сцвярджэнне, што ASA не можа выкарыстоўваць VTI або не можа пераносіць IGP, было слушным для некаторых старых вобразаў і не з'яўляецца актуальнай матрыцай падтрымкі. Гэтак жа кіраўніцтва 9.24 не з'яўляецца ўказаннем абнаўляць кожны прыбор. Яно кажа, што падтрымлівае гэтая версія, а вашая разгорнутая версія павінна адказаць за сябе.

Праходжанне unicast не значыць, што IGP сфармуецца

Тое ж кіраўніцтва адзначае, што unicast праходзіць па змаўчанні, а multicast трэба ўключыць для OSPFv2 або EIGRP на VTI, з дакументаванымі абмежаваннямі на групы multicast. Гэты адзін сказ тлумачыць большасць няўдалых суседстваў, якія я бачыў у гэтым праекце. Працоўны ping праз тунель або зялёны статус IPsec даказвае толькі шлях unicast. Выяўленне пратакола патрабуе шляху multicast, і яны наладжваюцца асобна.

Праверце канфігурацыю інтэрфейса тунеля на наяўнасць гэтай налады multicast, перш чым кранаць таймеры hello або hold. Калі налады няма, суседства не павольнае — яно немагчымае.

OSPF і EIGRP побач у адным тунелі

У самім тунелі два пратаколы выглядаюць так жа, як і ў іншых месцах. OSPF патрабуе адпаведнага тыпу сеткі, зоны, аўтэнтыфікацыі і параметраў суседзяў; EIGRP патрабуе свайго нумара AS і звязаных з ім налад узроўню інтэрфейса.

Пастка — капіяванне апісанняў суседзяў з іншай мадэлі тунеля. Парады пра статычных суседзяў у схеме без VTI існавалі, каб пазбегнуць multicast, і яны не пераносяцца на VTI, які павінен пераносіць пратакол натуральна. Наладзьце падтрымліваныя паводзіны інтэрфейса, а затым дайце пратаколу сфармаваць сваё суседства.

Затым параўнайце па восях, якія сапраўды адрозніваюцца ў вашай тапалогіі: сумяшчальнасць з іншым бокам, паводзіны збежнасці, якія вы можаце праверыць, і веды вашай каманды. Гістарычны анекдот пра тое, што адзін пратакол хутчэйшы або лягчэйшы, не з'яўляецца вымярэннем вашай сеткі.

Суседзі не роўныя ўсталяваным маршрутам

Калі суседства ўзнялося, аддзяліце тое, што абвяшчаецца, ад таго, што прымаецца. Паглядзіце, якія прэфіксы філіялаў абвяшчае кожны бок, якія атрымліваюцца, якія выбіраюцца і якія сапраўды трапляюць у табліцу маршрутызацыі. Абсяг імпарту, экспарту і пераразмеркавання павінен быць свядомым, а не суцэльнай рэкламай усяго, што ведае прылада.

show ospf neighbor і show eigrp neighbors паведамляе, што сеанс жывы. show route паведамляе, ці прыйшоў прэфікс філіяла, і гэта розныя пытанні.

Шлях прыкладання — зноў трэцяе пытанне. Адносіны суседства размяркоўваюць дасяжнасць; яны не даюць дазволу праз міжсеткавы экран і не даказваюць, што селектары трафіку і правілы фільтрацыі ўзгоднены. Праверце дазволены паток і шлях адказу зацверджаным тэстам, замест таго каб меркаваць, што маршрут азначае палітыку.

Што павінна зафіксаваць завершанае параўнанне

Запішыце інтэрфейс тунеля, версію, якая яго падтрымлівае, абмен кіравання, які вы праверылі, і палітыку маршрутызацыі, якую вы абмежавалі. Дадайце наладу multicast, бо менавіта гэтая дэталь маўкліва вырашае, ці працуе ўсё астатняе. Трымайце гэты запіс побач з разгорнутай версіяй, каб пазнейшае змяненне функцый можна было разгледзець, не пачынаючы з дапушчэння, якое ўжо страціла сілу.

Калі чагосьці з гэтых чатырох не хапае, у вас ёсць перавага, а не праект. Спачатку выпраўце адсутны факт; выбар пратакола — самая простая частка.