DMVPN фаза 3: четене на прекия път в двете посоки
Един директен ping не доказва прекия път в DMVPN фаза 3. Проследете пътя напред и назад, след което прочетете отделно състоянието на NHRP, маршрута и IPsec.
Наблюдавате как един ping минава от spoke към spoke по дългия път през hub, а вторият минава директно. Изкушаващо е в този момент да обявите прекия път за работещ. Това заключение е наполовина вярно. Пътят напред може да е прекият, докато обратният път все още минава през hub, а състоянието, което доказва всяка посока, е различно състояние. Проследете двете посоки и прочетете три таблици, преди да приемете дизайна за здрав.
Започнете с пътя на пакета, който наистина виждате
Започнете от spoke с дестинация, която трябва да е директна. Проследете първия пакет: той следва маршрута на spoke към hub, защото още няма пряк път. Hub го препраща и в дизайн фаза 3 също изпраща пренасочване към източника, което казва, че съществува по-добър път.
Това пренасочване е задействащият механизъм, не доказателството. То казва, че hub е видял трафик, който може да бъде оптимизиран. То не казва, че източникът е изградил прекия път, че дестинацията е отговорила на резолюцията или че пътят на отговора го използва.
Затова първото полезно наблюдение е преди и след: първият поток през hub, по-късният поток директно.
Три състояния, които изглеждат като един тунел
Прекият път зависи от три части състояние и всяка има свой собствен живот и своя собствена команда.
| State | What it answers | Where to read it |
|---|---|---|
| NHRP cache | Which transport address maps to this overlay address | show ip nhrp |
| Route or shortcut | Where one specific inner prefix is forwarded | show ip route 10.10.20.5 |
| IPsec association | Which peer traffic is protected, and by which SA | show crypto ipsec sa peer 203.0.113.5 |
Записът в кеша на NHRP съпоставя overlay адрес с транспортен адрес NBMA. Маршрут или пряк път решава как се препраща една вътрешна дестинация. IPsec асоциация защитава какъвто и да е резултатният трафик. Липсващ отговор може да дойде от което и да е от трите и командите показват кой липсва.
Четете ги в този ред, защото липсващо съответствие прави другите две безинтересни.
Проследете заявката и отговора поотделно
От spoke A поискайте резолюцията и наблюдавайте какво се връща. Заявката минава по поддържания път за препращане на NHRP и дестинацията може да отговори директно, вместо през hub. Тази асиметрия е нормална и затова отговорът е интересната половина на обмена.
Сега разменете ролите. Изпратете от B към A и повторете същите три четения. Дизайн, който прави пряк път в една посока и не в другата, не е симетричен, а асиметрията обикновено идва от липсващ префикс от една страна или от резолюция, която така и не е получила отговор.
Отговорът на партньора не е длъжен да минава през hub само защото заявката е минала. Не четете това като грешка и не започвайте да търсите неизправност в маршрутизацията, която не съществува.
Четете пренасочването на hub, не само маршрута му
Таблицата с маршрути на hub ви казва къде hub би изпратил пакет. Пренасочването ви казва какво hub е помолил източника да направи по въпроса. Това са различни факти и hub с правилен маршрут и без пренасочвания ще задържи всеки поток по дългия път за неопределено време. Проверете събитията на NHRP в hub и потвърдете, че се генерират пренасочвания за трафика, който ви интересува.
Фаза 3 променя и какво означава обобщаването. С поведение на пряк път spokes не се нуждаят от пълния набор от конкретни отдалечени маршрути, който дизайнът фаза 2 очакваше, така че обобщен маршрут при spoke не е автоматично липсваща мрежа. Потвърдете фазата и политиката за маршрутизация, преди да четете обобщението като неизправност.
Това едно недоразумение причинява повече DMVPN тикети от всяко друго.
Запишете заключението като липсващ обект
Завършете с разрешен поток на приложение и неговия отговор и отбележете за всяка посока дали е използвала директния път. След това запишете заключението като обекта, който е липсвал: съответствие, прекият път за препращане, асоциация за защита или отговор на приложение.
Съседство в маршрутизацията и споделена асоциация за сигурност са доказателство за здраве, а не доказателство за пътя. И двете могат да са безупречни, докато всеки пакет все още обикаля по дългия път. Проверете решението за препращане първо, след това асоциацията, която го носи. Редът е важен, защото асоциацията се формира и в двата случая.
Този навик се отплаща при следващия тикет. „Тунелът е вдигнат, но бавен“ се превръща в „B няма пряк път до хоста на A“, а второто твърдение е поправка за пет минути. Пазете изхода от командите заедно със заключението и дръжте ръководството на доставчика за фаза 3 до него.