Odabir stabilnog izvora registracije za članove GET VPN

Neko usmjeri registraciju grupnog člana na loopback adresu i proglasi nestabilnost GET VPN-a riješenom. Ponekad to i jeste. Često je loopback dostupan samo iz članove vlastite tablice rutiranja i niotkuda drugdje, pa se registracija i dalje ruši sljedeći put kada uplink koji ju je nosio zatreperi. Adresa registracije je identitet na kontrolnoj ravni i pomaže samo kada postoji stvarna putanja u oba smjera. Svjesno je odabrati vrijedi truda i to je manja promjena nego što narodna mudrost sugeriše.

Šta adresa registracije identificira

U GDOI implementaciji grupni član se registrira kod servera ključeva i od njega dobija grupnu politiku. Adresa koju server ključeva evidentira jest identitet člana za taj razgovor.

Taj identitet pokriva kontrolni razgovor: registraciju, obnavljanje ključeva i preuzimanje politike. Ona ne postaje izvor klijentskog saobraćaja, i ne mijenja koja sučelja štite koje tokove.

Držati to dvoje odvojenim prvi je korak, jer većina zabune oko ove postavke dolazi iz očekivanja da će promjena na kontrolnoj ravni popraviti simptom na podatkovnoj ravni.

Loopback vrijedi onoliko koliko vrijedi njegova ruta

Loopback daje članu logičku adresu koja ne nestaje kada jedan fizički uplink zakaže. To je stvarna prednost na ruteru s više putanja do servera ključeva.

Ali to je ipak samo adresa. Ako server ključeva nema povratnu rutu do nje, registracija pada isto kao i prije. Ako članova tablica rutiranja dolazi do servera ključeva samo preko jednog uplinka, loopback je stabilan, a putanja nije.

Provjerite dostupnost u oba smjera kroz svaki uplink koji namjeravate preživjeti. Loopback koji ostaje administrativno aktivan ne dokazuje ništa o prosljeđivanju, a kvar se pojavljuje kao nedostupan server ključeva, a ne kao problem sa sučeljem. Zapišite provjeru kao naredbu po uplinku, a ne kao pretpostavku. Tada sljedeći prozor za promjene počinje od dokaza, a ne od dijagrama.

Držite kontrolu i zaštićeni saobraćaj odvojeno

Ciscov vodič za GDOI zaobilazak dokumentira sučelje registracije i odnos između registracije i obrade zaobilaska. Pročitajte ponašanje za izdanje koje stvarno koristite, umjesto da jednu frazu tretirate kao univerzalnu naredbu.

Pregledajte filtriranje i prevođenje na kontrolnoj putanji i potvrdite da saobraćaj upravljanja ključevima nije slučajno uvučen u zaštitnu politiku koja zavisi od same grupne politike koju pokušava dohvatiti. Ta kružna zavisnost klasičan je način da funkcionalna implementacija padne nakon promjene politike.

Politika na podatkovnoj ravni je zaseban dizajn. Promjena toga odakle registracija dolazi ostavlja zaštićene tokove, selektore i pravila zaobilaska točno tamo gdje su bila.

Provjerite identitet kroz tranziciju

Prije promjene zabilježite grupu, odabranu adresu registracije, odredište servera ključeva, kontekst rutiranja i dopuštenu kontrolnu putanju. Nakon odobrene promjene uplinka ponovo pregledajte prikaz registriranih članova na serveru ključeva i kontrolno stanje člana.

Ono što želite vidjeti jest predviđena logička završna točka još dostupna i još predstavljena onako kako ste je dizajnirali. Ono što ne želite jest druga registracija s adrese koju niste predvidjeli, jer tako duplikati unosa članova i nastaju.

Zatim odvojeno testirajte zaštićeni aplikacijski saobraćaj. Prijenos može uspjeti dok sljedeće obnavljanje ključeva nema kamo otići, a uspješna registracija ne govori ništa o tome je li određeni tok ispravno odabran i rutiran.

Što stabilan izvor ne popravlja

Ne uklanja duplikate unosa članova nastale prethodnom pogrešnom konfiguracijom. Ne popravlja kvar obnavljanja ključeva uzrokovan neusklađenošću politika između člana i servera ključeva. Ne preživljava kvar fizičke putanje koji je uklonio jedinu rutu do servera ključeva.

Ono što čini jest da uklanja jednu varijablu: identitet se više ne mijenja kada se promijeni adresa uplinka. To vrijedi imati i to je jedan red u dizajnu, a ne cijeli dizajn.

Redoslijed rada: imenujte kontrolnu putanju, odaberite adresu s rutom u oba smjera, potvrdite prikaz servera ključeva, zatim odvojeno testirajte zaštićeni saobraćaj. Ako registracija i dalje pada, loopback nikada nije bio problem.