OSPF ili EIGRP preko ASA VTI: koje podržava vaše izdanje

Većina rasprava OSPF protiv EIGRP pretpostavlja da tunel već može prenositi protokol, a na ASA je upravo ta pretpostavka dio koji prvo treba provjeriti. Poređenje postaje zanimljivo tek nakon što se potvrde image, tip VTI i multicast put. Pogriješite li s tim redoslijedom, potrošit ćete popodne na podešavanje tajmera na tunelu koji nikada neće uspostaviti susjedstvo. Svaki od ovih dizajna započinjem napomenama o izdanju i trenutnom konfiguracijom, a ne preferencijom protokola.

Izdanje odlučuje prije protokola

Ciscov vodič za VTI na ASA 9.24 je upotrebljiva dokumentacijska osnova: opisuje statičke i dinamičke VTI i navodi statičko usmjeravanje, BGP, OSPF i EIGRP. Njegova historija funkcija smješta podršku za OSPFv2 i EIGRP na VTI u 9.19(1). Sve starije od toga je druga priča.

Dakle, prva dva pitanja su dosadna i presudna:

Tvrdnja da ASA ne može koristiti VTI ili ne može nositi IGP bila je tačna za neke starije image i nije trenutna matrica podrške. Isto tako, vodič za 9.24 nije uputstvo da se svaki uređaj nadogradi. On vam kaže šta to izdanje podržava, a vaše implementirano izdanje mora samo odgovoriti za sebe.

Prolaz unicasta ne znači da će se IGP formirati

Isti vodič napominje da unicast prolazi po defaultu i da se multicast mora omogućiti za OSPFv2 ili EIGRP na VTI, uz dokumentovana ograničenja multicast grupa. Ta jedna rečenica objašnjava većinu neuspjelih susjedstava koja sam vidio na ovom dizajnu. Ping koji radi kroz tunel ili zeleni IPsec status dokazuje samo unicast put. Otkrivanje protokola treba multicast put, a to dvoje se konfiguriše odvojeno.

Provjerite konfiguraciju tunelskog interfejsa za tu multicast postavku prije nego što dirnete hello ili hold tajmere. Ako postavke nema, susjedstvo nije sporo, ono je nemoguće.

OSPF i EIGRP jedan uz drugi na istom tunelu

Na samom tunelu dva protokola izgledaju kao i drugdje. OSPF treba odgovarajući tip mreže, oblast, autentifikaciju i parametre susjeda; EIGRP treba svoj AS broj i postavke na nivou interfejsa koje idu s njim.

Zamka je kopiranje naredbi za susjede s drugog modela tunela. Savjet o statičkim susjedima u dizajnu bez VTI postojao je da bi se izbjegao multicast i ne prenosi se na VTI od kojeg se očekuje da protokol nosi nativno. Konfigurišite podržano ponašanje interfejsa, a zatim pustite protokolu da formira vlastito susjedstvo.

Zatim uporedite po osama koje se zaista razlikuju za vašu topologiju: interoperabilnost s drugom stranom, ponašanje konvergencije koje možete testirati i operativno znanje u vašem timu. Historijska anegdota o tome da je jedan protokol brži ili lakši nije mjerenje vaše mreže.

Susjedi nisu jednaki instaliranim rutama

Kada je susjedstvo podignuto, odvojite ono što se originira od onoga što se prihvata. Pogledajte koje prefikse ogranaka svaka strana oglašava, koji se primaju, koji se biraju i koji zaista stižu u tabelu rutiranja. Obim uvoza, izvoza i redistribucije treba biti namjern, a ne opšta reklama svega što uređaj zna.

show ospf neighbor i show eigrp neighbors vam kaže da je sesija živa. show route vam kaže da li je prefiks ogranka stigao, a to su različita pitanja.

Aplikacijski put je opet treće pitanje. Susjedski odnos distribuira dostupnost; ne daje dozvolu kroz firewall i ne dokazuje da se selektori saobraćaja i pravila filtriranja slažu. Provjerite dozvoljeni tok i njegov put odgovora odobrenim testom umjesto da pretpostavljate da ruta podrazumijeva politiku.

Šta završeno poređenje treba zabilježiti

Zapišite tunelski interfejs, izdanje koje ga podržava, kontrolnu razmjenu koju ste provjerili i politiku ruta koju ste ograničili. Dodajte multicast postavku, jer je to detalj koji tiho odlučuje hoće li išta od ostalog raditi. Držite taj zapis uz implementirano izdanje kako bi se kasnija promjena funkcije mogla pregledati bez ponovnog početka od pretpostavke koja je u međuvremenu istekla.

Ako bilo čega od ta četiri nema, imate preferenciju, a ne dizajn. Prvo popravite nedostajuću činjenicu; izbor protokola je lakši dio.