DMVPN fase 3: llegir la drecera en tots dos sentits
Un sol ping directe no demostra una drecera de DMVPN fase 3. Recorreu el camí d'anada i el de tornada i després llegiu per separat l'estat de NHRP, la ruta i IPsec.
Observeu com un ping va d'un spoke a un altre, fa el camí llarg pel hub, i el segon va directe. És temptador donar la drecera per bona en aquest moment. Aquesta conclusió és mig certa. El camí d'anada pot ser una drecera mentre el de tornada encara passa pel hub, i l'estat que demostra cada sentit és un estat diferent. Recorreu tots dos sentits i llegiu tres taules abans d'acceptar el disseny com a saludable.
Comenceu pel camí del paquet que realment podeu veure
Comenceu en un spoke amb una destinació que hauria de ser directa. Seguiu el primer paquet: segueix la ruta del spoke cap al hub, perquè encara no hi ha cap drecera. El hub l'envia endavant i, en un disseny de fase 3, també envia una redirecció a l'origen dient que hi ha un camí millor.
Aquesta redirecció és el desencadenant, no la prova. Diu que el hub ha vist trànsit que es podria optimitzar. No diu que l'origen hagi construït la drecera, que la destinació hagi respost la resolució ni que el camí de tornada la faci servir.
Així, la primera observació útil és un abans i un després: el primer flux pel hub, el flux posterior directe.
Tres estats que semblen un sol túnel
La drecera depèn de tres peces d'estat, i cadascuna té la seva vida útil i la seva comanda.
| State | What it answers | Where to read it |
|---|---|---|
| NHRP cache | Which transport address maps to this overlay address | show ip nhrp |
| Route or shortcut | Where one specific inner prefix is forwarded | show ip route 10.10.20.5 |
| IPsec association | Which peer traffic is protected, and by which SA | show crypto ipsec sa peer 203.0.113.5 |
Una entrada de la memòria cau NHRP assigna una adreça overlay a una adreça de transport NBMA. Una ruta o una drecera decideix com s'envia una destinació interior. Una associació IPsec protegeix el trànsit que en resulti. Una resposta absent pot venir de qualsevol de les tres, i les comandes us diuen quina falta.
Llegiu-les en aquest ordre, perquè una assignació absent fa que les altres dues no interessin.
Recorreu la petició i la resposta per separat
Des del spoke A, demaneu la resolució i mireu què torna. La petició passa pel camí de reenviament NHRP admès, i la destinació pot respondre directament en lloc de fer-ho pel hub. Aquesta asimetria és normal, i per això la resposta és la meitat interessant de l'intercanvi.
Ara invertiu els papers. Envieu de B a A i repetiu les mateixes tres lectures. Un disseny que fa drecera en un sentit i no en l'altre no és simètric, i l'asimetria sol venir d'un prefix que falta en un costat o d'una resolució que mai no va rebre resposta.
La resposta de l'extrem no ha de travessar el hub només perquè la petició ho hagi fet. No ho llegiu com un error ni comenceu a perseguir una fallada d'encaminament que no existeix.
Llegiu la redirecció del hub, no només la seva ruta
La taula de rutes del hub us diu on enviaria el hub un paquet. La redirecció us diu què ha demanat el hub a l'origen que fes amb això. Són fets diferents, i un hub amb la ruta correcta i sense redireccions mantindrà cada flux pel camí llarg indefinidament. Reviseu els esdeveniments NHRP del hub i confirmeu que es generen redireccions per al trànsit que us interessa.
La fase 3 també canvia què significa la summarització. Amb el comportament de drecera, els spokes no necessiten el conjunt complet de rutes remotes específiques que esperava un disseny de fase 2, així que una ruta resumida al spoke no és automàticament una xarxa que falta. Confirmeu la fase i la política d'encaminament abans de llegir un resum com una fallada.
Aquest malentès provoca més tiquets de DMVPN que cap altre.
Registreu la conclusió com un objecte que falta
Acabeu amb un flux d'aplicació autoritzat i la seva resposta, i anoteu per a cada sentit si va fer servir el camí directe. Després escriviu la conclusió com l'objecte que faltava: una assignació, una drecera de reenviament, una associació de protecció o una resposta d'aplicació.
Una adjacència d'encaminament i una associació de seguretat compartida són proves de salut, no proves del camí. Totes dues poden ser perfectes mentre cada paquet encara fa la volta llarga. Comproveu primer la decisió de reenviament i després l'associació que la transporta. L'ordre importa, perquè l'associació es forma igualment.
Aquest hàbit es paga al tiquet següent. «El túnel està aixecat però va lent» es converteix en «B no té cap drecera per a l'amfitrió d'A», i la segona afirmació és una solució de cinc minuts. Guardeu la sortida de les comandes amb la conclusió i tingueu a mà el recorregut de fase 3 del proveïdor.