Sousedé EIGRP se na překryvu DMVPN nezvednou

Unicast přes překryv funguje a sousedství přesto selhává, proto zkontrolujte multicast replikaci v NHRP, politiku EIGRP na tunelu a IPsec jako tři oddělené vrstvy.

Tunel je nahoře, jeden spoke dokáže pingnout druhý a EIGRP přesto na hubu neukazuje žádného souseda. Tahle kombinace je normální, nikoli záhadná: ping dokazuje unicast dostupnost přes NHRP a EIGRP hello zprávy jsou multicast. Na překryvu DMVPN je model doručování směrovacího protokolu druhá konfigurační plocha a právě tu lidé přeskakují, protože první plocha už vypadá zdravě. Každá vrstva níže se kontroluje vlastním příkazem, takže selhání v jedné vás nepošle zpět na začátek seznamu.

Zapište si sousedství, která očekáváte

Před jakýmkoli příkazem show si udělejte krátký seznam: který spoke se má spojit s kterým hubem, přes které tunelové rozhraní a v kterém autonomním systému EIGRP. Návrhy s více huby selhávají v mezerách mezi huby, a seznam promění „EIGRP je rozbité“ na „spoke 3 se neregistruje na hub 2“. Zahrňte tunelové podsítě, které na každém spoji očekáváte, protože neshoda adres mezi oběma konci vypadá přesně jako selhání protokolu. Zapište seznam do tiketu, aby příští směna porovnávala s návrhem, a ne s posledním screenshotem.

Zkontrolujte NHRP, potom multicastovou cestu

Začněte stavem registrace a mapováními, která hub skutečně drží. Spoke bez dynamického záznamu na hubu se nezaregistroval a žádný směrovací protokol to nespraví. Pak potvrďte, že spoke přijímá multicast z NBMA adresy hubu, což je samostatný řádek od záznamu NHS.

show dmvpn
show ip nhrp
show ip nhrp nhs detail
interface Tunnel0
 ip nhrp network-id 1
 ip nhrp nhs 203.0.113.1 nbma 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel mode gre multipoint
 tunnel key 100

Právě ip nhrp map multicast řádek umožňuje spoku posílat jeho hello na hub jako replikovaný multicast přes překryv a umožňuje multicastu hubu dosáhnout registrovaných spoků. Bez něj unicast přes NHRP funguje a multicast ne, a to je přesně to rozdělení, které dělá z pingu důkaz. Příručka Cisco IOS XE DMVPN dokumentuje multicastové chování hubu a spoků pro každou fázi, proto slaďte svou konfiguraci s fází, kterou jste skutečně nasadili, místo abyste kopírovali fragment z jiné topologie.

Zkontrolujte vlastní politiku rozhraní EIGRP

Tunel, který není v procesu EIGRP nebo je passive, nikdy nevytvoří sousedství, ať je překryv jakkoli zdravý. Čtěte účast rozhraní a tabulku sousedů společně, protože první vysvětluje druhé.

show ip eigrp interfaces detail Tunnel0
show ip eigrp neighbors detail
show run | section router eigrp
router eigrp 100
 network 10.10.0.0 0.0.0.255
 passive-interface default
 no passive-interface Tunnel0

Autentizace a váhy metriky musí na obou koncích souhlasit. Klíčový řetězec se špatným režimem nebo neshoda hodnoty K zahodí hello bez zjevného řádku syslog u příjemce. Pokud návrh používá explicitně nakonfigurované unicast sousedy, držte se tohoto modelu úplně, místo abyste ho vrstvili na multicast nastavení, dokud se něco nezvedne.

Držte GRE přenos a IPsec ochranu odděleně

DMVPN přenáší multicast uvnitř GRE a IPsec chrání GRE pakety, nikoli vnitřní multicast přímo. Proto je obecné tvrzení, že IPsec neumí přenášet multicast, pro tento návrh nesprávné a jako diagnóza nepoužitelné. Zkontrolujte IPsec profil na tunelu, bezpečnostní asociace pro každý peer a stav tunelového rozhraní jako tři oddělené skutečnosti.

show crypto ipsec sa peer 198.51.100.1
show interfaces Tunnel0 | include line protocol
show ip nhrp multicast

SA, která je nahoře a jejíž čítače se hýbou, zatímco EIGRP zůstává dole, vrací vaše vyšetřování zpět nahoru po zásobníku: pakety jsou chráněny a doručovány, takže problém je v tom, které pakety protokol volí odeslat.

Ověřujte trasy, ne jen počet sousedů

Jakmile se sousedství vytvoří, přečtěte si, co inzeruje a instaluje. Na multipoint tunelu rozhoduje split horizon a chování next-hopu, zda se spoke dostane k jinému spoku přes hub, a sumarizace může skrýt prefix, i když je sousedský vztah dokonalý.

Skončete povolenou aplikací mezi dvěma lokalitami a potvrďte cestu, kterou jde. Přímé zkratky spoke-to-spoke jsou požadavek na forwardování s vlastním NHRP a bezpečnostním stavem a jejich přidání, aby počet sousedů vypadal lépe, obvykle vytvoří druhý problém.

Zapište fázový návrh, multicast mapování a politiku EIGRP na jedno místo. Další inženýr bude potřebovat návrh, ne přepis.

Související články