DMVPN Phase 3: den Shortcut in beide Richtungen lesen

Sie sehen einen Ping von Spoke zu Spoke gehen, er nimmt den langen Weg über den Hub, und der zweite geht direkt. Es ist verlockend, den Shortcut an diesem Punkt für funktionsfähig zu erklären. Diese Schlussfolgerung ist halb richtig. Der Hinweg kann ein Shortcut sein, während der Rückweg noch über den Hub läuft, und der Zustand, der jede Richtung beweist, ist ein anderer Zustand. Gehen Sie beide Richtungen durch und lesen Sie drei Tabellen, bevor Sie das Design als gesund akzeptieren.

Beginnen Sie mit dem Paketpfad, den Sie tatsächlich sehen

Beginnen Sie an einem Spoke mit einem Ziel, das direkt sein sollte. Verfolgen Sie das erste Paket: Es folgt der Route des Spokes zum Hub, weil es noch keinen Shortcut gibt. Der Hub leitet es weiter und sendet in einem Phase-3-Design außerdem eine Umleitung an die Quelle, die besagt, dass ein besserer Pfad existiert.

Diese Umleitung ist der Auslöser, nicht der Beweis. Sie sagt, dass der Hub Traffic gesehen hat, der optimiert werden könnte. Sie sagt nicht, dass die Quelle den Shortcut aufgebaut hat, dass das Ziel die Auflösung beantwortet hat oder dass der Antwortpfad ihn nutzt.

Die erste nützliche Beobachtung ist also ein Vorher und Nachher: der erste Flow über den Hub, der spätere Flow direkt.

Drei Zustände, die wie ein Tunnel aussehen

Der Shortcut hängt von drei Zustandsteilen ab, und jeder hat seine eigene Lebensdauer und seinen eigenen Befehl.

Ein NHRP-Cache-Eintrag ordnet eine Overlay-Adresse einer NBMA-Transportadresse zu. Eine Route oder ein Shortcut entscheidet, wohin ein bestimmtes inneres Ziel weitergeleitet wird. Eine IPsec-Assoziation schützt den daraus resultierenden Traffic. Eine fehlende Antwort kann von einem der drei kommen, und die Befehle sagen Ihnen, welcher fehlt.

Lesen Sie sie in dieser Reihenfolge, denn eine fehlende Zuordnung macht die anderen beiden uninteressant.

Gehen Sie Anfrage und Antwort getrennt durch

Fragen Sie von Spoke A die Auflösung an und beobachten Sie, was zurückkommt. Die Anfrage geht über den unterstützten NHRP-Weiterleitungspfad, und das Ziel kann direkt antworten statt über den Hub. Diese Asymmetrie ist normal, und deshalb ist die Antwort die interessante Hälfte des Austauschs.

Tauschen Sie nun die Rollen. Senden Sie von B nach A und wiederholen Sie dieselben drei Lesungen. Ein Design, das eine Richtung beschleunigt und die andere nicht, ist nicht symmetrisch, und die Asymmetrie kommt meist von einem fehlenden Präfix auf einer Seite oder von einer Auflösung, die nie eine Antwort erhielt.

Die Antwort des Peers muss nicht den Hub passieren, nur weil die Anfrage es tat. Lesen Sie das nicht als Fehler und jagen Sie keinem Routingfehler hinterher, den es nicht gibt.

Lesen Sie die Umleitung des Hubs, nicht nur seine Route

Die Routentabelle des Hubs sagt Ihnen, wohin der Hub ein Paket senden würde. Die Umleitung sagt Ihnen, was der Hub die Quelle gebeten hat, dagegen zu tun. Das sind verschiedene Fakten, und ein Hub mit korrekter Route und ohne Umleitungen hält jeden Flow unbegrenzt auf dem langen Weg. Prüfen Sie die NHRP-Ereignisse des Hubs und bestätigen Sie, dass für den Traffic, der Sie interessiert, Umleitungen erzeugt werden.

Phase 3 ändert auch, was Summarisierung bedeutet. Mit Shortcut-Verhalten brauchen Spokes nicht die vollständige Menge spezifischer Remote-Routen, die ein Phase-2-Design erwartete, sodass eine zusammengefasste Route am Spoke nicht automatisch ein fehlendes Netz ist. Bestätigen Sie die Phase und die Routing-Policy, bevor Sie eine Zusammenfassung als Fehler lesen.

Dieses eine Missverständnis verursacht mehr DMVPN-Tickets als alles andere.

Notieren Sie die Schlussfolgerung als fehlendes Objekt

Schließen Sie mit einem autorisierten Anwendungsfluss und seiner Antwort ab und notieren Sie für jede Richtung, ob sie den direkten Pfad genutzt hat. Schreiben Sie die Schlussfolgerung dann als das Objekt, das fehlte: eine Zuordnung, einen Weiterleitungs-Shortcut, eine Schutzassoziation oder eine Anwendungsantwort.

Eine Routing-Nachbarschaft und eine gemeinsame Sicherheitsassoziation sind Belege für Gesundheit, nicht für den Pfad. Beide können perfekt sein, während jedes Paket trotzdem den langen Weg nimmt. Prüfen Sie zuerst die Weiterleitungsentscheidung, dann die Assoziation, die sie trägt. Die Reihenfolge ist wichtig, weil die Assoziation ohnehin entsteht.

Diese Gewohnheit zahlt sich beim nächsten Ticket aus. „Tunnel ist oben, aber langsam“ wird zu „B hat keinen Shortcut für A's Host“, und die zweite Aussage ist eine Fünf-Minuten-Korrektur. Halten Sie die Befehlsausgabe bei der Schlussfolgerung und die Phase-3-Anleitung des Herstellers daneben.