Unnummerierter Tunnel: Welche Adresse leiht er sich?

Ein unnummerierter Tunnel überspringt den Schritt, in dem Sie ein Subnetz für die logische Schnittstelle erfinden, aber er überspringt die Adressierung nicht ganz. Die Implementierung braucht weiterhin eine lokale IP-Identität, also leiht sie sich die Adresse einer anderen konfigurierten Schnittstelle. Dieser Spender ist nun Teil Ihres Designs: Ändert sich seine Adresse oder flappt seine Schnittstelle, folgt das IP-Verhalten des Tunnels. Drei Entscheidungen werden in den meisten Darstellungen vermischt, und ihre Trennung verhindert eine Konfiguration, die korrekt aussieht und nichts routet.

Behandeln Sie den Spender als Designentscheidung, nicht als Syntaxdetail.

Drei Adressrollen, getrennt gehalten

Die äußere Quelle ist die Adresse, die Tunnelpakete über das Underlay trägt, und sie ist es, die der Peer erreichen können muss. Die geliehene Adresse ist die Identität, die die unnummerierte logische Schnittstelle für die IP-Verarbeitung nutzt, sobald Pakete dekapsuliert sind. Die geschützten Präfixe sind die LAN-Netze, deren Verkehr den Tunnel queren soll, und sie werden von einem Routingprotokoll angekündigt, nicht von der Tunneladresse. Eine Schnittstelle als unnummeriert zu markieren, weist keine dieser Rollen den anderen zu.

Diese Trennung erklärt eine häufige Verwechslung: Eine Adresse zu leihen übergibt nicht das gesamte Ethernet-Segment des Spenders an den entfernten Peer.

Die Spenderschnittstelle wählen

Ein Loopback ist meist der bessere Spender, weil seine Adresse stabil, immer up und von keiner einzelnen physischen Verbindung abhängig ist. Aus einer LAN-Schnittstelle zu leihen koppelt den Tunnel an deren Zustand und Adressvergabe, was ein anderer betrieblicher Kompromiss ist: bequem im Labor, fragil, wenn das LAN neu adressiert wird. Bestätigen Sie, dass die Plattform unnummerierten Betrieb für den Tunneltyp unterstützt, den Sie bauen, bevor Sie sich für eines von beidem entscheiden.

Welchen Spender Sie auch wählen, dokumentieren Sie ihn als Abhängigkeit im Änderungsnachweis neben der Tunnelkonfiguration selbst.

Den Tunnel konfigurieren und zurücklesen

Das Beispiel unten ist ein Multipoint-GRE-Tunnel auf Routern der IOS-Familie, der ein Loopback leiht und seine äußere Quelle auf die Underlay-Schnittstelle richtet. Die NHRP-Identität ist von der geliehenen Adresse getrennt und muss ausdrücklich konfiguriert werden.

interface Loopback0
 ip address 10.255.255.1 255.255.255.255
interface Tunnel0
 ip unnumbered Loopback0
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 ip nhrp network-id 100
! verify
show interfaces Tunnel0 | include line protocol|Tunnel source
show ip interface brief | include Tunnel|Loopback
show ip nhrp

Lesen Sie zuerst die Schnittstellenzeile: Ein unnummerierter Tunnel, der down meldet, routet unabhängig von der geliehenen Adresse nicht. Prüfen Sie dann, ob der Spender up ist und seine Adresse die beabsichtigte ist, denn ein neu adressiertes Loopback ändert stillschweigend die Identität, die der Tunnel präsentiert.

Schließen Sie ab, indem Sie die Routingtabelle auf die geschützten Präfixe und die Nachbarschaft über den Tunnel prüfen, denn ein korrekter Schnittstellenzustand beweist die Erreichbarkeit von keinem von beidem.

Was die geliehene Adresse nicht liefert

DMVPN braucht NHRP-Registrierungen und -Mappings, damit Spokes sich gegenseitig auflösen können; eine unnummerierte Leitung liefert davon nichts. Authentifizierung, erlaubte Weiterleitung und Rückwege sind weiterhin nötig, und ein Routingprotokoll muss eine Nachbarschaft über den Tunnel bilden, bevor ein Präfix ausgetauscht wird. Jedes davon kann fehlschlagen, während die Schnittstelle up meldet, deshalb läuft die Prüfung von Adresse zu Mapping zu Route.

Befehlssyntax und Adressierungsregeln unterscheiden sich zudem nach Produkt und Release, gleichen Sie sich also dem Schnittstellenmodell des Geräts vor Ihnen an, statt eine Konfiguration von einer anderen Plattform zu kopieren. Das Ziel kann identisch sein, die nötigen Zeilen sind es nicht.

Schreiben Sie Spender, äußere Quelle und angekündigte Präfixe in die Dokumentation des Tunnels und fügen Sie dann eine Prüfung hinzu, die laut fehlschlägt, wenn sich die Spenderadresse ändert. Diese eine Prüfung fängt den Fehlermodus ab, den unnummerierte Designs am ehesten verbergen.