Επιλογή σταθερής πηγής εγγραφής για μέλη GET VPN

Κάποιος κατευθύνει την εγγραφή του μέλους ομάδας σε διεύθυνση loopback και δηλώνει ότι η αστάθεια του GET VPN λύθηκε. Μερικές φορές όντως λύθηκε. Συχνά το loopback είναι προσβάσιμο μόνο από τον δικό του πίνακα δρομολόγησης του μέλους και από πουθενά αλλού, οπότε η εγγραφή σπάει ξανά την επόμενη φορά που το uplink που τη μετέφερε θα ταλαντωθεί. Η διεύθυνση εγγραφής είναι ταυτότητα στο επίπεδο ελέγχου και βοηθά μόνο όταν υπάρχει πραγματική διαδρομή και προς τις δύο κατευθύνσεις. Αξίζει να τη διαλέξεις συνειδητά, και είναι μικρότερη αλλαγή απ' ό,τι υπονοεί η παράδοση.

Τι προσδιορίζει η διεύθυνση εγγραφής

Σε μια εγκατάσταση GDOI το μέλος ομάδας εγγράφεται στον διακομιστή κλειδιών και λαμβάνει από αυτόν την πολιτική ομάδας. Η διεύθυνση που καταγράφει ο διακομιστής κλειδιών είναι η ταυτότητα του μέλους για αυτή τη συνομιλία.

Αυτή η ταυτότητα καλύπτει τη συνομιλία ελέγχου: εγγραφή, ανανέωση κλειδιών και λήψη της πολιτικής. Δεν γίνεται η πηγή της κίνησης πελατών, και δεν αλλάζει ποιες διεπαφές προστατεύουν ποιες ροές.

Το να κρατήσεις τα δύο χωριστά είναι το πρώτο βήμα, γιατί η περισσότερη σύγχυση γύρω από αυτή τη ρύθμιση προέρχεται από την προσδοκία ότι μια αλλαγή στο επίπεδο ελέγχου θα διορθώσει ένα σύμπτωμα στο επίπεδο δεδομένων.

Ένα loopback αξίζει όσο η διαδρομή του

Ένα loopback δίνει στο μέλος μια λογική διεύθυνση που δεν εξαφανίζεται όταν αποτυγχάνει ένα φυσικό uplink. Αυτό είναι πραγματικό πλεονέκτημα σε δρομολογητή με πολλές διαδρομές προς τον διακομιστή κλειδιών.

Είναι όμως και απλώς μια διεύθυνση. Αν ο διακομιστής κλειδιών δεν έχει διαδρομή επιστροφής προς αυτήν, η εγγραφή αποτυγχάνει ακριβώς όπως πριν. Αν ο πίνακας δρομολόγησης του μέλους φτάνει στον διακομιστή κλειδιών μόνο μέσω ενός uplink, το loopback είναι σταθερό και η διαδρομή όχι.

Έλεγξε την προσβασιμότητα και προς τις δύο κατευθύνσεις μέσα από κάθε uplink που θέλεις να επιβιώσει. Ένα loopback που μένει διαχειριστικά ενεργό δεν αποδεικνύει τίποτα για την προώθηση, και η αποτυχία εμφανίζεται ως μη προσβάσιμος διακομιστής κλειδιών και όχι ως πρόβλημα διεπαφής. Γράψε τον έλεγχο ως εντολή ανά uplink, όχι ως υπόθεση. Τότε το επόμενο παράθυρο αλλαγών ξεκινά από στοιχεία και όχι από διάγραμμα.

Κράτησε τον έλεγχο και την προστατευμένη κίνηση χωριστά

Ο οδηγός παράκαμψης GDOI της Cisco τεκμηριώνει τη διεπαφή εγγραφής και τη σχέση ανάμεσα στην εγγραφή και στη διαχείριση παράκαμψης. Διάβασε τη συμπεριφορά για την έκδοση που πραγματικά τρέχεις αντί να αντιμετωπίζεις μια φράση ως καθολική εντολή.

Εξέτασε το φιλτράρισμα και τη μετάφραση στη διαδρομή ελέγχου, και επιβεβαίωσε ότι η κίνηση διαχείρισης κλειδιών δεν παρασύρεται κατά λάθος σε πολιτική προστασίας που εξαρτάται από την ίδια την πολιτική ομάδας που προσπαθεί να ανακτήσει. Αυτή η κυκλική εξάρτηση είναι κλασικός τρόπος να κάνεις μια λειτουργική εγκατάσταση να αποτύχει μετά από αλλαγή πολιτικής.

Η πολιτική του επιπέδου δεδομένων είναι ξεχωριστός σχεδιασμός. Το να αλλάξεις από πού προέρχεται η εγγραφή αφήνει τις προστατευμένες ροές, τους επιλογείς και τους κανόνες παράκαμψης ακριβώς εκεί που ήταν.

Έλεγξε την ταυτότητα κατά τη μετάβαση

Πριν από την αλλαγή, κατέγραψε την ομάδα, τη διεύθυνση εγγραφής που επιλέχθηκε, τον προορισμό του διακομιστή κλειδιών, το πλαίσιο δρομολόγησης και την επιτρεπόμενη διαδρομή ελέγχου. Μετά από εγκεκριμένη αλλαγή uplink, εξέτασε ξανά την προβολή εγγεγραμμένων μελών του διακομιστή κλειδιών και την κατάσταση ελέγχου του μέλους.

Αυτό που θέλεις να δεις είναι το προβλεπόμενο λογικό τελικό σημείο ακόμη προσβάσιμο και ακόμη παρουσιασμένο όπως το σχεδίασες. Αυτό που δεν θέλεις είναι μια δεύτερη εγγραφή από διεύθυνση που δεν είχες προβλέψει, γιατί έτσι ακριβώς εμφανίζονται οι διπλές καταχωρίσεις μελών.

Έπειτα δοκίμασε την προστατευμένη κίνηση εφαρμογών χωριστά. Μια μεταφορά μπορεί να πετύχει ενώ η επόμενη ανανέωση κλειδιών δεν έχει πού να πάει, και μια επιτυχημένη εγγραφή δεν λέει τίποτα για το αν μια συγκεκριμένη ροή επιλέγεται και δρομολογείται σωστά.

Τι δεν διορθώνει μια σταθερή πηγή

Δεν αφαιρεί διπλές καταχωρίσεις μελών που δημιούργησε προηγούμενη λανθασμένη διαμόρφωση. Δεν επιδιορθώνει αποτυχία ανανέωσης κλειδιών που προκλήθηκε από αναντιστοιχία πολιτικής ανάμεσα στο μέλος και στον διακομιστή κλειδιών. Δεν επιβιώνει από αποτυχία φυσικής διαδρομής που αφαίρεσε τη μοναδική διαδρομή προς τον διακομιστή κλειδιών.

Αυτό που κάνει είναι να αφαιρεί μία μεταβλητή: η ταυτότητα δεν αλλάζει πια όταν αλλάζει η διεύθυνση ενός uplink. Αξίζει να το έχεις, και είναι μία γραμμή σε έναν σχεδιασμό και όχι ολόκληρος ο σχεδιασμός.

Σειρά εργασιών: ονόμασε τη διαδρομή ελέγχου, διάλεξε διεύθυνση με διαδρομή και προς τις δύο κατευθύνσεις, επιβεβαίωσε την προβολή του διακομιστή κλειδιών και μετά δοκίμασε την προστατευμένη κίνηση χωριστά. Αν η εγγραφή εξακολουθεί να αποτυγχάνει, το loopback δεν ήταν ποτέ το πρόβλημα.