Elekti stabilan registran fonton por membroj de GET VPN

Iu direktas la registradon de la grupa membro al loopback-adreso kaj deklaras la malstabilecon de GET VPN solvita. Foje ĝi estas. Ofte la loopback estas atingebla nur el la propra enkursiga tabelo de la membro kaj de nenie alie, do la registrado ankoraŭ rompiĝas la sekvan fojon kiam la uplink, kiu ĝin portis, oscilas. La registra adreso estas identeco en la rega ebeno, kaj ĝi helpas nur kiam ekzistas reala vojo en ambaŭ direktoj. Elekti ĝin konscie indas, kaj ĝi estas pli malgranda ŝanĝo ol sugestas la onidiro.

Kion identigas la registra adreso

En GDOI-starigo la grupa membro registriĝas ĉe la ŝlosila servilo kaj ricevas de ĝi la grupan politikon. La adreso, kiun la ŝlosila servilo registras, estas la identeco de la membro por tiu interparolo.

Tiu identeco kovras la regan interparolon: registradon, ŝlosilan renovigon kaj la elŝuton de la politiko. Ĝi ne fariĝas la fonto de klienta trafiko, kaj ĝi ne ŝanĝas, kiuj interfacoj protektas kiujn fluojn.

Teni la du aparte estas la unua paŝo, ĉar la plej granda parto de la konfuzo ĉirkaŭ ĉi tiu agordo venas de atendo, ke ŝanĝo en la rega ebeno riparu simptomon en la data ebeno.

Loopback valoras nur tiom, kiom ĝia vojo

Loopback donas al la membro logikan adreson, kiu ne malaperas kiam unu fizika uplink fiaskas. Tio estas reala avantaĝo sur enkursigilo kun pluraj vojoj al la ŝlosila servilo.

Sed ĝi estas ankaŭ nur adreso. Se la ŝlosila servilo ne havas vojon reen al ĝi, la registrado fiaskas same kiel antaŭe. Se la enkursiga tabelo de la membro atingas la ŝlosilan servilon nur per unu uplink, la loopback estas stabila kaj la vojo ne.

Kontrolu atingeblon en ambaŭ direktoj tra ĉiu uplink, kiun vi volas postvivi. Loopback, kiu restas administre aktiva, pruvas nenion pri plusendado, kaj la fiasko aperas kiel neatingebla ŝlosila servilo anstataŭ kiel interfaca problemo. Skribu la kontrolon kiel komandon por ĉiu uplink, ne kiel supozon. Tiam la sekva ŝanĝa fenestro komenciĝas per pruvoj anstataŭ per diagramo.

Tenu regadon kaj protektitan trafikon aparte

La gvidilo de Cisco pri GDOI-preterpasado dokumentas la registran interfacon kaj la rilaton inter registrado kaj traktado de preterpasado. Legu la konduton por la versio, kiun vi efektive uzas, anstataŭ trakti unu frazon kiel universalan komandon.

Revizuu filtradon kaj tradukadon sur la rega vojo, kaj konfirmu, ke la trafiko de ŝlosila administrado ne estas hazarde tirata en protektan politikon, kiu dependas de ĝuste tiu grupa politiko, kiun ĝi provas akiri. Tiu cirkla dependeco estas klasika maniero igi funkciantan starigon fiaski post politika ŝanĝo.

La politiko de la data ebeno estas aparta dezajno. Ŝanĝi, de kie venas la registrado, lasas la protektitajn fluojn, la selektilojn kaj la preterpasadajn regulojn ĝuste tie, kie ili estis.

Kontrolu identecon dum la transiro

Antaŭ la ŝanĝo, notu la grupon, la elektitan registran adreson, la celon de la ŝlosila servilo, la enkursigan kuntekston kaj la permesitan regan vojon. Post aprobita ŝanĝo de uplink, denove inspektu la vido de registritaj membroj ĉe la ŝlosila servilo kaj la regan staton de la membro.

Kion vi volas vidi, estas la celita logika finpunkto ankoraŭ atingebla kaj ankoraŭ reprezentata tiel, kiel vi ĝin dezajnis. Kion vi ne volas, estas dua registrado el adreso, kiun vi ne celis, ĉar tiel ekestas duoblaj membraj enskriboj.

Poste testu protektitan aplikaĵan trafikon aparte. Transigo povas sukcesi dum la sekva ŝlosila renovigo havas neniun lokon por iri, kaj sukcesa registrado diras nenion pri tio, ĉu aparta fluo estas ĝuste elektita kaj enkursigita.

Kion stabila fonto ne riparas

Ĝi ne forigas duoblajn membrajn enskribojn kreitajn de antaŭa misagordo. Ĝi ne riparas fiaskon de ŝlosila renovigo kaŭzitan de politika malkongruo inter la membro kaj la ŝlosila servilo. Ĝi ne postvivas fiaskon de fizika vojo, kiu forigis la solan vojon al la ŝlosila servilo.

Kion ĝi faras, estas forigi unu variablon: la identeco ne plu ŝanĝiĝas kiam ŝanĝiĝas uplink-adreso. Tio indas havi, kaj ĝi estas unu linio en dezajno, ne la tuta dezajno.

Ordo de laboro: nomu la regan vojon, elektu adreson kun vojo en ambaŭ direktoj, konfirmu la vidon de la ŝlosila servilo, poste testu protektitan trafikon aparte. Se la registrado ankoraŭ fiaskas, la loopback neniam estis la problemo.