Vali GET VPN-i liikmetele stabiilne registreerimisallikas

Keegi suunab grupi liikme registreerimise loopback-aadressile ja kuulutab GET VPN-i ebastabiilsuse lahendatuks. Mõnikord ongi. Tihti on loopback kättesaadav ainult liikme enda marsruutimistabelist ja mitte kusagilt mujalt, nii et registreerimine katkeb jälle järgmisel korral, kui seda kandnud uplink kõigub. Registreerimisaadress on identiteet juhtimistasandil ja see aitab ainult siis, kui mõlemas suunas on olemas tegelik tee. Selle teadlik valimine tasub end ära ja see on väiksem muudatus, kui rahvajutt vihjab.

Mida registreerimisaadress tähistab

GDOI juurutuses registreerib grupi liige end võtmeserveris ja saab sealt grupipoliitika. Aadress, mille võtmeserver kirja paneb, on liikme identiteet selle vestluse jaoks.

See identiteet hõlmab juhtimisvestlust: registreerimist, võtmete uuendamist ja poliitika allalaadimist. See ei muutu kliendiliikluse allikaks, ja see ei muuda, millised liidesed milliseid vooge kaitsevad.

Kahe asja lahus hoidmine on esimene samm, sest suurem osa selle seade ümber tekkivast segadusest tuleb ootusest, et juhtimistasandi muudatus parandab andmetasandi sümptomi.

Loopback on nii hea kui tema marsruut

Loopback annab liikmele loogilise aadressi, mis ei kao, kui üks füüsiline uplink üles ütleb. See on tõeline eelis ruuteril, kus on mitu teed võtmeserverini.

Aga see on ka lihtsalt aadress. Kui võtmeserveril pole sinna tagasi marsruuti, ebaõnnestub registreerimine täpselt nagu varem. Kui liikme marsruutimistabel jõuab võtmeserverini ainult ühe uplinki kaudu, on loopback stabiilne ja tee mitte.

Kontrolli kättesaadavust mõlemas suunas läbi iga uplinki, mille soovid üle elada. Loopback, mis jääb halduslikult üles, ei tõesta edastamise kohta midagi, ja rike ilmneb kättesaamatu võtmeserverina, mitte liidese probleemina. Kirjuta kontroll iga uplinki jaoks käsuna, mitte oletusena. Siis algab järgmine muudatusaken tõenditest, mitte diagrammist.

Hoia juhtimine ja kaitstud liiklus lahus

Cisco GDOI möödaviigu juhend dokumenteerib registreerimisliidese ja seose registreerimise ning möödaviigu käsitlemise vahel. Loe käitumist selle väljalaske jaoks, mida tegelikult kasutad, selle asemel et käsitleda ühte fraasi universaalse käsuna.

Vaata üle filtreerimine ja tõlkimine juhtimisteel ning kinnita, et võtmehalduse liiklus ei satu kogemata kaitsepoliitikasse, mis sõltub just sellest grupipoliitikast, mida see püüab hankida. See ringisõltuvus on klassikaline viis, kuidas muuta töötav juurutus poliitika muutmise järel ebaõnnestuvaks.

Andmetasandi poliitika on eraldi disain. Registreerimise päritolu muutmine jätab kaitstud vood, selektorid ja möödaviigu reeglid täpselt sinna, kus need olid.

Kontrolli identiteeti ülemineku ajal

Enne muudatust pane kirja grupp, valitud registreerimisaadress, võtmeserveri sihtkoht, marsruutimiskontekst ja lubatud juhtimistee. Pärast kinnitatud uplinki muudatust vaata uuesti üle võtmeserveri registreeritud liikmete vaade ja liikme juhtimisolek.

Mida soovid näha, on kavandatud loogiline lõpp-punkt endiselt kättesaadav ja endiselt nii esindatud, nagu selle kavandasid. Mida sa ei soovi, on teine registreerimine aadressilt, mida sa ei kavatsenud, sest just nii tekivadki liikme topeltkirjed.

Seejärel katseta kaitstud rakendusliiklust eraldi. Ülekanne võib õnnestuda, samal ajal kui järgmisel võtmeuuendusel pole kuhugi minna, ja edukas registreerimine ei ütle midagi selle kohta, kas konkreetne voog on õigesti valitud ja marsruuditud.

Mida stabiilne allikas ei paranda

See ei eemalda varasema vale konfiguratsiooni tekitatud liikme topeltkirjeid. See ei paranda võtmeuuenduse riket, mille põhjustas poliitikate lahknevus liikme ja võtmeserveri vahel. See ei ela üle füüsilise tee riket, mis eemaldas ainsa marsruudi võtmeserverini.

See teeb seda, et eemaldab ühe muutuja: identiteet ei muutu enam siis, kui uplinki aadress muutub. Seda tasub omada, ja see on disainis üks rida, mitte kogu disain.

Töö järjekord: nimeta juhtimistee, vali aadress, millel on marsruut mõlemas suunas, kinnita võtmeserveri vaade ja seejärel katseta kaitstud liiklust eraldi. Kui registreerimine ikka ebaõnnestub, ei olnud loopback kunagi probleem.