Hierarhiline DMVPN: üks pilv iga tunnelisuhte kohta

Haru sõlm registreerub edukalt oma piirkondliku keskuses ja ei jõua ikkagi teenuseni teises piirkonnas. Tunnel töötab, NHS-i olek näib terve ja tõrge ilmneb ainult sihtkohtadel, mis ületavad kihi piiri. See muster tähendab tavaliselt, et projekt ei kirjeldanud kunagi, millised seadmed osalevad millises DMVPN pilves, nii et kihid ehitati intuitsiooni järgi ja need ei klapi enam.

Sümptom ilmneb kihi piiril

Hierarhilises projektis on keskusel, mitmel piirkondlikul keskusel ja paljudel harusõlmedel igaühel oma positsioon. Piirkondlikul keskusel võib olla rohkem kui üks tunnelisuhe ja harudel ei ole vaja registreeruda igas keskse lõpp-punktis. Olulised teed on harust piirkondlikku teenusesse, harust teise heakskiidetud piirkondlikku sõlme ja harust kesksesse sihtkohta.

Kui üks neist teedest ebaõnnestub, samal ajal kui teised töötavad, on probleem peaaegu alati puuduv või vastuoluline rollimääratlus, mitte katkine tunnel. Kirjutage kavandatud teed üles ja võrrelge neid sellega, mida seadmed tegelikult ehitasid. See võrdlus võtab tunni ja hoiab ära nädala oletusi. Hoidke seda projekti dokumendi juures.

Üks pilv, üks liidese leping

Iga pilve kohta kirjutage üles tunneli liides, ülekihi adresseerimine, kohalik alusvõrgu allikas, NHS-i ja NBMA suhted, multicast-edastus ja kaitsepoliitika. Märkige ka, millised marsruudid läbivad piirkondliku ja keskse konteksti vahel, sest just see lause ongi projekt.

Kahe tunneli liidesega piirkondlik keskus vajab kahte lepingut, mitte ühte kahe aadressiga. Alusvõrgu allikas, NHRP domeen ja marsruudid võivad liideseti erineda ning dokument, mis need ühendab, eksitab seda, kes teise seadistab.

ID-d on kohalik kontekst, mitte juurdepääsukontroll

NHRP võrgu ID-d ja GRE võtmed on kaks väärtust, mida kõige sagedamini peetakse üldseadeteks. IOS XE NHRP juhend kirjeldab võrgu ID-d kohalikult olulisena, seega kaughruuterite kattuvad numbrid ei autenti midagi ja ühe ruuteri kohaliku numbri muutmine ei loo juurdepääsupiiri.

GRE võti, kus projekt seda kasutab, aitab tuvastada vastuvõtva tunneli konteksti ja see lepitakse kokku lõpp-punktide vahel, kes seda konteksti jagavad. See ei ole parool ega asenda IKE autentimist ega marsruutimispoliitikat. Käsitlege mõlemat väärtust konfiguratsioonikontekstina, mis peab suhtes ühtima, mitte turbekontrollina, mis piirkondi eraldab.

Marsruutige kihtide vahel teadlikult

Otsustage, milliseid prefikseid piirkondlik keskus ülespoole kuulutab ja milliseid keskmisi sihtkohti see oma harudele pakub. Seejärel kontrollige iga tee tegelikku järgmist hüpet ja faasipõhist otseteekäitumist, sest koondmarsruut ja otsetee võivad anda hoopis teistsuguse edastuse, kui diagramm vihjab.

Kasutage marsruutimist ja juurdepääsupoliitikat piirkondliku eraldatuse tagamiseks. Kui haru ei tohi teise piirkonda otse jõuda, peavad marsruut ja poliitika seda ütlema, selle asemel et lootma ID-le, mis ei olnud kunagi mõeldud seda tagama. Kirjutage poliitika ID kõrvale. Muidu eeldab järgmine insener, et töö teeb number.

Diagnoosige ootamatu otsetee

Kui haru üritab luua otsest suhet keskse lõpp-punktiga, uurige enne ID-de juhuslikku muutmist selle marsruuti, NHRP kaardistust ja valitud tunneli konteksti. Puuduv kättesaadavus, soovimatu NHS suhe ja seaduslik, kuid volitamata otsetee nõuavad kolme erinevat parandust.

DMVPN konfiguratsioonijuhend näitab tunneli ja NHRP seadeid koos ja just seetõttu tuleb ulatused esmalt paberil eraldada. Kirjutage pilvelepingud üles, hoidke kihi marsruudid selgesõnalised ja järgmisel piiritõrkel on koht, millele osutada.