Valitse vakaa rekisteröintilähde GET VPN -jäsenille

Joku osoittaa ryhmäjäsenen rekisteröinnin loopback-osoitteeseen ja julistaa GET VPN:n epävakauden ratkaistuksi. Joskus se pitää paikkansa. Usein loopback on tavoitettavissa vain jäsenen omasta reititystaulusta eikä mistään muualta, joten rekisteröinti hajoaa taas seuraavan kerran, kun sitä kuljettanut uplink huojuu. Rekisteröintiosoite on identiteetti ohjaustasolla, ja se auttaa vain, kun molempiin suuntiin on olemassa todellinen polku. Sen valitseminen tarkoituksella kannattaa, ja se on pienempi muutos kuin tarina antaa ymmärtää.

Mitä rekisteröintiosoite yksilöi

GDOI-käyttöönotossa ryhmäjäsen rekisteröityy avainpalvelimelle ja saa siltä ryhmäkäytännön. Osoite, jonka avainpalvelin kirjaa, on jäsenen identiteetti kyseistä keskustelua varten.

Tämä identiteetti kattaa ohjauskeskustelun: rekisteröinnin, avainten uusinnan ja käytännön latauksen. Se ei tule asiakasliikenteen lähteeksi, eikä se muuta sitä, mitkä liitännät suojaavat mitäkin virtoja.

Kahden asian erillään pitäminen on ensimmäinen askel, koska suurin osa tämän asetuksen ympärillä olevasta hämmennystyksestä syntyy odotuksesta, että ohjaustason muutos korjaa oireen datatasolla.

Loopback on vain niin hyvä kuin sen reitti

Loopback antaa jäsenelle loogisen osoitteen, joka ei katoa, kun yksi fyysinen uplink pettää. Se on todellinen etu reitittimessä, jossa on useita polkuja avainpalvelimelle.

Mutta se on myös vain osoite. Jos avainpalvelimella ei ole paluureittiä siihen, rekisteröinti epäonnistuu täsmälleen kuten ennenkin. Jos jäsenen reititystaulu saavuttaa avainpalvelimen vain yhden uplinkin kautta, loopback on vakaa ja polku ei.

Tarkista tavoitettavuus molempiin suuntiin jokaisen uplinkin kautta, jonka haluat säilyvän. Hallinnollisesti pystyssä pysyvä loopback ei todista välityksestä mitään, ja vika näkyy tavoittamattomana avainpalvelimena eikä liitäntäongelmana. Kirjoita tarkistus komennoksi uplinkia kohden, älä oletuksena. Silloin seuraava muutosikkuna alkaa todisteista eikä kaaviosta.

Pidä ohjaus ja suojattu liikenne erillään

Ciscon GDOI-ohituksen opas dokumentoi rekisteröintiliitännän ja rekisteröinnin sekä ohituksen käsittelyn välisen suhteen. Lue sen version käyttäytyminen, jota todella ajat, sen sijaan että pitäisit yhtä lausetta yleispätevänä komennona.

Käy läpi suodatus ja käännös ohjauspolulla ja varmista, että avainten hallintaliikennettä ei vahingossa työnnetä suojauskäytäntöön, joka riippuu juuri siitä ryhmäkäytännöstä, jota se yrittää hakea. Tällainen kehämäinen riippuvuus on klassinen tapa saada toimiva käyttöönotto epäonnistumaan käytännön muutoksen jälkeen.

Datatason käytäntö on erillinen suunnittelu. Se, että rekisteröinnin lähdettä muutetaan, jättää suojatut virrat, valitsimet ja ohitussäännöt täsmälleen sinne, missä ne olivat.

Tarkista identiteetti siirtymän ajan

Kirjaa ennen muutosta ryhmä, valittu rekisteröintiosoite, avainpalvelimen kohde, reitityskonteksti ja sallittu ohjauspolku. Hyväksytyn uplink-muutoksen jälkeen tarkastele uudelleen avainpalvelimen rekisteröityneiden jäsenten näkymää ja jäsenen ohjaustilaa.

Haluat nähdä, että aiottu looginen päätepiste on edelleen tavoitettavissa ja edelleen esitetty niin kuin sen suunnittelit. Et halua nähdä toista rekisteröintiä osoitteesta, jota et tarkoittanut, sillä juuri niin jäsenen kaksoiskirjaukset syntyvät.

Testaa sen jälkeen suojattua sovellusliikennettä erikseen. Siirto voi onnistua, vaikka seuraavalla avainten uusinnalla ei ole minnekään mennä, eikä onnistunut rekisteröinti kerro mitään siitä, onko tietty virta valittu ja reititetty oikein.

Mitä vakaa lähde ei korjaa

Se ei poista aiempien virheellisten asetusten luomia jäsenen kaksoiskirjauksia. Se ei korjaa avainten uusinnan epäonnistumista, jonka syynä on jäsenen ja avainpalvelimen käytäntöjen ero. Se ei selviä fyysisen polun viasta, joka poisti ainoan reitin avainpalvelimelle.

Se tekee sen, että poistaa yhden muuttujan: identiteetti ei enää muutu, kun uplinkin osoite muuttuu. Se kannattaa, ja se on yksi rivi suunnitelmassa eikä koko suunnitelma.

Työn järjestys: nimeä ohjauspolku, valitse osoite, jolla on reitti molempiin suuntiin, vahvista avainpalvelimen näkymä ja testaa sitten suojattu liikenne erikseen. Jos rekisteröinti yhä epäonnistuu, loopback ei ollut koskaan ongelma.