DMVPN fase 3: ler o atallo en ambos os sentidos
Un só ping directo non demostra un atallo de DMVPN fase 3. Percorra a ruta de ida e a de volta e despois lea por separado o estado de NHRP, a ruta e IPsec.
Vostede observa como un ping vai de spoke a spoke, toma o camiño longo polo hub, e o segundo vai directo. É tentador dar o atallo por bo nese punto. Esa conclusión é medio correcta. A ruta de ida pode ser un atallo mentres a de volta segue pasando polo hub, e o estado que demostra cada sentido é un estado distinto. Percorra ambos os sentidos e lea tres táboas antes de aceptar o deseño como san.
Comece pola ruta do paquete que realmente pode ver
Comece nun spoke cun destino que debería ser directo. Seguia o primeiro paquete: segue a ruta do spoke cara ao hub, porque aínda non existe ningún atallo. O hub reenvíao e, nun deseño de fase 3, tamén envía unha redirección á orixe dicindo que existe unha ruta mellor.
Esa redirección é o disparador, non a proba. Di que o hub viu tráfico que podería optimizarse. Non di que a orixe construíse o atallo, que o destino respondese a resolución nin que a ruta de volta o use.
Así que a primeira observación útil é un antes e un despois: o primeiro fluxo polo hub, o fluxo posterior directo.
Tres estados que parecen un só túnel
O atallo depende de tres pezas de estado, e cada unha ten a súa propia vida útil e o seu propio comando.
| State | What it answers | Where to read it |
|---|---|---|
| NHRP cache | Which transport address maps to this overlay address | show ip nhrp |
| Route or shortcut | Where one specific inner prefix is forwarded | show ip route 10.10.20.5 |
| IPsec association | Which peer traffic is protected, and by which SA | show crypto ipsec sa peer 203.0.113.5 |
Unha entrada da caché NHRP asigna un enderezo overlay a un enderezo de transporte NBMA. Unha ruta ou un atallo decide por onde se reenvía un destino interno concreto. Unha asociación IPsec protexe o tráfico que resulte. Unha resposta ausente pode vir de calquera das tres, e os comandos dinlle cal falta.
Léaas nesa orde, porque unha asignación ausente fai que as outras dúas non interesen.
Percorra a petición e a resposta por separado
Desde o spoke A, pida a resolución e observe que volve. A petición pasa pola ruta de reenvío NHRP admitida, e o destino pode responder directamente en lugar de facelo polo hub. Esa asimetría é normal, e por iso a resposta é a metade interesante do intercambio.
Agora invirta os papeis. Envíe de B a A e repita as mesmas tres lecturas. Un deseño que fai atallo nun sentido e non no outro non é simétrico, e a asimetría adoita vir dun prefixo que falta nun lado ou dunha resolución que nunca recibiu resposta.
A resposta do par non ten que atravesar o hub só porque a petición o fixo. Non o lea como un erro nin comece a perseguir unha falla de encamiñamento que non existe.
Lea a redirección do hub, non só a súa ruta
A táboa de rutas do hub dille onde enviaría o hub un paquete. A redirección dille que pediu o hub á orixe que fixese ao respecto. Son feitos distintos, e un hub coa ruta correcta e sen redireccións manterá cada fluxo no camiño longo indefinidamente. Revise os eventos NHRP do hub e confirme que se xeran redireccións para o tráfico que lle interesa.
A fase 3 tamén cambia que significa a summarización. Co comportamento de atallo, os spokes non necesitan o conxunto completo de rutas remotas específicas que esperaba un deseño de fase 2, así que unha ruta resumida no spoke non é automaticamente unha rede que falta. Confirme a fase e a política de encamiñamento antes de ler un resumo como unha falla.
Ese único malentendido provoca máis tiquets de DMVPN que calquera outra cousa.
Rexistre a conclusión como un obxecto que falta
Termine cun fluxo de aplicación autorizado e a súa resposta, e anote para cada sentido se usou a ruta directa. Despois escriba a conclusión como o obxecto que faltaba: unha asignación, un atallo de reenvío, unha asociación de protección ou unha resposta de aplicación.
Unha adxacencia de encamiñamento e unha asociación de seguridade compartida son probas de saúde, non probas da ruta. Ambas poden ser perfectas mentres cada paquete aínda dá o rodeo longo. Comprobe primeiro a decisión de reenvío e logo a asociación que a transporta. A orde importa, porque a asociación fórmaa de todos os xeitos.
Ese hábito págase no seguinte tícket. «O túnel está levantado pero vai lento» convértese en «B non ten atallo para o host de A», e a segunda afirmación é unha solución de cinco minutos. Garde a saída dos comandos coa conclusión e teña á man o percorrido de fase 3 do provedor.