DMVPN היררכי: ענן אחד לכל יחסי מנהרה

צומת סניף נרשם בהצלחה למרכז האזורי שלו ועדיין אינו מצליח להגיע לשירות באזור אחר. המנהרה פעילה, מצב NHS נראה תקין, והכשל מופיע רק ביעדים שחוצים גבול של שכבה. דפוס כזה בדרך כלל אומר שהתכנון מעולם לא הצהיר אילו התקנים משתתפים באיזה ענן DMVPN, ולכן השכבות נבנו לפי תחושה והן כבר אינן מתיישבות.

התסמין מופיע בגבול השכבות

בתכנון היררכי, מרכז ראשי, כמה מרכזים אזוריים וסניפים רבים תופסים כל אחד עמדה משלו. מרכז אזורי יכול להחזיק ביותר מיחס מנהרה אחד, וסניפים אינם חייבים להירשם בכל נקודת קצה מרכזית. הנתיבים החשובים הם מסניף לשירות אזורי, מסניף לצומת אזורי מאושר אחר, ומסניף ליעד מרכזי.

כאשר אחד מהנתיבים האלה נכשל בעוד האחרים עובדים, הבעיה היא כמעט תמיד הגדרת תפקיד חסרה או סותרת ולא מנהרה שבורה. כתבו את הנתיבים המתוכננים והשוו אותם למה שההתקנים באמת בנו. ההשוואה הזו אורכת שעה ומונעת שבוע של ניחושים. שמרו אותה עם מסמך התכנון.

ענן אחד, חוזה ממשק אחד

לכל ענן, רשמו את ממשק המנהרה, את כתובות שכבת העל, את מקור רשת התשתית המקומי, את יחסי NHS ו-NBMA, את אספקת השידור הרב ואת מדיניות ההגנה. ציינו גם אילו נתיבים חוצים בין ההקשר האזורי למרכזי, כי המשפט הזה הוא התכנון.

מרכז אזורי עם שני ממשקי מנהרה זקוק לשני חוזים, ולא לאחד עם שתי כתובות. מקור רשת התשתית, תחום NHRP והנתיבים יכולים להשתנות בין ממשקים, ומסמך שממזג אותם יטעה את מי שמגדיר את השני.

מזהים הם הקשר מקומי, לא בקרת גישה

מזהי רשת NHRP ומפתחות GRE הם שני הערכים הנפוצים ביותר בטעות כהגדרות גלובליות. מדריך NHRP של IOS XE מתאר את מזהה הרשת כבעל משמעות מקומית, לכן מספרים תואמים בנתבים מרוחקים אינם מאמתים דבר ושינוי המספר המקומי של נתב אחד אינו יוצר גבול גישה.

מפתח GRE, כאשר התכנון משתמש באחד, עוזר לזהות את הקשר המנהרה המקבלת, והוא מוסכם בין נקודות הקצה שחולקות את אותו הקשר. הוא אינו סיסמה ואינו מחליף אימות IKE או מדיניות ניתוב. התייחסו לשני הערכים כהקשר תצורה שחייב להתאים בתוך יחס, ולא כבקרות אבטחה שמפרידות אזורים.

נתבו בין השכבות במכוון

החליטו אילו קידומות המרכז האזורי מפרסם כלפי מעלה ואילו יעדים מרכזיים הוא מציע לסניפיו. לאחר מכן בדקו את הקפיצה הבאה בפועל ואת התנהגות הקיצור הספציפית לשלב בכל נתיב, כי נתיב סיכום וקיצור יכולים ליצור העברה שונה מאוד ממה שהתרשים מרמז.

השתמשו בניתוב ובמדיניות גישה כדי לאכוף הפרדה אזורית. אם סניף אסור לו להגיע ישירות לאזור אחר, הנתיב והמדיניות צריכים לומר זאת, במקום להסתמך על מזהה שמעולם לא תוכנן לאכוף זאת. כתבו את המדיניות לצד המזהה. אחרת המהנדס הבא יניח שהמספר עושה את העבודה.

אבחנו את הקיצור הבלתי צפוי

כאשר סניף מנסה ליצור יחס ישיר עם נקודת קצה מרכזית, בדקו את הנתיב שלו, את מיפוי ה-NHRP ואת הקשר המנהרה שנבחר לפני שתשנו מזהים באקראי. חוסר נגישות, יחס NHS לא מכוון וקיצור חוקי אך לא מורשה דורשים שלושה תיקונים שונים.

מדריך התצורה של DMVPN מציג את הגדרות המנהרה וה-NHRP יחד, וזו בדיוק הסיבה שיש להפריד את התחומים על הנייר תחילה. רשמו את חוזי הענן, שמרו על נתיבי השכבות מפורשים, והכשל הבא בגבול יהיה לו לאן להצביע.