Hijerarhijski DMVPN: jedan oblak po tunelskoj vezi

Ogranak se uspješno registrira kod svog regionalnog čvorišta, a ipak ne može dosegnuti uslugu u drugoj regiji. Tunel je aktivan, stanje NHS-a izgleda zdravo, a kvar se pojavljuje samo za odredišta koja prelaze granicu sloja. Takav obrazac obično znači da dizajn nikada nije naveo koje naprave sudjeluju u kojem DMVPN oblaku, pa su slojevi izgrađeni po intuiciji i sada se ne slažu.

Simptom se pojavljuje na granici slojeva

U hijerarhijskom dizajnu centralno čvorište, nekoliko regionalnih čvorišta i mnogi ogranci zauzimaju svaki svoj položaj. Regionalno čvorište može imati više od jedne tunelske veze, a ogranci se ne moraju registrirati kod svake centralne točke. Važni putovi su od ogranka do regionalne usluge, od ogranka do drugog odobrenog regionalnog ogranka i od ogranka do centralnog odredišta.

Kada jedan od tih putova zakaže dok ostali rade, problem je gotovo uvijek nedostajuća ili proturječna definicija uloge, a ne pokvaren tunel. Zapišite predviđene putove i usporedite ih s onim što su naprave stvarno izgradile. Ta usporedba traje sat vremena i sprječava tjedan nagađanja. Čuvajte je uz projektni dokument.

Jedan oblak, jedan ugovor sučelja

Za svaki oblak zabilježite tunelsko sučelje, adresiranje nadogradnje, lokalni izvor podloge, odnose NHS-a i NBMA-e, dostavu višestrukog prometa i politiku zaštite. Navedite i koji putovi prelaze između regionalnog i centralnog konteksta, jer je upravo ta rečenica dizajn.

Regionalno čvorište s dva tunelska sučelja treba dva ugovora, a ne jedan s dvije adrese. Izvor podloge, domena NHRP-a i putovi mogu se razlikovati po sučelju, a dokument koji ih spaja zavest će onoga koji konfigurira drugo.

Identifikatori su lokalni kontekst, a ne kontrola pristupa

Mrežni identifikatori NHRP-a i GRE ključevi dvije su vrijednosti koje se najčešće pogrešno smatraju globalnim postavkama. Vodič za NHRP u IOS XE opisuje mrežni identifikator kao lokalno značajan, pa podudarni brojevi na udaljenim usmjerivačima ne potvrđuju ništa i promjena lokalnog broja jednog usmjerivača ne stvara granicu pristupa.

GRE ključ, gdje ga dizajn koristi, pomaže prepoznati kontekst tunela koji prima i dogovara se među krajnjim točkama koje dijele taj kontekst. Nije lozinka i ne zamjenjuje IKE provjeru autentičnosti ni usmjerivačku politiku. Tretirajte obje vrijednosti kao konfiguracijski kontekst koji se mora podudarati unutar veze, a ne kao sigurnosne kontrole koje razdvajaju regije.

Usmjeravajte između slojeva namjerno

Odlučite koje prefikse regionalno čvorište oglašava prema gore i koja centralna odredišta nudi svojim ograncima. Zatim provjerite stvarni sljedeći skok i ponašanje prečaca specifično za fazu za svaki put, jer zbirna ruta i prečac mogu dati posve drugačije prosljeđivanje od onoga što dijagram sugerira.

Koristite usmjeravanje i politiku pristupa da provedete regionalno razdvajanje. Ako ogranak ne smije izravno dosegnuti drugu regiju, ruta i politika to moraju reći, umjesto da se oslanjaju na identifikator koji nikada nije bio namijenjen da to provodi. Zapišite politiku uz identifikator. Inače će sljedeći inženjer pretpostaviti da broj obavlja posao.

Dijagnosticirajte neočekivani prečac

Kada ogranak pokuša stvoriti izravan odnos s centralnom točkom, pregledajte njegovu rutu, njegovo NHRP preslikavanje i odabrani kontekst tunela prije nego nasumično mijenjate identifikatore. Nedostupnost, neželjeni odnos NHS-a i zakonit ali neovlašten prečac traže tri različite ispravke.

Vodič za konfiguraciju DMVPN-a prikazuje postavke tunela i NHRP-a zajedno, i upravo zato se opsezi prvo moraju razdvojiti na papiru. Zabilježite ugovore oblaka, držite rute slojeva izričitima i sljedeći kvar na granici imat će na što pokazati.