Válasszon stabil regisztrációs forrást a GET VPN tagjai számára

Valaki a csoporttag regisztrációját egy loopback-címre állítja, és kijelenti, hogy a GET VPN instabilitása megoldódott. Néha valóban. Gyakran azonban a loopback csak a tag saját útválasztási táblájából érhető el, máshonnan nem, így a regisztráció legközelebb is eltörik, amikor az őt szállító uplink billeg. A regisztrációs cím identitás a vezérlési síkon, és csak akkor segít, ha mindkét irányban létezik valódi útvonal. Szándékosan megválasztani megéri, és ez kisebb változás, mint amit a közhiedelem sugall.

Mit azonosít a regisztrációs cím

Egy GDOI-telepítésben a csoporttag a kulcsszerverhez regisztrál, és tőle kapja a csoportszabályzatot. A cím, amelyet a kulcsszerver rögzít, a tag identitása ehhez a beszélgetéshez.

Ez az identitás a vezérlési beszélgetésre terjed ki: regisztráció, kulcsfrissítés és a szabályzat letöltése. Nem válik az ügyfélforgalom forrásává, és nem változtatja meg, mely interfészek mely folyamokat védik.

A kettő szétválasztása az első lépés, mert a beállítás körüli zavar nagy része abból a várakozásból fakad, hogy egy vezérlési síkon végzett változtatás megszüntet egy adatsíki tünetet.

Egy loopback csak annyit ér, mint az útvonala

A loopback olyan logikai címet ad a tagnak, amely nem tűnik el, ha egy fizikai uplink meghibásodik. Ez valódi előny olyan routeren, amely több útvonalat is ismer a kulcsszerver felé.

De ez is csak egy cím. Ha a kulcsszervernek nincs visszaútja hozzá, a regisztráció pontosan úgy meghiúsul, mint korábban. Ha a tag útválasztási táblája csak egy uplinken keresztül éri el a kulcsszervert, a loopback stabil, az útvonal nem.

Ellenőrizze mindkét irányban az elérhetőséget minden uplinken keresztül, amelynek túl kell élnie. Az adminisztratívan fent maradó loopback semmit sem bizonyít a továbbításról, és a hiba elérhetetlen kulcsszerverként jelenik meg, nem interfészproblémaként. Írja le az ellenőrzést uplinkenkénti parancsként, ne feltevésként. Akkor a következő változási ablak bizonyítékokból indul, nem diagramból.

Tartsa külön a vezérlést és a védett forgalmat

A Cisco GDOI-megkerülési útmutatója dokumentálja a regisztrációs interfészt és a regisztráció valamint a megkerülés kezelése közötti kapcsolatot. Azt a viselkedést olvassa el, amely a ténylegesen futtatott kiadásra vonatkozik, ne kezeljen egy kifejezést általános parancsként.

Vizsgálja át a szűrést és a fordítást a vezérlési útvonalon, és erősítse meg, hogy a kulcskezelési forgalom nem sodródik véletlenül olyan védelmi szabályzatba, amely éppen attól a csoportszabályzattól függ, amelyet megpróbál letölteni. Az ilyen körkörös függőség klasszikus módja annak, hogy egy működő telepítés egy szabályzatváltozás után meghiúsuljon.

Az adatsík szabályzata külön tervezés. Annak megváltoztatása, honnan érkezik a regisztráció, pontosan ott hagyja a védett folyamokat, a szelektorokat és a megkerülési szabályokat, ahol voltak.

Ellenőrizze az identitást az átmenet során

A változtatás előtt rögzítse a csoportot, a kiválasztott regisztrációs címet, a kulcsszerver célpontját, az útválasztási környezetet és az engedélyezett vezérlési útvonalat. Egy jóváhagyott uplink-változtatás után ismét vizsgálja meg a kulcsszerver regisztrált tagokról készült nézetét és a tag vezérlési állapotát.

Azt szeretné látni, hogy a szándékolt logikai végpont továbbra is elérhető, és továbbra is úgy jelenik meg, ahogy megtervezte. Azt nem szeretné látni, hogy egy nem szándékolt címről második regisztráció jelenik meg, mert pontosan így keletkeznek a tag ismétlődő bejegyzései.

Ezután külön tesztelje a védett alkalmazásforgalmat. Egy átvitel sikerülhet úgy, hogy a következő kulcsfrissítésnek nincs hova mennie, és egy sikeres regisztráció semmit sem mond arról, hogy egy adott folyam megfelelően van-e kiválasztva és irányítva.

Mit nem javít egy stabil forrás

Nem távolítja el a korábbi hibás konfiguráció által létrehozott ismétlődő tagbejegyzéseket. Nem javítja a tag és a kulcsszerver közötti szabályzat-eltérés okozta kulcsfrissítési hibát. Nem éli túl egy fizikai útvonal meghibásodását, amely megszüntette az egyetlen utat a kulcsszerverhez.

Amit tesz, hogy eltávolít egy változót: az identitás többé nem változik, amikor az uplink címe változik. Ezt érdemes megszerezni, és ez egy sor a tervezésben, nem az egész tervezés.

A munka sorrendje: nevezze meg a vezérlési útvonalat, válasszon mindkét irányban útvonallal rendelkező címet, erősítse meg a kulcsszerver nézetét, majd külön tesztelje a védett forgalmat. Ha a regisztráció továbbra is meghiúsul, a loopback soha nem volt a probléma.