Hierarchikus DMVPN: egy felhő tunnelkapcsolatonként

Egy fiókcsomópont sikeresen regisztrál a regionális központjánál, és mégsem ér el egy szolgáltatást egy másik régióban. Az alagút él, az NHS állapota egészségesnek tűnik, és a hiba csak a szint határát átlépő céloknál jelenik meg. Ez a minta általában azt jelenti, hogy a tervezés soha nem mondta ki, mely eszközök melyik DMVPN-felhőben vesznek részt, ezért a szintek ösztönből épültek, és most nem egyeznek.

A tünet a szintek határán jelenik meg

Hierarchikus tervezésben egy központi hub, több regionális hub és sok fiókcsomópont mindegyike saját pozíciót foglal el. Egy regionális hubnál több alagútkapcsolat is lehet, és a fiókoknak nem kell minden központi végpontnál regisztrálniuk. A fontos útvonalak a fióktól a regionális szolgáltatásig, a fióktól egy másik jóváhagyott regionális csomópontig és a fióktól egy központi célállomásig tartanak.

Amikor ezek közül az útvonalak közül az egyik meghibásodik, miközben a többi működik, a probléma szinte mindig hiányzó vagy ellentmondó szerepkör-definíció, nem törött alagút. Írja le a szándékolt útvonalakat, és hasonlítsa össze azzal, amit az eszközök ténylegesen építettek. Ez az összehasonlítás egy órát vesz igénybe, és megelőz egy hét találgatást. Tartsa a tervezési dokumentum mellett.

Egy felhő, egy interfész-szerződés

Minden felhőhöz rögzítse az alagút interfészét, a felső réteg címzését, az alaphálózat helyi forrását, az NHS- és NBMA-kapcsolatokat, a multicast kézbesítést és a védelmi házirendet. Azt is adja meg, mely útvonalak lépnek át a regionális és a központi kontextus között, mert ez a mondat maga a tervezés.

A két alagút-interfésszel rendelkező regionális hubnak két szerződésre van szüksége, nem egyre két címmel. Az alaphálózat forrása, az NHRP-tartomány és az útvonalak interfészenként eltérhetnek, és az ezeket összevonó dokumentum félrevezeti azt, aki a másodikat konfigurálja.

Az azonosítók helyi kontextus, nem hozzáférés-vezérlés

Az NHRP-hálózati azonosítók és a GRE-kulcsok az a két érték, amelyet leggyakrabban tévesen globális beállításnak tartanak. Az IOS XE NHRP-útmutatója a hálózati azonosítót helyileg jelentőségteljesnek írja le, ezért a távoli útválasztókon egyező számok semmit nem hitelesítenek, és egy útválasztó helyi számának megváltoztatása nem hoz létre hozzáférési határt.

A GRE-kulcs, ahol a tervezés használ ilyet, segít azonosítani a fogadó alagút kontextusát, és a kontextust megosztó végpontok között egyeztetik. Nem jelszó, és nem helyettesíti az IKE-hitelesítést vagy az útválasztási házirendet. Mindkét értéket konfigurációs kontextusként kezelje, amelynek egy kapcsolaton belül egyeznie kell, nem pedig régiókat elválasztó biztonsági vezérlésként.

Tudatosan irányítson a szintek között

Döntse el, mely előtagokat hirdeti felfelé a regionális hub, és mely központi célállomásokat kínál a fiókjainak. Ezután ellenőrizze az egyes útvonalak tényleges következő ugrását és a fázisra jellemző gyorsút-viselkedést, mert egy összevont útvonal és egy gyorsút egészen más továbbítást eredményezhet, mint amit a diagram sugall.

A regionális elkülönítés kikényszerítéséhez használjon útválasztást és hozzáférési házirendet. Ha egy fiók nem érhet el közvetlenül egy másik régiót, ezt az útvonalnak és a házirendnek kell kimondania, ahelyett hogy egy olyan azonosítóra támaszkodna, amelyet soha nem erre terveztek. Írja le a házirendet az azonosító mellé. Különben a következő mérnök azt feltételezi, hogy a szám végzi a munkát.

Diagnosztizálja a váratlan gyorsutat

Amikor egy fiók közvetlen kapcsolatot próbál létrehozni egy központi végponttal, vizsgálja meg az útvonalát, az NHRP-leképezését és a kiválasztott alagút-kontextust, mielőtt az azonosítókat találomra módosítaná. A hiányzó elérhetőség, a nem szándékolt NHS-kapcsolat és a jogszerű, de nem engedélyezett gyorsút három különböző javítást igényel.

Az DMVPN-konfigurációs útmutató együtt mutatja az alagút- és NHRP-beállításokat, és éppen ezért kell a hatóköröket először papíron szétválasztani. Rögzítse a felhő szerződéseit, tartsa explicit módon a szintútvonalakat, és a következő határhibának lesz hova mutatnia.