DMVPN gerarchico: un cloud per ogni relazione di tunnel

Un nodo di filiale si registra correttamente al proprio hub regionale e continua a non raggiungere un servizio in un'altra regione. Il tunnel è attivo, lo stato di NHS sembra sano, e il guasto compare solo per destinazioni che attraversano un confine di livello. Questo schema di solito significa che il progetto non ha mai dichiarato quali dispositivi partecipano a quale cloud DMVPN, quindi i livelli sono stati costruiti a intuito e ora non concordano.

Il sintomo compare al confine dei livelli

In un progetto gerarchico, un hub centrale, diversi hub regionali e molte filiali occupano ciascuno una posizione. Un hub regionale può possedere più di una relazione di tunnel, e le filiali non devono registrarsi a ogni endpoint centrale. I percorsi che contano sono da filiale a servizio regionale, da filiale a un altro nodo regionale approvato e da filiale a una destinazione centrale.

Quando uno di questi percorsi fallisce mentre gli altri funzionano, il problema è quasi sempre una definizione di ruolo mancante o contraddittoria, non un tunnel rotto. Scrivete i percorsi previsti e confrontateli con ciò che i dispositivi hanno realmente costruito. Quel confronto richiede un'ora e previene una settimana di congetture. Conservatelo con il documento di progetto.

Un cloud, un contratto di interfaccia

Per ogni cloud, annotate l'interfaccia del tunnel, l'indirizzamento di sovrapposizione, la sorgente locale della rete sottostante, le relazioni NHS e NBMA, la distribuzione multicast e la politica di protezione. Indicate anche quali rotte attraversano i contesti regionale e centrale, perché quella frase è il progetto.

Un hub regionale con due interfacce di tunnel ha bisogno di due contratti, non di uno con due indirizzi. La sorgente della rete sottostante, il dominio NHRP e le rotte possono differire per interfaccia, e un documento che le unisce indurrà in errore chi configura la seconda.

Gli ID sono contesto locale, non controllo degli accessi

Gli ID di rete NHRP e le chiavi GRE sono i due valori più spesso scambiati per impostazioni globali. La guida NHRP di IOS XE descrive l'ID di rete come localmente significativo, quindi numeri uguali su router remoti non autenticano nulla e cambiare il numero locale di un router non crea un confine di accesso.

Una chiave GRE, quando il progetto ne usa una, aiuta a identificare il contesto del tunnel ricevente, ed è concordata tra gli estremi che condividono quel contesto. Non è una password e non sostituisce l'autenticazione IKE né la politica di routing. Trattate entrambi i valori come contesto di configurazione che deve corrispondere all'interno di una relazione, non come controlli di sicurezza che separano le regioni.

Instradate deliberatamente tra i livelli

Decidete quali prefissi l'hub regionale annuncia verso l'alto e quali destinazioni centrali offre alle sue filiali. Poi verificate il prossimo salto reale e il comportamento della scorciatoia specifico della fase per ogni percorso, perché una rotta di riepilogo e una scorciatoia possono produrre un inoltro molto diverso da quanto suggerisce il diagramma.

Usate l'instradamento e la politica di accesso per imporre la separazione regionale. Se una filiale non deve raggiungere direttamente un'altra regione, la rotta e la politica devono dirlo, invece di affidarsi a un ID che non è mai stato progettato per imporlo. Scrivete la politica accanto all'ID. Altrimenti il prossimo ingegnere presumerà che il numero faccia il lavoro.

Diagnosticate la scorciatoia inattesa

Quando una filiale tenta di creare una relazione diretta con un endpoint centrale, esaminate la sua rotta, la sua mappatura NHRP e il contesto del tunnel selezionato prima di cambiare gli ID a caso. L'assenza di raggiungibilità, una relazione NHS non voluta e una scorciatoia legittima ma non autorizzata richiedono tre correzioni diverse.

La guida alla configurazione di DMVPN mostra le impostazioni del tunnel e di NHRP insieme, ed è proprio per questo che gli ambiti vanno separati prima sulla carta. Annotate i contratti del cloud, mantenete esplicite le rotte dei livelli, e il prossimo guasto di confine avrà un punto a cui puntare.