Tunnel non numerato: quale indirizzo prende in prestito?

Un tunnel non numerato salta il passaggio in cui si inventa una sottorete per l’interfaccia logica, ma non salta del tutto l’indirizzamento. L’implementazione ha comunque bisogno di un’identità IP locale, quindi prende in prestito l’indirizzo di un’altra interfaccia configurata. Quel donatore ora fa parte del progetto: se il suo indirizzo cambia o la sua interfaccia oscilla, il comportamento IP del tunnel lo segue. Tre decisioni vengono confuse nella maggior parte dei testi, e separarle evita una configurazione che sembra corretta e non instrada nulla.

Trattate il donatore come una scelta di progetto, non come un dettaglio sintattico.

Tre ruoli dell’indirizzo, tenuti separati

L’origine esterna è l’indirizzo che trasporta i pacchetti del tunnel attraverso la rete sottostante, ed è quello che il peer deve poter raggiungere. L’indirizzo preso in prestito è l’identità che l’interfaccia logica non numerata usa per l’elaborazione IP una volta decapsulati i pacchetti. I prefissi protetti sono le reti LAN il cui traffico deve attraversare il tunnel, e vengono annunciati da un protocollo di routing, non dall’indirizzo del tunnel. Marcare un’interfaccia come non numerata non assegna nessuno di questi ruoli agli altri.

Questa separazione spiega una confusione comune: prendere in prestito un indirizzo non consegna l’intero segmento Ethernet del donatore al peer remoto.

Scegliere l’interfaccia donatrice

Un loopback è di solito il donatore migliore perché il suo indirizzo è stabile, sempre attivo e indipendente da qualsiasi singolo collegamento fisico. Prendere in prestito da un’interfaccia LAN lega il tunnel allo stato e all’assegnazione degli indirizzi di quell’interfaccia, che è un altro compromesso operativo: comodo in laboratorio, fragile quando la LAN viene reindirizzata. Confermate che la piattaforma supporti il funzionamento non numerato per il tipo di tunnel che state costruendo prima di scegliere l’uno o l’altro.

Qualunque donatore scegliate, documentatelo come dipendenza nel registro delle modifiche, accanto alla configurazione del tunnel stesso.

Configurare e rileggere il tunnel

L’esempio sotto è un tunnel GRE multipunto su router della famiglia IOS, che prende in prestito un loopback e punta la sua origine esterna verso l’interfaccia sottostante. L’identità NHRP è separata dall’indirizzo preso in prestito e deve essere configurata esplicitamente.

interface Loopback0
 ip address 10.255.255.1 255.255.255.255
interface Tunnel0
 ip unnumbered Loopback0
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 ip nhrp network-id 100
! verify
show interfaces Tunnel0 | include line protocol|Tunnel source
show ip interface brief | include Tunnel|Loopback
show ip nhrp

Leggete prima la riga dell’interfaccia: un tunnel non numerato che si dichiara down non instraderà nulla, qualunque sia l’indirizzo preso in prestito. Poi verificate che il donatore sia attivo e che il suo indirizzo sia quello che intendevate, perché un loopback reindirizzato cambia silenziosamente l’identità che il tunnel presenta.

Concludete controllando la tabella di routing per i prefissi protetti e l’adiacenza sopra il tunnel, poiché uno stato dell’interfaccia corretto non dimostra la raggiungibilità di nessuno dei due.

Ciò che l’indirizzo preso in prestito non fornisce

DMVPN ha bisogno di registrazioni e mappature NHRP perché gli spokes possano risolversi a vicenda; una linea non numerata non ne fornisce nulla. Autenticazione, inoltro consentito e rotte di ritorno sono ancora necessari, e un protocollo di routing deve formare un’adiacenza attraverso il tunnel prima che qualsiasi prefisso venga scambiato. Ognuno di questi può fallire mentre l’interfaccia si dichiara attiva, per questo la verifica va dall’indirizzo alla mappatura e da lì alla rotta.

Anche la sintassi dei comandi e le regole di indirizzamento variano in base al prodotto e alla versione, quindi adattatevi al modello di interfaccia del dispositivo che avete davanti invece di copiare una configurazione da un’altra piattaforma. L’obiettivo può essere identico mentre le righe necessarie non lo sono.

Scrivete il donatore, l’origine esterna e i prefissi annunciati nella documentazione del tunnel, poi aggiungete un controllo che fallisca in modo rumoroso se l’indirizzo del donatore cambia. Quel singolo controllo intercetta la modalità di guasto che i progetti non numerati tendono a nascondere di più.