Pasirinkite stabilų GET VPN narių registracijos šaltinį

Kažkas nukreipia grupės nario registraciją į loopback adresą ir paskelbia, kad GET VPN nestabilumas išspręstas. Kartais taip ir yra. Dažnai loopback pasiekiamas tik iš paties nario maršrutų lentelės, o iš niekur kitur, todėl registracija vėl lūžta, kai kitą kartą suplasta ją nešęs uplink. Registracijos adresas yra tapatybė valdymo plokštumoje, ir ji padeda tik tada, kai abiem kryptimis egzistuoja tikras kelias. Sąmoningai jį pasirinkti verta, ir tai mažesnis pokytis, nei byloja liaudies išmintis.

Ką identifikuoja registracijos adresas

GDOI diegime grupės narys registruojasi raktų serveryje ir iš jo gauna grupės politiką. Adresas, kurį serveris užfiksuoja, yra nario tapatybė tam pokalbiui.

Ši tapatybė apima valdymo pokalbį: registraciją, raktų atnaujinimą ir politikos atsisiuntimą. Jis netampa klientų srauto šaltiniu, ir nekeičia, kurios sąsajos saugo kuriuos srautus.

Atskirti šiuos du dalykus yra pirmas žingsnis, nes didžioji dalis painiavos apie šį nustatymą kyla iš lūkesčio, kad valdymo plokštumos pokytis ištaisys duomenų plokštumos simptomą.

Loopback yra tik toks geras, koks jo maršrutas

Loopback suteikia nariui loginį adresą, kuris neišnyksta, kai viena fizinė uplink sąsaja sugenda. Tai tikra nauda maršrutizatoriuje, turinčiame kelis kelius į raktų serverį.

Bet tai irgi tik adresas. Jei raktų serveris neturi grįžimo maršruto į jį, registracija žlunga lygiai taip pat kaip anksčiau. Jei nario maršrutų lentelė pasiekia raktų serverį tik per vieną uplink, loopback yra stabilus, o kelias ne.

Patikrinkite pasiekiamumą abiem kryptimis per kiekvieną uplink, kurį norite išsaugoti. Administraciniu požiūriu veikiantis loopback nieko neįrodo apie persiuntimą, o gedimas pasirodo kaip nepasiekiamas raktų serveris, o ne sąsajos problema. Užrašykite patikrinimą kaip komandą kiekvienam uplink, o ne kaip prielaidą. Tada kitas keitimo langas prasideda nuo įrodymų, o ne nuo schemos.

Laikykite valdymą ir apsaugotą srautą atskirai

Cisco GDOI apėjimo vadovas dokumentuoja registracijos sąsają ir ryšį tarp registracijos ir apėjimo apdorojimo. Skaitykite elgseną tos versijos, kurią iš tikrųjų vykdote, o ne traktuokite vieną frazę kaip universalią komandą.

Peržiūrėkite filtravimą ir vertimą valdymo kelyje ir patvirtinkite, kad raktų valdymo srautas netyčia nepatenka į apsaugos politiką, kuri priklauso būtent nuo tos grupės politikos, kurią jis bando gauti. Tokia ciklinė priklausomybė yra klasikinis būdas priversti veikiančią diegimą žlugti po politikos pakeitimo.

Duomenų plokštumos politika yra atskiras dizainas. Pakeitus, iš kur ateina registracija, apsaugoti srautai, selektoriai ir apėjimo taisyklės lieka tiksliai ten, kur buvo.

Patikrinkite tapatybę pereinamuoju laikotarpiu

Prieš pakeitimą užrašykite grupę, pasirinktą registracijos adresą, raktų serverio paskirties vietą, maršrutizavimo kontekstą ir leidžiamą valdymo kelią. Po patvirtinto uplink pakeitimo dar kartą patikrinkite serverio registruotų narių vaizdą ir nario valdymo būseną.

Norite matyti, kad numatytas loginis galinis taškas vis dar pasiekiamas ir vis dar pateikiamas taip, kaip suprojektavote. Nenorite matyti antros registracijos iš adreso, kurio nenumatėte, nes būtent taip atsiranda pasikartojantys nario įrašai.

Tada atskirai išbandykite apsaugotą programų srautą. Perdavimas gali pavykti, nors kitas raktų atnaujinimas neturi kur eiti, o sėkminga registracija nieko nesako apie tai, ar konkretus srautas teisingai parinktas ir maršrutizuotas.

Ko stabilus šaltinis nepataiso

Jis nepašalina pasikartojančių nario įrašų, sukurtų ankstesnės klaidingos konfigūracijos. Jis nepataiso raktų atnaujinimo gedimo, kurį sukėlė politikos neatitikimas tarp nario ir raktų serverio. Jis neišgyvena fizinio kelio gedimo, kuris pašalino vienintelį maršrutą į raktų serverį.

Ką jis daro, tai pašalina vieną kintamąjį: tapatybė nebekeičia, kai keičiasi uplink adresas. Tai verta turėti, ir tai viena eilutė dizaine, o ne visas dizainas.

Darbo tvarka: įvardykite valdymo kelią, pasirinkite adresą su maršrutu abiem kryptimis, patvirtinkite serverio vaizdą ir tada atskirai išbandykite apsaugotą srautą. Jei registracija vis tiek žlunga, loopback niekada nebuvo problema.