Hierarchinis DMVPN: vienas debesis kiekvienam tunelio ryšiui

Filialo mazgas sėkmingai registruojasi savo regioniniame koncentratoriuje ir vis tiek nepasiekia paslaugos kitame regione. Tunelis veikia, NHS būsena atrodo sveika, o gedimas pasireiškia tik tiems tikslams, kurie kerta sluoksnio ribą. Toks modelis paprastai reiškia, kad projekte niekada nebuvo nurodyta, kurie įrenginiai dalyvauja kuriame DMVPN debesyje, todėl sluoksniai buvo sukurti intuityviai ir dabar nesutampa.

Simptomas pasireiškia sluoksnių riboje

Hierarchinėje konstrukcijoje centrinis koncentratorius, keli regioniniai koncentratoriai ir daug filialo mazgų užima kiekvienas savo poziciją. Regioninis koncentratorius gali turėti daugiau nei vieną tunelio ryšį, o filialams nereikia registruotis kiekviename centriniame galiniame taške. Svarbūs keliai yra nuo filialo iki regioninės paslaugos, nuo filialo iki kito patvirtinto regioninio mazgo ir nuo filialo iki centrinio tikslo.

Kai vienas iš šių kelių nepavyksta, o kiti veikia, problema beveik visada yra trūkstamas arba prieštaringas vaidmens apibrėžimas, o ne sugedęs tunelis. Užrašykite numatytus kelius ir palyginkite juos su tuo, ką įrenginiai iš tikrųjų pastatė. Šis palyginimas užima valandą ir užkerta kelią savaitės spėlionėms. Laikykite jį kartu su projektavimo dokumentu.

Vienas debesis, viena sąsajos sutartis

Kiekvienam debesiui užrašykite tunelio sąsają, viršutinio sluoksnio adresavimą, vietinį pagrindinio tinklo šaltinį, NHS ir NBMA ryšius, daugiaadresį pristatymą ir apsaugos politiką. Taip pat nurodykite, kurie maršrutai kerta regioninį ir centrinį kontekstus, nes būtent tas sakinys ir yra projektas.

Regioniniam koncentratoriui su dviem tunelio sąsajomis reikia dviejų sutarčių, o ne vienos su dviem adresais. Pagrindinio tinklo šaltinis, NHRP domenas ir maršrutai gali skirtis pagal sąsają, o dokumentas, kuris juos sujungia, suklaidins tą, kuris konfigūruoja antrąją.

ID yra vietinis kontekstas, o ne prieigos kontrolė

NHRP tinklo ID ir GRE raktai yra dvi reikšmės, kurios dažniausiai klaidingai laikomos visuotiniais nustatymais. IOS XE NHRP vadovas tinklo ID apibūdina kaip vietiškai reikšmingą, todėl sutampantys numeriai nuotoliniuose maršrutizatoriuose nieko neatpažįsta, o vieno maršrutizatoriaus vietinio numerio pakeitimas nesukuria prieigos ribos.

GRE raktas, kai projektas jį naudoja, padeda atpažinti priimančiojo tunelio kontekstą ir yra suderinamas tarp galinių taškų, kurie dalijasi tuo kontekstu. Tai ne slaptažodis ir nepakeičia IKE autentifikavimo ar maršrutizavimo politikos. Abi reikšmes traktuokite kaip konfigūracijos kontekstą, kuris turi sutapti ryšio viduje, o ne kaip saugos kontrolę, skiriančią regionus.

Maršrutizuokite tarp sluoksnių sąmoningai

Nuspręskite, kokius prefiksus regioninis koncentratorius skelbia aukštyn ir kokius centrinius tikslus siūlo savo filialams. Tada patikrinkite kiekvieno kelio faktinį kitą šuolį ir nuo fazės priklausantį trumpinio elgesį, nes apibendrintas maršrutas ir trumpinys gali duoti visiškai kitokį persiuntimą, nei rodo diagrama.

Naudokite maršrutizavimą ir prieigos politiką regioniniam atskyrimui užtikrinti. Jei filialas neturi tiesiogiai pasiekti kito regiono, tai turi pasakyti maršrutas ir politika, o ne pasikliauti ID, kuris niekada nebuvo skirtas tam užtikrinti. Užrašykite politiką šalia ID. Priešingu atveju kitas inžinierius manys, kad darbą atlieka numeris.

Diagnozuokite netikėtą trumpinį

Kai filialas bando sukurti tiesioginį ryšį su centriniu galiniu tašku, prieš atsitiktinai keisdami ID, patikrinkite jo maršrutą, NHRP atvaizdavimą ir pasirinktą tunelio kontekstą. Nepasiekiamumas, netyčinis NHS ryšys ir teisėtas, bet neleistinas trumpinys reikalauja trijų skirtingų pataisymų.

DMVPN konfigūravimo vadovas rodo tunelio ir NHRP nustatymus kartu, ir būtent todėl apimtis pirmiausia reikia atskirti popieriuje. Užrašykite debesies sutartis, palaikykite sluoksnių maršrutus aiškius, ir kitas ribos gedimas turės į ką parodyti.