Izvēlieties stabilu GET VPN dalībnieku reģistrācijas avotu

Kāds novirza grupas dalībnieka reģistrāciju uz loopback adresi un paziņo, ka GET VPN nestabilitāte ir atrisināta. Dažreiz tā ir. Bieži loopback ir sasniedzams tikai no paša dalībnieka maršrutēšanas tabulas un ne no kurienes citur, tāpēc reģistrācija atkal salūzt nākamajā reizē, kad uplink, kas to nesa, iesvārstās. Reģistrācijas adrese ir identitāte vadības plaknē, un tā palīdz tikai tad, kad abos virzienos pastāv īsts ceļš. Apzināti to izvēlēties ir tā vērts, un tas ir mazāks grozījums, nekā vēsta tautas gudrība.

Ko identificē reģistrācijas adrese

GDOI ieviešanā grupas dalībnieks reģistrējas atslēgu serverī un no tā saņem grupas politiku. Adrese, ko serveris fiksē, ir dalībnieka identitāte šai sarunai.

Šī identitāte aptver vadības sarunu: reģistrāciju, atslēgu atjaunošanu un politikas lejupielādi. Tā nekļūst par klientu trafika avotu, un tas nemaina, kuras saskarnes aizsargā kuras plūsmas.

Abu atdalīšana ir pirmais solis, jo lielākā daļa apjukumu ap šo iestatījumu rodas no gaidām, ka vadības plaknes izmaiņas izlabos datu plaknes simptomu.

Loopback ir tik labs, cik labs ir tā maršruts

Loopback dod dalībniekam loģisku adresi, kas neizzūd, kad viena fiziska uplink saskarne sabojājas. Tas ir reāls ieguvums maršrutētājā ar vairākiem ceļiem uz atslēgu serveri.

Bet tas arī ir tikai adrese. Ja atslēgu serverim nav atgriešanās maršruta uz to, reģistrācija neizdodas tieši tāpat kā agrāk. Ja dalībnieka maršrutēšanas tabula sasniedz atslēgu serveri tikai caur vienu uplink, loopback ir stabils, bet ceļš nav.

Pārbaudiet sasniedzamību abos virzienos caur katru uplink, kuru vēlaties saglabāt. Loopback, kas paliek administratīvi aktīvs, neko nepierāda par pārsūtīšanu, un kļūme izpaužas kā nesasniedzams atslēgu serveris, nevis kā saskarnes problēma. Pierakstiet pārbaudi kā komandu katram uplink, nevis kā pieņēmumu. Tad nākamais izmaiņu logs sākas ar pierādījumiem, nevis ar shēmu.

Turiet vadību un aizsargāto trafiku atsevišķi

Cisco GDOI apiešanas rokasgrāmata dokumentē reģistrācijas saskarni un attiecības starp reģistrāciju un apiešanas apstrādi. Lasiet uzvedību tai versijai, kuru tiešām izmantojat, nevis uzskatiet vienu frāzi par universālu komandu.

Pārskatiet filtrēšanu un tulkošanu vadības ceļā un apstipriniet, ka atslēgu pārvaldības trafiks nejauši nenokļūst aizsardzības politikā, kas ir atkarīga tieši no tās grupas politikas, kuru tas cenšas iegūt. Šāda cikliska atkarība ir klasisks veids, kā panākt, ka strādājošs izvietojums neizdodas pēc politikas maiņas.

Datu plaknes politika ir atsevišķs dizains. Mainot to, no kurienes nāk reģistrācija, aizsargātās plūsmas, selektori un apiešanas noteikumi paliek tieši tur, kur tie bija.

Pārbaudiet identitāti pārejas laikā

Pirms izmaiņām pierakstiet grupu, izvēlēto reģistrācijas adresi, atslēgu servera galamērķi, maršrutēšanas kontekstu un atļauto vadības ceļu. Pēc apstiprinātām uplink izmaiņām vēlreiz pārbaudiet servera reģistrēto dalībnieku skatu un dalībnieka vadības stāvokli.

Jūs vēlaties redzēt, ka paredzētais loģiskais galapunkts joprojām ir sasniedzams un joprojām attēlots tā, kā to projektējāt. Jūs nevēlaties redzēt otru reģistrāciju no adreses, kuru neplānojāt, jo tieši tā rodas dalībnieka dublētie ieraksti.

Pēc tam atsevišķi pārbaudiet aizsargāto lietojumprogrammu trafiku. Pārsūtīšana var izdoties, kamēr nākamajai atslēgu atjaunošanai nav kur iet, un veiksmīga reģistrācija neko nepasaka par to, vai konkrēta plūsma ir pareizi izvēlēta un maršrutēta.

Ko stabils avots neizlabo

Tas neizņem dublētos dalībnieka ierakstus, ko radījusi iepriekšēja nepareiza konfigurācija. Tas nelabo atslēgu atjaunošanas kļūmi, ko izraisījusi politikas neatbilstība starp dalībnieku un atslēgu serveri. Tas neiztur fiziska ceļa kļūmi, kas noņēma vienīgo maršrutu uz atslēgu serveri.

Tas, ko tas dara, ir noņem vienu mainīgo: identitāte vairs nemainās, kad mainās uplink adrese. Tas ir tā vērts, un tas ir viena rinda dizainā, nevis viss dizains.

Darbu secība: nosauciet vadības ceļu, izvēlieties adresi ar maršrutu abos virzienos, apstipriniet servera skatu un pēc tam atsevišķi pārbaudiet aizsargāto trafiku. Ja reģistrācija joprojām neizdodas, loopback nekad nav bijis problēma.