Hierarhisks DMVPN: viens mākonis katrai tuneļa attiecībām

Filiāles mezgls veiksmīgi reģistrējas savā reģionālajā centrā un tomēr nevar sasniegt pakalpojumu citā reģionā. Tunelis darbojas, NHS stāvoklis izskatās veselīgs, un kļūme parādās tikai galamērķiem, kas šķērso slāņa robežu. Šāds modelis parasti nozīmē, ka projektā nekad nav norādīts, kuras ierīces piedalās kurā DMVPN mākonī, tāpēc slāņi tika būvēti pēc intuīcijas un tagad nesakrīt.

Simptoms parādās slāņu robežā

Hierarhiskā projektā centrālais centrs, vairāki reģionālie centri un daudzas filiāles ieņem katra savu pozīciju. Reģionālajam centram var būt vairāk nekā vienas tuneļa attiecības, un filiālēm nav jāreģistrējas katrā centrālajā galapunktā. Svarīgie ceļi ir no filiāles uz reģionālo pakalpojumu, no filiāles uz citu apstiprinātu reģionālo mezglu un no filiāles uz centrālo galamērķi.

Kad viens no šiem ceļiem neizdodas, kamēr pārējie darbojas, problēma gandrīz vienmēr ir trūkstoša vai pretrunīga lomas definīcija, nevis salauzts tunelis. Pierakstiet paredzētos ceļus un salīdziniet tos ar to, ko ierīces faktiski uzbūvēja. Šis salīdzinājums aizņem stundu un novērš nedēļu minējumu. Glabājiet to kopā ar projektēšanas dokumentu.

Viens mākonis, viens saskarnes līgums

Katram mākonim pierakstiet tuneļa saskarni, virsslāņa adresāciju, vietējo pamattīkla avotu, NHS un NBMA attiecības, daudzadrešu piegādi un aizsardzības politiku. Norādiet arī, kuri maršruti šķērso reģionālo un centrālo kontekstu, jo tieši šis teikums ir projekts.

Reģionālajam centram ar divām tuneļa saskarnēm vajag divus līgumus, nevis vienu ar divām adresēm. Pamattīkla avots, NHRP domēns un maršruti var atšķirties katrā saskarnē, un dokuments, kas tos apvieno, maldinās to, kurš konfigurē otro.

ID ir vietējs konteksts, nevis piekļuves kontrole

NHRP tīkla ID un GRE atslēgas ir divas vērtības, kas visbiežāk tiek maldīgi uzskatītas par globāliem iestatījumiem. IOS XE NHRP rokasgrāmata tīkla ID apraksta kā vietēji nozīmīgu, tāpēc sakrītoši numuri attālos maršrutētājos neko neautentificē, un viena maršrutētāja vietējā numura maiņa neveido piekļuves robežu.

GRE atslēga, kur projekts to izmanto, palīdz atpazīt saņēmēja tuneļa kontekstu, un tā tiek saskaņota starp galapunktiem, kas dala šo kontekstu. Tā nav parole un neaizstāj IKE autentifikāciju vai maršrutēšanas politiku. Abas vērtības uzskatiet par konfigurācijas kontekstu, kam jāsakrīt attiecību ietvaros, nevis par drošības kontroli, kas atdala reģionus.

Maršrutējiet starp slāņiem apzināti

Izlemiet, kādus prefiksus reģionālais centrs izsludina uz augšu un kādus centrālos galamērķus tas piedāvā savām filiālēm. Pēc tam pārbaudiet katra ceļa faktisko nākamo lēcienu un fāzei raksturīgo saīsnes uzvedību, jo kopsavilkuma maršruts un saīsne var radīt pavisam citu pārsūtīšanu, nekā shēma liek domāt.

Izmantojiet maršrutēšanu un piekļuves politiku, lai ieviestu reģionālu nodalījumu. Ja filiālei nav jāsasniedz cits reģions tieši, to jāsaka maršrutam un politikai, nevis jāpaļaujas uz ID, kas nekad nav bijis paredzēts tā ieviešanai. Pierakstiet politiku blakus ID. Citādi nākamais inženieris pieņems, ka darbu dara numurs.

Diagnosticējiet negaidīto saīsni

Kad filiāle mēģina izveidot tiešas attiecības ar centrālo galapunktu, pirms ID nejaušas maiņas pārbaudiet tās maršrutu, NHRP kartējumu un izvēlēto tuneļa kontekstu. Nesasniedzamība, netīšas NHS attiecības un likumīga, bet neatļauta saīsne prasa trīs dažādus labojumus.

DMVPN konfigurēšanas rokasgrāmata parāda tuneļa un NHRP iestatījumus kopā, un tieši tāpēc apjomi vispirms jānodala uz papīra. Pierakstiet mākoņa līgumus, uzturiet slāņu maršrutus skaidrus, un nākamajai robežas kļūmei būs kur norādīt.