Изберете стабилен извор на регистрација за членовите на GET VPN

Некој ја насочува регистрацијата на членот од групата кон адреса loopback и објавува дека нестабилноста на GET VPN е решена. Понекогаш е така. Често loopback е достапен само од сопствената табела за рутирање на членот и од никаде на друго место, па регистрацијата повторно се крши следниот пат кога uplink-от што ја носеше ќе се разница. Адресата за регистрација е идентитет во контролната рамнина и помага само кога постои вистинска патека во двете насоки. Свесно да се избере вреди, и тоа е помала промена отколку што сугерира народното мислење.

Што идентификува адресата за регистрација

Во распоредување со GDOI членот на групата се регистрира кај серверот за клучеви и од него ја добива групната политика. Адресата што серверот ја запишува е идентитетот на членот за тој разговор.

Тој идентитет го покрива контролниот разговор: регистрација, обновување на клучевите и преземање на политиката. Таа не станува извор на клиентски сообраќај, и не менува кои интерфејси ги штитат кои текови.

Одвојувањето на двете е прв чекор, бидејќи најголемиот дел од конфузијата околу оваа поставка доаѓа од очекувањето промена во контролната рамнина да поправи симптом во податочната рамнина.

Loopback вреди онолку колку што вреди неговата рута

Loopback му дава на членот логичка адреса што не исчезнува кога еден физички uplink откажува. Тоа е вистинска предност на рутер со повеќе патеки до серверот за клучеви.

Но тоа е и само адреса. Ако серверот за клучеви нема повратна рута до неа, регистрацијата откажува исто како порано. Ако табелата за рутирање на членот стигнува до серверот само преку еден uplink, loopback е стабилен, а патеката не е.

Проверете достапност во двете насоки низ секој uplink што сакате да го преживее. Loopback што останува административно активен не докажува ништо за препраќањето, и дефектот се појавува како недостапен сервер за клучеви, а не како проблем со интерфејс. Запишете ја проверката како команда за секој uplink, а не како претпоставка. Тогаш следниот прозорец за промени започнува со докази, а не со дијаграм.

Држете ги контролата и заштитениот сообраќај одвоени

Cisco-виот водич за заобиколување на GDOI го документира интерфејсот за регистрација и врската меѓу регистрацијата и обработката на заобиколувањето. Прочитајте го однесувањето за изданието што навистина го извршувате, наместо да третирате една фраза како универзална команда.

Прегледајте го филтрирањето и преводот на контролната патека и потврдете дека сообраќајот за управување со клучеви не е случајно вовлечен во заштитна политика што зависи токму од групната политика што тој се обидува да ја преземе. Таквата кружна зависност е класичен начин да се направи работно распоредување да откаже по промена на политиката.

Политиката на податочната рамнина е посебен дизајн. Менувањето од каде доаѓа регистрацијата ги остава заштитените текови, селекторите и правилата за заобиколување точно таму каде што беа.

Проверете го идентитетот за време на преминот

Пред промената запишете ја групата, избраната адреса за регистрација, одредиштето на серверот за клучеви, контекстот на рутирање и дозволената контролна патека. По одобрена промена на uplink, повторно проверете го приказот на регистрирани членови на серверот и контролната состојба на членот.

Она што сакате да го видите е предвидената логичка крајна точка сè уште достапна и сè уште претставена како што ја проектиравте. Она што не сакате е второ регистрирање од адреса што не сте ја предвиделе, бидејќи токму така се појавуваат дупликатите записи на членови.

Потоа одделно тестирајте го заштитениот апликациски сообраќај. Преносот може да успее додека следното обновување на клучевите нема каде да оди, а успешната регистрација не кажува ништо за тоа дали одреден тек е правилно избран и рутиран.

Што не поправа стабилен извор

Тој не ги отстранува дупликатите записи на членови создадени од претходна погрешна конфигурација. Не го поправа откажувањето на обновувањето на клучевите предизвикано од несовпаѓање на политиките меѓу членот и серверот. Не преживува отказ на физичка патека што ја отстрани единствената рута до серверот.

Она што го прави е да отстрани една променлива: идентитетот повеќе не се менува кога се менува адресата на uplink. Тоа вреди да се има, и тоа е еден ред во дизајнот, а не целиот дизајн.

Редослед на работа: именувајте ја контролната патека, изберете адреса со рута во двете насоки, потврдете го приказот на серверот и потоа одделно тестирајте го заштитениот сообраќај. Ако регистрацијата сè уште откажува, loopback никогаш не бил проблемот.