Хиерархиски DMVPN: еден облак за секоја тунелска врска

Гранката успешно се регистрира кај својот регионален центар и сѐ уште не може да достигне услуга во друг регион. Тунелот е активен, состојбата на NHS изгледа здрава, а дефектот се појавува само за одредишта што ја преминуваат границата на слојот. Овој образец обично значи дека дизајнот никогаш не навел кои уреди учествуваат во кој DMVPN облак, па слоевите биле изградени по интуиција и сега не се совпаѓаат.

Симптомот се појавува на границата на слоевите

Во хиерархиски дизајн, централен центар, неколку регионални центри и многу гранки секој зазема своја позиција. Регионалниот центар може да има повеќе од една тунелска врска, а гранките не мора да се регистрираат кај секоја централна крајна точка. Патиштата што се важни се од гранка до регионална услуга, од гранка до друга одобрена регионална гранка и од гранка до централно одредиште.

Кога еден од тие патишта откажува додека другите работат, проблемот речиси секогаш е недостижна или противречна дефиниција на улога, а не расипан тунел. Запишете ги предвидените патишта и споредете ги со она што уредите навистина го изградиле. Таа споредба трае еден час и спречува една недела погодување. Чувајте ја со документот за дизајн.

Еден облак, еден договор за интерфејс

За секој облак запишете го тунелскиот интерфејс, адресирањето на горниот слој, локалниот извор на основната мрежа, односите NHS и NBMA, мултикаст доставата и политиката за заштита. Наведете и кои правци преминуваат меѓу регионалниот и централниот контекст, бидејќи токму таа реченица е дизајнот.

Регионален центар со два тунелски интерфејси бара два договори, а не еден со две адреси. Изворот на основната мрежа, доменот NHRP и правците можат да се разликуваат по интерфејс, а документ што ги спојува ќе го заведе оној што го конфигурира вториот.

Идентификаторите се локален контекст, не контрола на пристап

Мрежните идентификатори на NHRP и GRE клучевите се двете вредности најчесто погрешно сфатени како глобални поставки. Водичот за NHRP во IOS XE го опишува мрежниот идентификатор како локално значаен, така што истите броеви на оддалечени рутери не автентицираат ништо и промената на локалниот број на еден рутер не создава граница за пристап.

GRE клучот, каде дизајнот користи еден, помага да се препознае контекстот на примачкиот тунел и се договара меѓу крајните точки што го делат тој контекст. Тој не е лозинка и не ја заменува автентикацијата со IKE или рутирачката политика. Двете вредности третирајте ги како конфигурациски контекст што мора да се совпадне во рамки на врска, а не како безбедносни контроли што одвојуваат региони.

Рутирајте меѓу слоевите намерно

Одлучете кои префикси регионалниот центар ги објавува нагоре и кои централни одредишта ги нуди на своите гранки. Потоа проверете го вистинскиот следен скок и однесувањето на кратенката специфично за фазата за секој пат, бидејќи збирниот правец и кратенката можат да дадат сосема поинакво проследување отколку што сугерира дијаграмот.

Користете рутирање и политика за пристап за да го спроведете регионалното одвојување. Ако гранката не смее директно да достигне друг регион, тоа треба да го кажат правцот и политиката, наместо да се потпира на идентификатор што никогаш не бил дизајниран да го спроведе. Запишете ја политиката до идентификаторот. Инаку следниот инженер ќе претпостави дека бројот ја врши работата.

Дијагностицирајте ја неочекуваната кратенка

Кога гранката се обидува да создаде директна врска со централна крајна точка, проверете го нејзиниот правец, нејзиното NHRP мапирање и избраниот тунелски контекст пред случајно да ги менувате идентификаторите. Недостапноста, ненамерната врска со NHS и законската но неовластена кратенка бараат три различни поправки.

Водичот за конфигурација на DMVPN ги прикажува поставките за тунелот и NHRP заедно, и токму затоа опфатите прво треба да се одделат на хартија. Запишете ги договорите за облакот, држете ги правците на слоевите експлицитни, и следниот дефект на границата ќе има каде да покаже.