Pilih sumber pendaftaran yang stabil untuk ahli GET VPN

Seseorang mengarahkan pendaftaran ahli kumpulan ke alamat loopback dan mengisytiharkan ketidakstabilan GET VPN telah selesai. Kadangkala memang begitu. Selalunya loopback hanya boleh dicapai dari jadual penghalaan ahli itu sendiri dan dari tempat lain tidak, jadi pendaftaran masih rosak pada kali seterusnya uplink yang membawanya berayun. Alamat pendaftaran ialah identiti dalam satah kawalan, dan ia hanya membantu apabila laluan sebenar wujud dalam kedua-dua arah. Memilihnya secara sedar berbaloi, dan ia perubahan yang lebih kecil daripada yang disarankan cerita rakyat.

Apa yang dikenal pasti oleh alamat pendaftaran

Dalam penggunaan GDOI, ahli kumpulan mendaftar dengan pelayan kunci dan menerima dasar kumpulan daripadanya. Alamat yang dicatatkan oleh pelayan kunci ialah identiti ahli untuk perbualan itu.

Identiti itu merangkumi perbualan kawalan: pendaftaran, pembaharuan kunci dan muat turun dasar. Ia tidak menjadi sumber trafik pelanggan, dan ia tidak mengubah antara muka mana yang melindungi aliran mana.

Mengasingkan kedua-duanya ialah langkah pertama, kerana sebahagian besar kekeliruan tentang tetapan ini datang daripada jangkaan bahawa perubahan dalam satah kawalan akan membaiki simptom dalam satah data.

Loopback hanya sebaik laluannya

Loopback memberi ahli alamat logik yang tidak hilang apabila satu uplink fizikal gagal. Itu faedah sebenar pada penghala dengan beberapa laluan ke pelayan kunci.

Tetapi ia juga hanya satu alamat. Jika pelayan kunci tiada laluan balik ke situ, pendaftaran gagal sama seperti sebelum ini. Jika jadual penghalaan ahli hanya mencapai pelayan kunci melalui satu uplink, loopback itu stabil dan laluannya tidak.

Semak kebolehcapaian dalam kedua-dua arah melalui setiap uplink yang anda mahu kekal. Loopback yang kekal aktif secara pentadbiran tidak membuktikan apa-apa tentang penghantaran, dan kegagalan muncul sebagai pelayan kunci tidak tercapai dan bukan sebagai masalah antara muka. Tulis semakan itu sebagai arahan bagi setiap uplink, bukan sebagai andaian. Dengan itu tetingkap perubahan seterusnya bermula daripada bukti dan bukan daripada rajah.

Asingkan kawalan dan trafik yang dilindungi

Panduan bypass GDOI daripada Cisco mendokumenkan antara muka pendaftaran dan hubungan antara pendaftaran dan pengendalian bypass. Baca tingkah laku untuk keluaran yang benar-benar anda jalankan dan bukan memperlakukan satu frasa sebagai arahan sejagat.

Semak penapisan dan terjemahan pada laluan kawalan, dan pastikan trafik pengurusan kunci tidak secara tidak sengaja disapu ke dalam dasar perlindungan yang bergantung pada dasar kumpulan yang sedang cuba diambilnya. Kebergantungan bulat seperti itu ialah cara klasik untuk membuat penggunaan yang berfungsi gagal selepas perubahan dasar.

Dasar satah data ialah reka bentuk yang berasingan. Mengubah dari mana pendaftaran datang membiarkan aliran yang dilindungi, pemilih dan peraturan bypass kekal tepat di tempatnya.

Semak identiti sepanjang peralihan

Sebelum perubahan, catat kumpulan, alamat pendaftaran yang dipilih, destinasi pelayan kunci, konteks penghalaan dan laluan kawalan yang dibenarkan. Selepas perubahan uplink yang diluluskan, semak semula paparan ahli berdaftar di pelayan kunci dan keadaan kawalan ahli.

Apa yang anda mahu lihat ialah titik akhir logik yang dimaksudkan masih boleh dicapai dan masih diwakili seperti yang anda reka. Apa yang anda tidak mahu ialah pendaftaran kedua daripada alamat yang tidak anda maksudkan, kerana begitulah entri ahli berganda muncul.

Kemudian uji trafik aplikasi yang dilindungi secara berasingan. Pemindahan boleh berjaya sementara pembaharuan kunci seterusnya tiada tempat untuk pergi, dan pendaftaran yang berjaya tidak menyatakan apa-apa tentang sama ada aliran tertentu dipilih dan dihalakan dengan betul.

Apa yang tidak dibaiki oleh sumber yang stabil

Ia tidak membuang entri ahli berganda yang dicipta oleh salah konfigurasi terdahulu. Ia tidak membaiki kegagalan pembaharuan kunci yang disebabkan oleh ketidakpadanan dasar antara ahli dan pelayan kunci. Ia tidak bertahan daripada kegagalan laluan fizikal yang membuang satu-satunya laluan ke pelayan kunci.

Apa yang dilakukannya ialah membuang satu pemboleh ubah: identiti tidak lagi berubah apabila alamat uplink berubah. Itu berbaloi dimiliki, dan ia satu baris dalam reka bentuk dan bukan keseluruhan reka bentuk.

Urutan kerja: namakan laluan kawalan, pilih alamat dengan laluan dalam kedua-dua arah, sahkan paparan pelayan kunci, kemudian uji trafik yang dilindungi secara berasingan. Jika pendaftaran masih gagal, loopback tidak pernah menjadi masalahnya.