DMVPN hierarki: satu awan bagi setiap hubungan terowong

Satu nod cawangan berjaya mendaftar dengan hab serantaunya dan masih tidak dapat mencapai perkhidmatan di wilayah lain. Terowong aktif, keadaan NHS kelihatan sihat, dan kegagalan hanya muncul untuk destinasi yang melintasi sempadan lapisan. Corak itu biasanya bermaksud reka bentuk tidak pernah menyatakan peranti mana menyertai awan DMVPN yang mana, jadi lapisan dibina secara gerak hati dan kini tidak lagi sepadan.

Gejala muncul di sempadan lapisan

Dalam reka bentuk hierarki, hab pusat, beberapa hab serantau dan banyak cawangan masing-masing memegang kedudukan. Hab serantau boleh memiliki lebih daripada satu hubungan terowong, dan cawangan tidak perlu mendaftar di setiap titik akhir pusat. Laluan yang penting ialah cawangan ke perkhidmatan serantau, cawangan ke nod serantau lain yang diluluskan, dan cawangan ke destinasi pusat.

Apabila salah satu laluan itu gagal manakala yang lain berfungsi, masalahnya hampir selalu definisi peranan yang hilang atau bercanggah, bukan terowong yang rosak. Tulis laluan yang dimaksudkan dan bandingkannya dengan apa yang sebenarnya dibina oleh peranti. Perbandingan itu mengambil masa satu jam dan mengelakkan seminggu tekaan. Simpan bersama dokumen reka bentuk.

Satu awan, satu kontrak antara muka

Bagi setiap awan, catat antara muka terowong, pengalamatan tindihan, sumber rangkaian asas tempatan, hubungan NHS dan NBMA, penghantaran multicast dan dasar perlindungan. Nyatakan juga laluan mana yang melintasi antara konteks serantau dan pusat, kerana ayat itulah reka bentuknya.

Hab serantau dengan dua antara muka terowong memerlukan dua kontrak, bukan satu dengan dua alamat. Sumber rangkaian asas, domain NHRP dan laluan boleh berbeza bagi setiap antara muka, dan dokumen yang menggabungkannya akan mengelirukan sesiapa yang mengkonfigurasi yang kedua.

ID ialah konteks tempatan, bukan kawalan akses

ID rangkaian NHRP dan kunci GRE ialah dua nilai yang paling kerap disalah anggap sebagai tetapan global. Panduan NHRP IOS XE menerangkan ID rangkaian sebagai signifikan secara tempatan, jadi nombor yang sepadan pada penghala jauh tidak mengesahkan apa-apa dan menukar nombor tempatan satu penghala tidak mencipta sempadan akses.

Kunci GRE, di mana reka bentuk menggunakannya, membantu mengenal pasti konteks terowong penerima, dan ia dipersetujui antara titik akhir yang berkongsi konteks itu. Ia bukan kata laluan dan tidak menggantikan pengesahan IKE atau dasar penghalaan. Anggap kedua-dua nilai sebagai konteks konfigurasi yang mesti sepadan dalam sesuatu hubungan, bukan sebagai kawalan keselamatan yang memisahkan wilayah.

Halakan antara lapisan dengan sengaja

Tentukan awalan mana yang diiklankan oleh hab serantau ke atas dan destinasi pusat mana yang ditawarkannya kepada cawangannya. Kemudian semak lompatan seterusnya sebenar dan tingkah laku pintasan khusus fasa bagi setiap laluan, kerana laluan ringkasan dan pintasan boleh menghasilkan penghantaran yang sangat berbeza daripada yang dicadangkan rajah.

Gunakan penghalaan dan dasar akses untuk menguatkuasakan pemisahan serantau. Jika cawangan tidak boleh mencapai wilayah lain secara langsung, laluan dan dasar harus menyatakannya, bukan bergantung pada ID yang tidak pernah direka untuk menguatkuasakannya. Tulis dasar itu di sebelah ID. Jika tidak, jurutera seterusnya akan menganggap nombor itulah yang melakukan kerja.

Diagnosis pintasan yang tidak dijangka

Apabila cawangan cuba mencipta hubungan langsung dengan titik akhir pusat, periksa laluannya, pemetaan NHRP dan konteks terowong yang dipilih sebelum menukar ID secara rawak. Ketidakbolehcapaian, hubungan NHS yang tidak disengajakan dan pintasan sah tetapi tidak dibenarkan memerlukan tiga pembetulan berbeza.

Panduan konfigurasi DMVPN menunjukkan tetapan terowong dan NHRP bersama-sama, dan itulah sebabnya skop perlu dipisahkan di atas kertas terlebih dahulu. Catat kontrak awan, kekalkan laluan lapisan secara eksplisit, dan kegagalan sempadan seterusnya akan ada tempat untuk ditunjuk.