DMVPN fase 3: de snelkoppeling in beide richtingen lezen
Eén directe ping bewijst geen DMVPN fase 3-snelkoppeling. Loop het heen- en terugpad na en lees daarna de NHRP-, route- en IPsec-status apart.
Je ziet één ping van spoke naar spoke gaan, hij neemt de lange weg via de hub, en de tweede gaat direct. Het is verleidelijk om de snelkoppeling op dat moment als werkend te bestempelen. Die conclusie is half juist. Het heenpad kan een snelkoppeling zijn terwijl het terugpad nog via de hub loopt, en de status die elke richting bewijst is een andere status. Loop beide richtingen na en lees drie tabellen voordat je het ontwerp als gezond accepteert.
Begin bij het pakketpad dat je echt kunt zien
Begin bij een spoke met een bestemming die direct zou moeten zijn. Volg het eerste pakket: het volgt de route van de spoke naar de hub, omdat er nog geen snelkoppeling bestaat. De hub stuurt het door en stuurt in een fase 3-ontwerp ook een omleiding naar de bron dat er een beter pad is.
Die omleiding is de trigger, niet het bewijs. Hij zegt dat de hub verkeer heeft gezien dat geoptimaliseerd kan worden. Hij zegt niet dat de bron de snelkoppeling heeft gebouwd, dat de bestemming de resolutie heeft beantwoord, of dat het antwoordpad hem gebruikt.
De eerste nuttige observatie is dus een voor en na: de eerste flow via de hub, de latere flow direct.
Drie statussen die op één tunnel lijken
De snelkoppeling hangt af van drie statusonderdelen, en elk heeft zijn eigen levensduur en zijn eigen commando.
| State | What it answers | Where to read it |
|---|---|---|
| NHRP cache | Which transport address maps to this overlay address | show ip nhrp |
| Route or shortcut | Where one specific inner prefix is forwarded | show ip route 10.10.20.5 |
| IPsec association | Which peer traffic is protected, and by which SA | show crypto ipsec sa peer 203.0.113.5 |
Een NHRP-cache-item koppelt een overlay-adres aan een NBMA-transportadres. Een route of snelkoppeling bepaalt waar één interne bestemming naartoe wordt gestuurd. Een IPsec-associatie beschermt al het verkeer dat daaruit volgt. Een ontbrekend antwoord kan van een van de drie komen, en de commando's vertellen je welke ontbreekt.
Lees ze in die volgorde, want een ontbrekende koppeling maakt de andere twee oninteressant.
Loop het verzoek en het antwoord apart na
Vraag vanaf spoke A de resolutie op en kijk wat er terugkomt. Het verzoek gaat via het ondersteunde NHRP-doorstuurpad, en de bestemming kan direct antwoorden in plaats van via de hub. Die asymmetrie is normaal, en daarom is het antwoord de interessante helft van de uitwisseling.
Draai nu de rollen om. Stuur van B naar A en herhaal dezelfde drie lezingen. Een ontwerp dat één richting een snelkoppeling geeft en de andere niet, is niet symmetrisch, en de asymmetrie komt meestal van een ontbrekende prefix aan één kant of van een resolutie die nooit een antwoord kreeg.
Het antwoord van de peer hoeft niet via de hub te lopen alleen omdat het verzoek dat deed. Lees dat niet als een fout en ga geen routeringsfout najagen die niet bestaat.
Lees de omleiding van de hub, niet alleen zijn route
De routetabel van de hub vertelt je waar de hub een pakket zou sturen. De omleiding vertelt je wat de hub de bron heeft gevraagd daaraan te doen. Dat zijn verschillende feiten, en een hub met een correcte route en zonder omleidingen houdt elke flow voor onbepaalde tijd op het lange pad. Controleer de NHRP-gebeurtenissen van de hub en bevestig dat er omleidingen worden gegenereerd voor het verkeer dat je aangaat.
Fase 3 verandert ook wat samenvatten betekent. Met snelkoppelingsgedrag hebben spokes niet de volledige set specifieke remote-routes nodig die een fase 2-ontwerp verwachtte, dus een samengevatte route op de spoke is niet automatisch een ontbrekend netwerk. Bevestig de fase en het routeringsbeleid voordat je een samenvatting als fout leest.
Die ene misvatting veroorzaakt meer DMVPN-tickets dan wat dan ook.
Leg de conclusie vast als een ontbrekend object
Eindig met een geautoriseerde applicatiestroom en het antwoord daarvan, en noteer per richting of die het directe pad gebruikte. Schrijf de conclusie dan als het object dat ontbrak: een koppeling, een doorstuur-snelkoppeling, een beschermingsassociatie of een applicatieantwoord.
Een routeringsburenrelatie en een gedeelde beveiligingsassociatie zijn bewijs van gezondheid, niet bewijs van het pad. Beide kunnen perfect zijn terwijl elk pakket toch de lange weg neemt. Controleer eerst de beslissing over doorsturen en dan de associatie die hem draagt. De volgorde is belangrijk, omdat de associatie toch ontstaat.
Die gewoonte betaalt zich uit bij het volgende ticket. „De tunnel staat omhoog maar is traag“ wordt „B heeft geen snelkoppeling naar de host van A“, en de tweede uitspraak is een correctie van vijf minuten. Bewaar de commando-uitvoer bij de conclusie, en houd de fase 3-walkthrough van de leverancier ernaast.