EIGRP-buren komen niet omhoog op de DMVPN-overlay

De tunnel staat omhoog, de ene spoke kan de andere pingen, en EIGRP toont nog steeds geen buur op de hub. Die combinatie is normaal en niet mysterieus: een ping bewijst unicast-bereikbaarheid via NHRP, en EIGRP-hello’s zijn multicast. Op een DMVPN-overlay is het aflevermodel van het routingprotocol een tweede configuratievlak, en dat is precies het vlak dat mensen overslaan omdat het eerste vlak er al gezond uitziet. Elke laag hieronder wordt met zijn eigen commando gecontroleerd, dus een fout in één laag stuurt je niet terug naar de bovenkant van de lijst.

Schrijf de buurschappen op die je verwacht

Maak vóór elk show-commando een korte lijst: welke spoke met welke hub moet peeren, via welke tunnelinterface, in welk autonoom EIGRP-systeem. Ontwerpen met meerdere hubs falen in de gaten tussen de hubs, en een lijst verandert „EIGRP is stuk“ in „spoke 3 registreert zich niet bij hub 2“. Neem de tunnelsubnetten op die je per link verwacht, want een adresverschil tussen beide uiteinden ziet er precies uit als een protocolfout. Schrijf de lijst in het ticket, zodat de volgende dienst met het ontwerp vergelijkt en niet met de laatste schermafbeelding.

Controleer NHRP en daarna het multicast-pad

Begin met de registratiestatus en de mappings die de hub werkelijk vasthoudt. Een spoke zonder dynamische vermelding op de hub is niet geregistreerd, en geen enkel routingprotocol lost dat op. Bevestig daarna dat de spoke multicast accepteert van het NBMA-adres van de hub, wat een aparte regel is naast de NHS-vermelding.

show dmvpn
show ip nhrp
show ip nhrp nhs detail
interface Tunnel0
 ip nhrp network-id 1
 ip nhrp nhs 203.0.113.1 nbma 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel mode gre multipoint
 tunnel key 100

De regel ip nhrp map multicast is wat de spoke zijn hello’s als gerepliceerde multicast over de overlay naar de hub laat sturen, en wat de multicast van de hub de geregistreerde spokes laat bereiken. Zonder die regel werkt unicast via NHRP wel en multicast niet, en dat is precies de splitsing waardoor een ping op een bewijs lijkt. De gids van Cisco IOS XE DMVPN documenteert het multicast-gedrag van hub en spokes per fase, dus stem je configuratie af op de fase die je werkelijk hebt uitgerold in plaats van een fragment uit een andere topologie te kopiëren.

Controleer het eigen interfacebeleid van EIGRP

Een tunnel die niet in het EIGRP-proces zit, of die passive is, vormt nooit een buurschap, hoe gezond de overlay ook is. Lees de deelname van de interface en de buurtabel samen, want het eerste verklaart het tweede.

show ip eigrp interfaces detail Tunnel0
show ip eigrp neighbors detail
show run | section router eigrp
router eigrp 100
 network 10.10.0.0 0.0.0.255
 passive-interface default
 no passive-interface Tunnel0

Authenticatie en metriekgewichten moeten aan beide kanten overeenkomen. Een sleutelketen met de verkeerde modus, of een verschil in de K-waarde, laat hello’s vallen zonder een duidelijke syslog-regel bij de ontvanger. Als het ontwerp expliciet geconfigureerde unicast-buren gebruikt, volg dat model dan volledig in plaats van het bovenop de multicast-instellingen te stapelen tot er iets omhoogkomt.

Houd GRE-transport en IPsec-bescherming gescheiden

DMVPN vervoert multicast binnen GRE, en IPsec beschermt de GRE-pakketten en niet de binnenste multicast rechtstreeks. Daarom is de algemene bewering dat IPsec geen multicast kan vervoeren onjuist voor dit ontwerp en nutteloos als diagnose. Controleer het IPsec-profiel op de tunnel, de security associations per peer en de status van de tunnelinterface als drie aparte feiten.

show crypto ipsec sa peer 198.51.100.1
show interfaces Tunnel0 | include line protocol
show ip nhrp multicast

Een SA die omhoog staat met tellers die oplopen terwijl EIGRP omlaag blijft, stuurt je onderzoek terug de stack in: de pakketten worden beschermd en afgeleverd, dus het probleem is welke pakketten het protocol kiest te versturen.

Verifieer routes, niet alleen het aantal buren

Zodra de buurschap is gevormd, lees wat die adverteert en installeert. Op een multipoint-tunnel bepalen split horizon en next-hop-gedrag of een spoke via de hub een andere spoke kan bereiken, en samenvatting kan een prefix verbergen ook al is de buurrelatie perfect.

Sluit af met een toegestane applicatie tussen twee sites en bevestig het pad dat die neemt. Directe spoke-naar-spoke-shortcuts zijn een doorstuurvereiste met hun eigen NHRP- en beveiligingsstatus, en ze toevoegen om het aantal buren beter te laten lijken veroorzaakt meestal een tweede probleem.

Leg het gefaseerde ontwerp, de multicast-mapping en het EIGRP-beleid op één plek vast. De volgende engineer heeft het ontwerp nodig, niet het transcript.