Vel ein stabil registreringskjelde for GET VPN-medlem

Nokon peikar registreringa til gruppemedlemmet mot ein loopback-adresse og erklærer ustabiliteten i GET VPN for løyst. Nokre gonger er det rett. Ofte er loopbacken berre tilgjengeleg frå medlemmet si eiga rutetabell og ingen andre stader, så registreringa bryt saman igjen neste gong uplinken som bar henne klappar. Registreringsadressa er ein identitet i kontrollplanet, og ho hjelper berre når det finst ein reell veg i begge retningar. Å velje henne medvite er verdt det, og det er ei mindre endring enn folkemeininga antydar.

Kva registreringsadressa identifiserer

I ein GDOI-utrulling registrerer gruppemedlemmet seg hos nøkkelserveren og får gruppepolicy frå han. Adressa nøkkelserveren registrerer, er identiteten til medlemmet for den samtalen.

Denne identiteten dekkjer kontrollsamtalen: registrering, nøkkelfornying og nedlasting av policyen. Ho vert ikkje kjelda til kundetrafikk, og ho endrar ikkje kva grensesnitt som vernar kva straumar.

Å halde dei to frå kvarandre er det første steget, fordi det meste av forvirringa kring denne innstillinga kjem av at ein ventar at ei endring i kontrollplanet skal reparere eit symptom i dataplanet.

Ein loopback er berre så god som ruta si

Ein loopback gjev medlemmet ei logisk adresse som ikkje forsvinn når éin fysisk uplink sviktar. Det er ein reell føremon på ein ruter med fleire vegar til nøkkelserveren.

Men det er òg berre ei adresse. Viss nøkkelserveren ikkje har rute tilbake til henne, sviktar registreringa nøyaktig som før. Viss rutetabellen til medlemmet berre når nøkkelserveren gjennom éin uplink, er loopbacken stabil og vegen er det ikkje.

Kontroller nåbarheit i begge retningar gjennom kvar uplink du vil skal overleve. Ein loopback som blir administrativt oppe beviser ingenting om videresending, og feilen viser seg som ein utilgjengeleg nøkkelserver snarare enn som eit grensesnittproblem. Skriv kontrollen som ein kommando per uplink, ikkje som ei føresegn. Då byrjar neste endringsvindauge med prov i staden for med eit diagram.

Hald kontroll og verna trafikk frå kvarandre

Ciscos GDOI-bypass-rettleiing dokumenterer registreringsgrensesnittet og høvet mellom registrering og handsaming av bypass. Les åtferda for versjonen du faktisk køyrer, i staden for å handsame éin frase som ein universell kommando.

Gå gjennom filtrering og omsetjing på kontrollstien, og stadfest at nøkkeladministrasjonstrafikk ikkje ved eit uhell blir feia inn i ein vernepolicy som er avhengig av nettopp den gruppepolicyen han prøver å hente. Den sirkulære avhengnaden er ein klassisk måte å få ei fungerande utrulling til å svikte etter ei policyendring.

Policyen for dataplanet er eit eige design. Å endre kvar registreringa kjem frå lèt dei verna straumane, selektorane og bypass-reglane liggje nøyaktig der dei var.

Kontroller identiteten gjennom overgangen

Før endringa noterer du gruppa, den valde registreringsadressa, destinasjonen til nøkkelserveren, rutekonteksten og den tillatne kontrollstien. Etter ei godkjend uplink-endring granskar du på nytt visninga til nøkkelserveren av registrerte medlem og kontrolltilstanden til medlemmet.

Det du vil sjå, er at det tiltenkte logiske endepunktet framleis er nåbart og framleis representert slik du designa det. Det du ikkje vil sjå, er ei andre registrering frå ei adresse du ikkje hadde til hensikt, for det er nettopp slik dupliserte medlemsoppføringar oppstår.

Test deretter verna applikasjonstrafikk for seg. Ei overføring kan lukkast medan neste nøkkelfornying ikkje har nokon stad å gå, og ei vellukka registrering seier ingenting om ein bestemt straum er riktig vald og ruta.

Kva ein stabil kjelde ikkje rettar

Ho fjernar ikkje dupliserte medlemsoppføringar som ein tidlegare feilkonfigurasjon har laga. Ho reparerer ikkje ein feil i nøkkelfornyinga som kjem av policyavvik mellom medlem og nøkkelserver. Ho overlever ikkje ein fysisk vegfeil som fjerna den einaste ruta til nøkkelserveren.

Det ho gjer, er å fjerne éin variabel: identiteten endrar seg ikkje lenger når ei uplink-adresse endrar seg. Det er verdt å ha, og det er éi line i eit design og ikkje heile designet.

Rekkjefølgja: namnge kontrollstien, vel ei adresse med rute i begge retningar, stadfest visninga til nøkkelserveren, og test deretter verna trafikk separat. Viss registreringa framleis sviktar, var loopbacken aldri problemet.