Concentrador DMVPN nomeado vs. numerado: o que o FQDN muda

Um spoke DMVPN pode localizar o seu concentrador por nome de anfitrião em plataformas que suportam a funcionalidade, e a primeira tentação é ler esse nome como outra forma de escrever o endereço do túnel do concentrador. Não é. O nome resolve-se num endpoint de transporte, enquanto o endereço de protocolo do concentrador identifica o próximo salto dentro do overlay, e ambos os papéis subsistem em cada forma de configuração. Essa distinção decide o que uma renomeação pode e não pode corrigir.

Dois endereços, duas tarefas

Num exemplo declarado, hub.example.net indica ao spoke onde enviar o tráfego de transporte, e 10.90.0.1 identifica o NHS dentro do túnel. A descoberta opera sobre o primeiro; o registo e o encaminhamento operam sobre o segundo. Uma alteração ao nome afeta o caminho até ao endpoint, enquanto uma alteração ao endereço de protocolo afeta a própria relação de overlay.

É a separação dos papéis que torna a forma nomeada depurável. Quando um spoke não consegue registar-se, pode colocar duas perguntas diferentes: o nome resolveu-se para o endereço que eu esperava, e esse endereço coincidia com o endereço de protocolo que a configuração afirma? Nenhuma resposta implica a outra.

Compare as duas formas de configuração

Uma forma configura explicitamente o endereço de protocolo do NHS ao lado do nome. A outra deixa o spoke aprender esse endereço de protocolo a partir da resposta de registo. Ambas estão documentadas e ambas terminam com o mesmo tipo de relação NHS quando têm sucesso.

A forma explícita tem uma restrição que vale a pena recordar: um endereço de transporte resolvido que não é mapeado para o endereço de protocolo configurado impede o registo. Não é uma falha de DNS, embora o sintoma apareça logo após uma alteração de DNS. O nome resolveu-se corretamente e o resultado foi rejeitado por outro motivo. Leia o endereço resolvido e o endereço de protocolo configurado lado a lado.

A forma de aprendizagem elimina um passo manual e uma fonte de desvio, ao custo de depender da resposta para estabelecer o mapeamento. Escolha a forma explícita quando o endereço do concentrador é estável e quer que a incompatibilidade falhe ruidosamente. Escolha a forma de aprendizagem quando o endereço de protocolo do concentrador pode mudar e prefere que o spoke o siga. Em qualquer caso, registe qual forma o desenho utiliza.

Compare a cache DNS com um concentrador estático

Um endereço de concentrador estático muda quando alguém edita a configuração. Um concentrador nomeado muda quando o DNS muda, e as respostas DNS são guardadas em cache durante o seu tempo de vida. A documentação observa que a informação em cache permanece utilizável até expirar, e uma consulta posterior pode então devolver o novo endereço.

Essa diferença é uma diferença de temporização, não uma migração instantânea. Um tempo de vida de cache longo atrasa a adoção de um endpoint renomeado, e o atraso é invisível se apenas observar o registo DNS. Planeie uma renomeação em torno do tempo de vida da cache e do comportamento de registo da versão instalada, em vez de assumir que cada túnel se move ao mesmo tempo.

A forma estática tem, naturalmente, o seu próprio atraso: nada muda até cada spoke ser editado. A comparação é entre um empurrão de configuração coordenado e uma atualização de descoberta em cache, não entre lento e instantâneo.

Compare o que permanece igual

A autenticação de pares não se move. Um nome de anfitrião que localiza o endpoint de transporte não substitui a identidade IKE configurada nem a política de autenticação que valida o par. Se a identidade estiver errada, uma resolução DNS bem-sucedida apenas o leva mais depressa a um túnel rejeitado.

O tráfego protegido também não muda. Um NHS que responde não prova que a rota do cliente existe ou que o fluxo da aplicação é permitido. O registo, o encaminhamento e a política são três verificações, e o nome afeta apenas o primeiro passo que as alimenta.

Uma comparação que pode verificar

A Cisco documenta observações separadas para a sessão e para a relação NHS. Utilize show dmvpn para ler o estado do par e da sessão, e show ip nhrp nhs para ler a vista de registo do NHS. Compare o endereço de transporte resolvido, o par do overlay e o estado de registo nessa ordem.

O capítulo IOS XE FQDN-DMVPN documenta o comportamento de descoberta, cache e restrição por trás desta comparação. Leia-o em relação à sua versão instalada antes de tratar um concentrador renomeado como um substituto direto de um numerado.