Alegeți o sursă stabilă de înregistrare pentru membrii GET VPN

Cineva îndreaptă înregistrarea membrului grupului către o adresă loopback și declară rezolvată instabilitatea GET VPN. Uneori chiar este. Deseori loopback-ul este accesibil doar din tabela de rutare a membrului însuși și de nicăieri altundeva, așa că înregistrarea se rupe din nou data viitoare când uplink-ul care o transporta oscilează. Adresa de înregistrare este o identitate în planul de control și ajută doar când există o cale reală în ambele sensuri. Să o alegi deliberat merită, și este o schimbare mai mică decât sugerează vorba din popor.

Ce identifică adresa de înregistrare

Într-un deployment GDOI membrul grupului se înregistrează la serverul de chei și primește de la acesta politica de grup. Adresa pe care serverul o notează este identitatea membrului pentru acea conversație.

Această identitate acoperă conversația de control: înregistrarea, reînnoirea cheilor și descărcarea politicii. Ea nu devine sursa traficului clienților, și nu schimbă ce interfețe protejează ce fluxuri.

Separarea celor două este primul pas, pentru că cea mai mare parte a confuziei din jurul acestei setări vine din așteptarea ca o schimbare în planul de control să repare un simptom din planul de date.

Un loopback valorează cât ruta lui

Un loopback îi dă membrului o adresă logică ce nu dispare când un uplink fizic eșuează. Acesta este un avantaj real pe un router cu mai multe căi către serverul de chei.

Dar este și doar o adresă. Dacă serverul de chei nu are rută înapoi, înregistrarea eșuează exact ca înainte. Dacă tabela de rutare a membrului ajunge la server doar printr-un uplink, loopback-ul este stabil, iar calea nu.

Verificați accesibilitatea în ambele sensuri prin fiecare uplink pe care vreți să îl păstrați. Un loopback care rămâne administrativ activ nu dovedește nimic despre forwarding, iar defectul apare ca server de chei inaccesibil și nu ca problemă de interfață. Scrieți verificarea ca o comandă per uplink, nu ca o presupunere. Atunci următoarea fereastră de schimbare începe cu dovezi și nu cu o diagramă.

Țineți controlul și traficul protejat separate

Ghidul Cisco despre ocolirea GDOI documentează interfața de înregistrare și relația dintre înregistrare și tratarea ocolirii. Citiți comportamentul pentru versiunea pe care o rulați efectiv, în loc să tratați o frază drept comandă universală.

Revizuiți filtrarea și traducerea pe calea de control și confirmați că traficul de administrare a cheilor nu este atras accidental într-o politică de protecție care depinde exact de politica de grup pe care încearcă să o obțină. O astfel de dependență circulară este o modalitate clasică de a face un deployment funcțional să eșueze după o schimbare de politică.

Politica planului de date este un design separat. Schimbarea locului din care vine înregistrarea lasă fluxurile protejate, selectorii și regulile de ocolire exact acolo unde erau.

Verificați identitatea pe parcursul tranziției

Înainte de schimbare, notați grupul, adresa de înregistrare aleasă, destinația serverului de chei, contextul de rutare și calea de control permisă. După o schimbare de uplink aprobată, inspectați din nou vederea membrilor înregistrați la serverul de chei și starea de control a membrului.

Ce vreți să vedeți este punctul final logic dorit încă accesibil și încă reprezentat așa cum l-ați proiectat. Ce nu vreți să vedeți este o a doua înregistrare dintr-o adresă pe care nu ați intenționat-o, pentru că exact așa apar intrările duplicate de membru.

Apoi testați separat traficul aplicațiilor protejate. Un transfer poate reuși în timp ce următoarea reînnoire a cheilor nu are unde merge, iar o înregistrare reușită nu spune nimic despre dacă un anumit flux este corect selectat și rutat.

Ce nu repară o sursă stabilă

Nu elimină intrările duplicate de membru create de o configurare greșită anterioară. Nu repară o eșuare a reînnoirii cheilor cauzată de o nepotrivire de politică între membru și serverul de chei. Nu supraviețuiește unei defecțiuni a căii fizice care a eliminat singura rută către serverul de chei.

Ce face este să elimine o variabilă: identitatea nu se mai schimbă când se schimbă o adresă de uplink. Merită să o ai, și este o linie într-un design și nu întregul design.

Ordinea lucrului: numiți calea de control, alegeți o adresă cu rută în ambele sensuri, confirmați vederea serverului de chei, apoi testați separat traficul protejat. Dacă înregistrarea încă eșuează, loopback-ul nu a fost niciodată problema.