Выберите стабильный источник регистрации для участников GET VPN

Кто-то направляет регистрацию участника группы на адрес loopback и объявляет нестабильность GET VPN решённой. Иногда так и есть. Часто loopback доступен только из собственной таблицы маршрутизации участника и больше ниоткуда, поэтому регистрация снова ломается, когда в следующий раз дёргается uplink, который её нёс. Адрес регистрации — это идентичность на уровне управления, и она помогает только тогда, когда в обе стороны есть настоящий путь. Осознанно выбрать его стоит, и это изменение меньше, чем говорит молва.

Что определяет адрес регистрации

В развёртывании GDOI участник группы регистрируется у сервера ключей и получает от него групповую политику. Адрес, который записывает сервер ключей, — это идентичность участника для этого обмена.

Эта идентичность охватывает обмен управления: регистрацию, обновление ключей и загрузку политики. Она не становится источником клиентского трафика, и не меняет, какие интерфейсы защищают какие потоки.

Разделение этих двух вещей — первый шаг, потому что большая часть путаницы вокруг этой настройки происходит из ожидания, что изменение на уровне управления исправит симптом на уровне данных.

Loopback хорош ровно настолько, насколько хорош его маршрут

Loopback даёт участнику логический адрес, который не исчезает при отказе одного физического uplink. На маршрутизаторе с несколькими путями к серверу ключей это реальное преимущество.

Но это тоже всего лишь адрес. Если у сервера ключей нет обратного маршрута к нему, регистрация отказывает точно так же, как раньше. Если таблица маршрутизации участника достигает сервера ключей только через один uplink, loopback стабилен, а путь нет.

Проверьте доступность в обе стороны через каждый uplink, который должен выжить. Loopback, который остаётся административно поднятым, ничего не доказывает о пересылке, и отказ проявляется как недоступный сервер ключей, а не как проблема интерфейса. Запишите проверку как команду для каждого uplink, а не как предположение. Тогда следующее окно изменений начнётся с доказательств, а не со схемы.

Держите управление и защищённый трафик отдельно

Руководство Cisco по обходу GDOI описывает интерфейс регистрации и связь между регистрацией и обработкой обхода. Читайте поведение той версии, которую действительно запускаете, а не относитесь к одной фразе как к универсальной команде.

Проверьте фильтрацию и трансляцию на пути управления и убедитесь, что трафик управления ключами случайно не попал в политику защиты, которая зависит именно от той групповой политики, которую он пытается получить. Такая циклическая зависимость — классический способ заставить работающее развёртывание отказать после изменения политики.

Политика уровня данных — это отдельный проект. Изменение того, откуда приходит регистрация, оставляет защищённые потоки, селекторы и правила обхода точно там, где они были.

Проверьте идентичность во время перехода

Перед изменением запишите группу, выбранный адрес регистрации, назначение сервера ключей, контекст маршрутизации и разрешённый путь управления. После одобренного изменения uplink снова проверьте представление зарегистрированных участников на сервере ключей и состояние управления участника.

Вы хотите видеть, что намеченная логическая конечная точка по-прежнему доступна и по-прежнему представлена так, как вы её спроектировали. Вы не хотите видеть вторую регистрацию с адреса, который не предусматривали, потому что именно так и появляются дублирующиеся записи участника.

Затем отдельно проверьте защищённый трафик приложений. Передача может пройти успешно, пока следующему обновлению ключей некуда идти, и успешная регистрация ничего не говорит о том, правильно ли выбран и промаршрутизирован конкретный поток.

Чего стабильный источник не исправляет

Он не удаляет дублирующиеся записи участника, созданные прежней ошибочной конфигурацией. Он не восстанавливает отказ обновления ключей из-за несовпадения политик участника и сервера ключей. Он не переживает отказ физического пути, который убрал единственный маршрут к серверу ключей.

Он делает одно: убирает одну переменную — идентичность больше не меняется при смене адреса uplink. Это стоит иметь, и это одна строка в проекте, а не весь проект.

Порядок работы: назвать путь управления, выбрать адрес с маршрутом в обе стороны, подтвердить представление сервера ключей, затем отдельно проверить защищённый трафик. Если регистрация всё ещё отказывает, loopback никогда не был проблемой.