Именованный и нумерованный концентратор DMVPN: что меняет FQDN

Spoke DMVPN может найти свой концентратор по имени хоста на платформах, поддерживающих эту функцию, и первое искушение — прочитать это имя как другой способ записи адреса туннеля концентратора. Это не так. Имя разрешается в транспортную конечную точку, тогда как адрес протокола концентратора определяет следующий переход внутри overlay, и обе роли сохраняются в любой форме конфигурации. Это различие определяет, что переименование может исправить, а что нет.

Два адреса, две задачи

В объявленном примере hub.example.net сообщает spoke, куда отправлять транспортный трафик, а 10.90.0.1 идентифицирует NHS внутри туннеля. Обнаружение работает по первому; регистрация и маршрутизация работают по второму. Изменение имени влияет на путь к конечной точке, тогда как изменение адреса протокола влияет на сами отношения overlay.

Именно разделение ролей делает именованную форму отлаживаемой. Когда spoke не может зарегистрироваться, можно задать два разных вопроса: разрешилось ли имя в адрес, который я ожидал, и совпадал ли этот адрес с адресом протокола, который заявляет конфигурация? Ни один ответ не подразумевает другой.

Сравните две формы конфигурации

Одна форма явно настраивает адрес протокола NHS рядом с именем. Другая позволяет spoke узнать этот адрес протокола из ответа регистрации. Обе документированы, и обе при успехе заканчиваются одним и тем же типом отношений NHS.

У явной формы есть ограничение, которое стоит запомнить: разрешённый транспортный адрес, который не сопоставляется с настроенным адресом протокола, препятствует регистрации. Это не сбой DNS, хотя симптом появляется сразу после изменения DNS. Имя разрешилось правильно, а результат был отклонён по другой причине. Читайте разрешённый адрес и настроенный адрес протокола рядом.

Обучающая форма устраняет один ручной шаг и один источник дрейфа, ценой зависимости от ответа для установления сопоставления. Выбирайте явную форму, когда адрес концентратора стабилен и вы хотите, чтобы несоответствие громко проваливалось. Выбирайте обучающую форму, когда адрес протокола концентратора может меняться и вы предпочитаете, чтобы spoke следовал за ним. В любом случае запишите, какую форму использует дизайн.

Сравните кэш DNS со статическим концентратором

Статический адрес концентратора меняется, когда кто-то редактирует конфигурацию. Именованный концентратор меняется, когда меняется DNS, а ответы DNS кэшируются на время их жизни. Документация отмечает, что кэшированная информация остаётся пригодной до истечения срока, и последующий запрос может тогда вернуть новый адрес.

Это различие во времени, а не мгновенная миграция. Долгое время жизни кэша задерживает внедрение переименованной конечной точки, и задержка невидима, если вы следите только за записью DNS. Планируйте переименование с учётом времени жизни кэша и поведения регистрации установленного выпуска, а не предполагайте, что каждый туннель перемещается одновременно.

У статической формы, конечно, есть своя задержка: ничего не меняется, пока не будет отредактирован каждый spoke. Сравнение идёт между согласованным проталкиванием конфигурации и кэшированным обновлением обнаружения, а не между медленным и мгновенным.

Сравните то, что остаётся прежним

Аутентификация партнёра не меняется. Имя хоста, которое находит транспортную конечную точку, не заменяет настроенную идентичность IKE или политику аутентификации, проверяющую партнёра. Если идентичность неверна, успешное разрешение DNS лишь быстрее приведёт вас к отклонённому туннелю.

Защищённый трафик также не изменился. Отвечающий NHS не доказывает, что маршрут клиента существует или что поток приложения разрешён. Регистрация, маршрутизация и политика — это три проверки, и имя влияет только на первый шаг, который их питает.

Сравнение, которое можно проверить

Cisco документирует отдельные наблюдения для сеанса и отношений NHS. Используйте show dmvpn для чтения состояния партнёра и сеанса, а show ip nhrp nhs для чтения представления регистрации NHS. Сравните разрешённый транспортный адрес, партнёра overlay и состояние регистрации в этом порядке.

Глава IOS XE FQDN-DMVPN документирует поведение обнаружения, кэширования и ограничения, стоящее за этим сравнением. Читайте её применительно к установленному выпуску, прежде чем считать переименованный концентратор прямой заменой нумерованного.