Odabir stabilnog izvora registracije za članove GET VPN-a

Netko usmjeri registraciju člana grupe na loopback adresu i proglasi nestabilnost GET VPN-a riješenom. Ponekad i jest. Često je loopback dostupan samo iz članove vlastite tablice usmjeravanja i niotkuda drugdje, pa se registracija i dalje ruši sljedeći put kada uplink koji ju je nosio zatitra. Adresa registracije je identitet na kontrolnoj razini i pomaže samo kada postoji stvarna putanja u oba smjera. Svjesno ju je odabrati vrijedno truda i to je manja promjena nego što pučka mudrost sugerira.

Što adresa registracije identificira

U GDOI postavu član grupe registrira se kod poslužitelja ključeva i od njega dobiva grupnu politiku. Adresa koju poslužitelj ključeva zabilježi je identitet člana za taj razgovor.

Taj identitet pokriva kontrolni razgovor: registraciju, obnovu ključeva i preuzimanje politike. Ona ne postaje izvorom klijentskog prometa, i ne mijenja koja sučelja štite koje tokove.

Držati to dvoje odvojenim prvi je korak, jer većina zabune oko ove postavke dolazi iz očekivanja da će promjena na kontrolnoj razini popraviti simptom na razini podataka.

Loopback vrijedi onoliko koliko vrijedi njegova ruta

Loopback daje članu logičku adresu koja ne nestaje kada jedan fizički uplink zakaže. To je stvarna prednost na usmjerivaču s više putanja do poslužitelja ključeva.

Ali to je ipak samo adresa. Ako poslužitelj ključeva nema povratnu rutu do nje, registracija pada jednako kao i prije. Ako članova tablica usmjeravanja dolazi do poslužitelja ključeva samo preko jednog uplinka, loopback je stabilan, a putanja nije.

Provjerite dostupnost u oba smjera kroz svaki uplink koji namjeravate preživjeti. Loopback koji ostaje administrativno aktivan ne dokazuje ništa o prosljeđivanju, a kvar se pojavljuje kao nedostupan poslužitelj ključeva, a ne kao problem sa sučeljem. Zapišite provjeru kao naredbu po uplinku, a ne kao pretpostavku. Tada sljedeći prozor za promjene počinje od dokaza, a ne od dijagrama.

Držite kontrolu i zaštićeni promet odvojeno

Ciscov vodič za GDOI zaobilaženje dokumentira sučelje registracije i odnos između registracije i obrade zaobilaženja. Pročitajte ponašanje za izdanje koje stvarno koristite, umjesto da jednu frazu tretirate kao univerzalnu naredbu.

Pregledajte filtriranje i prevođenje na kontrolnoj putanji i potvrdite da promet upravljanja ključevima nije slučajno uvučen u zaštitnu politiku koja ovisi o istoj grupnoj politici koju pokušava dohvatiti. Ta kružna ovisnost klasičan je način da funkcionalan postav padne nakon promjene politike.

Politika na razini podataka zaseban je dizajn. Promjena toga odakle registracija dolazi ostavlja zaštićene tokove, selektore i pravila zaobilaženja točno tamo gdje su bili.

Provjerite identitet kroz tranziciju

Prije promjene zabilježite grupu, odabranu adresu registracije, odredište poslužitelja ključeva, kontekst usmjeravanja i dopuštenu kontrolnu putanju. Nakon odobrene promjene uplinka ponovno pregledajte prikaz registriranih članova na poslužitelju ključeva i kontrolno stanje člana.

Ono što želite vidjeti je predviđena logička završna točka još dostupna i još predstavljena onako kako ste ju dizajnirali. Ono što ne želite je druga registracija s adrese koju niste predvidjeli, jer tako duplikati unosa članova i nastaju.

Zatim odvojeno testirajte zaštićeni aplikacijski promet. Prijenos može uspjeti dok sljedeća obnova ključeva nema kamo otići, a uspješna registracija ne govori ništa o tome je li određeni tok ispravno odabran i usmjeren.

Što stabilan izvor ne popravlja

Ne uklanja duplikate unosa članova nastale prethodnom pogrešnom konfiguracijom. Ne popravlja kvar obnove ključeva uzrokovan neusklađenošću politika između člana i poslužitelja ključeva. Ne preživljava kvar fizičke putanje koji je uklonio jedinu rutu do poslužitelja ključeva.

Ono što čini je da uklanja jednu varijablu: identitet se više ne mijenja kada se promijeni adresa uplinka. To vrijedi imati i to je jedan red u dizajnu, a ne cijeli dizajn.

Redoslijed rada: imenujte kontrolnu putanju, odaberite adresu s rutom u oba smjera, potvrdite prikaz poslužitelja ključeva, zatim odvojeno testirajte zaštićeni promet. Ako registracija i dalje pada, loopback nikada nije bio problem.