Vyberte stabilný zdroj registrácie pre členov GET VPN

Niekto nasmeruje registráciu člena skupiny na adresu loopback a vyhlási nestabilitu GET VPN za vyriešenú. Niekedy to tak je. Často je loopback dostupný len z vlastnej smerovacej tabuľky člena a odinakiaľ nie, takže registrácia sa nabudúce znova rozbije, keď uplink, ktorý ju niesol, zakolíše. Registračná adresa je identita v riadiacej rovine a pomôže len vtedy, keď v oboch smeroch existuje skutočná cesta. Vybrať ju vedome sa oplatí a je to menšia zmena, než naznačuje zažitá predstava.

Čo registračná adresa určuje

V nasadení GDOI sa člen skupiny registruje u servera kľúčov a dostáva od neho skupinovú politiku. Adresa, ktorú server kľúčov zaznamená, je identita člena pre túto konverzáciu.

Táto identita pokrýva riadiacu konverzáciu: registráciu, obnovu kľúčov a stiahnutie politiky. Nestáva sa zdrojom zákazníckej prevádzky, a nemení, ktoré rozhrania chránia ktoré toky.

Držať obe oddelené je prvý krok, pretože väčšina zmätku okolo tohto nastavenia pramení z očakávania, že zmena v riadiacej rovine opraví príznak v dátovej rovine.

Loopback je len taký dobrý, ako je jeho trasa

Loopback dáva členovi logickú adresu, ktorá nezmizne, keď jeden fyzický uplink zlyhá. To je skutočná výhoda na routeri s viacerými cestami k serveru kľúčov.

Ale je to tiež len adresa. Ak k nej server kľúčov nemá spätnú trasu, registrácia zlyhá presne ako predtým. Ak sa smerovacia tabuľka člena dostane k serveru kľúčov len cez jeden uplink, loopback je stabilný a cesta nie.

Overte dostupnosť v oboch smeroch cez každý uplink, ktorý má prežiť. Loopback, ktorý zostáva administratívne aktívny, nedokazuje o preposielaní nič, a porucha sa prejaví ako nedostupný server kľúčov, nie ako problém rozhrania. Zapíšte overenie ako príkaz pre každý uplink, nie ako predpoklad. Potom ďalšie zmenové okno začne od dôkazov, nie od schémy.

Držte riadenie a chránenú prevádzku oddelene

Príručka Cisco k obchádzaniu GDOI dokumentuje registračné rozhranie a vzťah medzi registráciou a spracovaním obchádzania. Čítajte správanie pre verziu, ktorú skutočne prevádzkujete, namiesto toho, aby ste jednu frázu brali ako univerzálny príkaz.

Prejdite filtrovanie a preklad na riadiacej ceste a potvrďte, že prevádzka správy kľúčov sa omylom nedostala do ochrannej politiky, ktorá závisí práve od skupinovej politiky, ktorú sa snaží získať. Takáto kruhová závislosť je klasický spôsob, ako dosiahnuť, aby funkčné nasadenie zlyhalo po zmene politiky.

Politika dátovej roviny je samostatný návrh. Zmena toho, odkiaľ registrácia prichádza, ponechá chránené toky, selektory a pravidlá obchádzania presne tam, kde boli.

Overte identitu počas prechodu

Pred zmenou zaznamenajte skupinu, zvolenú registračnú adresu, cieľ servera kľúčov, kontext smerovania a povolenú riadiacu cestu. Po schválenej zmene uplinku znova pozrite pohľad registrovaných členov na serveri kľúčov a riadiaci stav člena.

Chcete vidieť, že zamýšľaný logický koncový bod je stále dostupný a stále zastúpený tak, ako ste ho navrhli. Nechcete vidieť druhú registráciu z adresy, ktorú ste nezamýšľali, pretože tak duplicitné záznamy členov vznikajú.

Potom otestujte chránenú aplikačnú prevádzku zvlášť. Prenos môže uspieť, aj keď ďalšia obnova kľúčov nemá kam ísť, a úspešná registrácia nič nehovorí o tom, či je konkrétny tok správne vybraný a smerovaný.

Čo stabilný zdroj neopraví

Neodstráni duplicitné záznamy členov vytvorené skoršou nesprávnou konfiguráciou. Neopraví zlyhanie obnovy kľúčov spôsobené nesúladom politík medzi členom a serverom kľúčov. Neprežije poruchu fyzickej cesty, ktorá odstránila jedinú trasu k serveru kľúčov.

Robí to, že odstráni jednu premennú: identita sa už nemení, keď sa zmení adresa uplinku. To stojí za to a je to jeden riadok v návrhu, nie celý návrh.

Poradie práce: pomenujte riadiacu cestu, vyberte adresu s trasou v oboch smeroch, potvrďte pohľad servera kľúčov a potom zvlášť otestujte chránenú prevádzku. Ak registrácia stále zlyháva, loopback nikdy nebol problém.