Hierarchický DMVPN: jeden cloud pre každý vzťah tunela

Pobočkový uzol sa úspešne zaregistruje u svojho regionálneho centra a napriek tomu sa nedostane k službe v inom regióne. Tunel je aktívny, stav NHS vyzerá zdravo a zlyhanie sa objavuje iba pri cieľoch, ktoré prekračujú hranicu vrstvy. Tento vzorec zvyčajne znamená, že návrh nikdy neuviedol, ktoré zariadenia sa zúčastňujú ktorého cloudu DMVPN, takže vrstvy vznikli podľa intuície a teraz si nezodpovedajú.

Príznak sa objavuje na hranici vrstiev

V hierarchickom návrhu zaujíma centrálne centrum, niekoľko regionálnych centier a mnoho pobočkových uzlov každý svoju pozíciu. Regionálne centrum môže vlastniť viac ako jeden vzťah tunela a pobočky sa nemusia registrovať u každého centrálneho koncového bodu. Dôležité cesty sú z pobočky do regionálnej služby, z pobočky do iného schváleného regionálneho uzla a z pobočky do centrálneho cieľa.

Keď jedna z týchto ciest zlyhá, zatiaľ čo ostatné fungujú, problémom je takmer vždy chýbajúca alebo protirečivá definícia roly, nie pokazený tunel. Zapíšte zamýšľané cesty a porovnajte ich s tým, čo zariadenia skutočne postavili. Toto porovnanie trvá hodinu a zabráni týždňu hádania. Uchovávajte ho pri návrhovom dokumente.

Jeden cloud, jedna zmluva rozhrania

Pre každý cloud zaznamenajte tunelové rozhranie, adresovanie prekrytia, miestny zdroj podkladovej siete, vzťahy NHS a NBMA, doručovanie multicastu a politiku ochrany. Uveďte aj to, ktoré trasy prechádzajú medzi regionálnym a centrálnym kontextom, pretože práve tá veta je návrh.

Regionálne centrum s dvoma tunelovými rozhraniami potrebuje dve zmluvy, nie jednu s dvoma adresami. Zdroj podkladovej siete, doména NHRP a trasy sa môžu líšiť pre každé rozhranie a dokument, ktorý ich zlúči, uvedie do omylu toho, kto konfiguruje druhé.

Identifikátory sú miestny kontext, nie riadenie prístupu

ID siete NHRP a kľúče GRE sú dve hodnoty najčastejšie zamieňané za globálne nastavenia. Príručka NHRP v IOS XE opisuje ID siete ako miestne významné, takže zhodné čísla na vzdialených smerovačoch nič neoverujú a zmena miestneho čísla jedného smerovača nevytvára hranicu prístupu.

Kľúč GRE, ak ho návrh používa, pomáha určiť kontext prijímajúceho tunela a dohoduje sa medzi koncovými bodmi, ktoré tento kontext zdieľajú. Nie je to heslo a nenahrádza overovanie IKE ani smerovaciu politiku. Obe hodnoty berte ako konfiguračný kontext, ktorý sa musí v rámci vzťahu zhodovať, nie ako bezpečnostné kontroly oddeľujúce regióny.

Smerujte medzi vrstvami zámerne

Rozhodnite, ktoré prefixy regionálne centrum inzeruje nahor a ktoré centrálne ciele ponúka svojim pobočkám. Potom pri každej ceste skontrolujte skutočný ďalší skok a správanie skratky špecifické pre fázu, pretože súhrnná trasa a skratka môžu viesť k veľmi odlišnému preposielaniu, než naznačuje diagram.

Na presadenie regionálneho oddelenia používajte smerovanie a prístupovú politiku. Ak pobočka nesmie priamo dosiahnuť iný región, musia to povedať trasa a politika, namiesto spoliehania sa na identifikátor, ktorý na to nikdy nebol navrhnutý. Zapíšte politiku vedľa identifikátora. Inak budúci inžinier predpokladá, že prácu robí číslo.

Diagnostikujte neočakávanú skratku

Keď sa pobočka pokúsi vytvoriť priamy vzťah s centrálnym koncovým bodom, pred náhodnou zmenou identifikátorov preskúmajte jej trasu, mapovanie NHRP a vybraný kontext tunela. Nedostupnosť, neúmyselný vzťah NHS a legitímna, ale nepovolená skratka si vyžadujú tri rôzne opravy.

Príručka konfigurácie DMVPN zobrazuje nastavenia tunela a NHRP spolu, a práve preto treba rozsahy najprv oddeliť na papieri. Zaznamenajte zmluvy cloudu, udržiavajte trasy vrstiev výslovné a ďalšie zlyhanie na hranici bude mať kam ukázať.