Izberite stabilen vir registracije za člane GET VPN

Nekdo usmeri registracijo člana skupine na naslov loopback in razglasi nestabilnost GET VPN za rešeno. Včasih je res tako. Pogosto je loopback dosegljiv le iz lastne usmerjevalne tabele člana in od nikoder drugod, zato se registracija spet zlomi, ko naslednjič zaniha uplink, ki jo je prenašal. Naslov registracije je identiteta v krmilni ravnini in pomaga le, ko v obe smeri obstaja resnična pot. Zavestno ga izbrati se splača, in to je manjša sprememba, kot namiguje ljudska modrost.

Kaj naslov registracije identificira

V postavitvi GDOI se član skupine registrira pri strežniku ključev in od njega prejme skupinsko politiko. Naslov, ki ga strežnik ključev zabeleži, je identiteta člana za ta pogovor.

Ta identiteta pokriva krmilni pogovor: registracijo, obnavljanje ključev in prenos politike. Ne postane vir odjemalskega prometa, in ne spremeni, kateri vmesniki ščitijo katere tokove.

Ločevanje obojega je prvi korak, ker večina zmede okoli te nastavitve izhaja iz pričakovanja, da bo sprememba v krmilni ravnini odpravila simptom v podatkovni ravnini.

Loopback je le toliko dober, kolikor je dobra njegova pot

Loopback članu da logični naslov, ki ne izgine, ko en fizični uplink odpove. To je resnična prednost na usmerjevalniku z več potmi do strežnika ključev.

A je tudi le naslov. Če strežnik ključev nima poti nazaj, registracija odpove natanko tako kot prej. Če usmerjevalna tabela člana doseže strežnik ključev le prek enega uplinka, je loopback stabilen, pot pa ne.

Preverite dosegljivost v obe smeri prek vsakega uplinka, ki naj preživi. Loopback, ki ostane administrativno aktiven, ne dokazuje ničesar o posredovanju, in napaka se pokaže kot nedosegljiv strežnik ključev, ne kot težava vmesnika. Preverjanje zapišite kot ukaz za vsak uplink, ne kot domnevo. Takrat se naslednje okno sprememb začne z dokazi in ne s shemo.

Krmiljenje in zaščiten promet ločite

Ciscov vodnik za obhod GDOI dokumentira vmesnik registracije in razmerje med registracijo in obravnavo obhoda. Preberite vedenje za izdajo, ki jo dejansko poganjate, namesto da eno frazo obravnavate kot univerzalni ukaz.

Preglejte filtriranje in prevajanje na krmilni poti ter potrdite, da promet upravljanja ključev ni po nesreči potegnjen v zaščitno politiko, ki je odvisna prav od tiste skupinske politike, ki jo poskuša pridobiti. Takšna krožna odvisnost je klasičen način, da delujoča postavitev odpove po spremembi politike.

Politika podatkovne ravnine je ločen načrt. Sprememba tega, od kod prihaja registracija, pusti zaščitene tokove, selektorje in pravila obhoda natanko tam, kjer so bili.

Preverite identiteto med prehodom

Pred spremembo zapišite skupino, izbrani naslov registracije, cilj strežnika ključev, kontekst usmerjanja in dovoljeno krmilno pot. Po odobreni spremembi uplinka znova pregledajte pogled registriranih članov na strežniku ključev in krmilno stanje člana.

Videti želite, da je predvideni logični končni cilj še dosegljiv in še predstavljen tako, kot ste ga zasnovali. Ne želite videti druge registracije z naslova, ki ga niste predvideli, saj tako nastanejo podvojeni vnosi članov.

Nato ločeno preizkusite zaščiten aplikacijski promet. Prenos lahko uspe, medtem ko naslednje obnavljanje ključev nima kam iti, in uspešna registracija ne pove ničesar o tem, ali je določen tok pravilno izbran in usmerjen.

Česa stabilen vir ne odpravi

Ne odstrani podvojenih vnosov članov, ki jih je ustvarila prejšnja napačna konfiguracija. Ne popravi neuspeha obnavljanja ključev zaradi neskladja politik med članom in strežnikom ključev. Ne preživi okvare fizične poti, ki je odstranila edino pot do strežnika ključev.

Naredi to, da odstrani eno spremenljivko: identiteta se ne spreminja več, ko se spremeni naslov uplinka. To je vredno imeti, in to je ena vrstica v zasnovi, ne celotna zasnova.

Vrstni red dela: poimenujte krmilno pot, izberite naslov s potjo v obe smeri, potrdite pogled strežnika ključev in nato ločeno preizkusite zaščiten promet. Če registracija še vedno ne uspe, loopback nikoli ni bil težava.