Hierarhični DMVPN: en oblak na vsako tunelsko razmerje

Podružnično vozlišče se uspešno registrira pri svojem regionalnem vozlišču in vseeno ne doseže storitve v drugi regiji. Tunel je aktiven, stanje NHS je videti zdravo, napaka pa se pojavi le pri ciljih, ki prečkajo mejo plasti. Ta vzorec običajno pomeni, da zasnova nikoli ni navedla, katere naprave sodelujejo v katerem oblaku DMVPN, zato so bile plasti zgrajene po intuiciji in se zdaj ne ujemajo.

Simptom se pojavi na meji plasti

V hierarhični zasnovi imajo osrednje vozlišče, več regionalnih vozlišč in številne podružnice vsak svoj položaj. Regionalno vozlišče ima lahko več kot eno tunelsko razmerje, podružnicam pa se ni treba registrirati pri vsaki osrednji končni točki. Pomembne poti so od podružnice do regionalne storitve, od podružnice do drugega odobrenega regionalnega vozlišča in od podružnice do osrednjega cilja.

Ko ena od teh poti odpove, medtem ko druge delujejo, je težava skoraj vedno manjkajoča ali nasprotujoča opredelitev vloge, ne pokvarjen tunel. Zapišite predvidene poti in jih primerjajte s tem, kar so naprave dejansko zgradile. Ta primerjava traja eno uro in prepreči teden ugibanja. Hranite jo skupaj z načrtom.

En oblak, en pogodba o vmesniku

Za vsak oblak zabeležite tunelski vmesnik, naslavljanje prekrivanja, lokalni vir osnovnega omrežja, razmerja NHS in NBMA, dostavo multicast in zaščitno politiko. Navedite tudi, katere poti prečkajo med regionalnim in osrednjim kontekstom, ker je prav ta stavek zasnova.

Regionalno vozlišče z dvema tunelskima vmesnikoma potrebuje dve pogodbi, ne ene z dvema naslovoma. Vir osnovnega omrežja, domena NHRP in poti se lahko razlikujejo po vmesniku, dokument, ki jih združi, pa bo zavajal tistega, ki konfigurira drugega.

ID so lokalen kontekst, ne nadzor dostopa

Omrežni ID NHRP in ključi GRE so dve vrednosti, ki se najpogosteje napačno razumeta kot globalne nastavitve. Vodnik za NHRP v IOS XE opisuje omrežni ID kot lokalno pomemben, zato se ujemajoče številke na oddaljenih usmerjevalnikih ničesar ne overijo in sprememba lokalne številke enega usmerjevalnika ne ustvari meje dostopa.

Ključ GRE, kjer ga zasnova uporablja, pomaga prepoznati kontekst prejemnega tunela in se dogovori med končnimi točkami, ki si ta kontekst delijo. Ni geslo in ne nadomešča preverjanja IKE ali usmerjevalne politike. Obe vrednosti obravnavajte kot konfiguracijski kontekst, ki se mora ujemati znotraj razmerja, ne kot varnostne nadzore, ki ločujejo regije.

Usmerjajte med plastmi namerno

Odločite, katere predpone regionalno vozlišče oglašuje navzgor in katere osrednje cilje ponuja svojim podružnicam. Nato pri vsaki poti preverite dejanski naslednji skok in vedenje bližnjice, specifično za fazo, ker lahko povzetek poti in bližnjica ustvarita zelo drugačno posredovanje, kot ga nakazuje diagram.

Za uveljavitev regionalne ločitve uporabite usmerjanje in politiko dostopa. Če podružnica ne sme neposredno doseči druge regije, morata to povedati pot in politika, namesto da bi se zanašali na ID, ki za to ni bil nikoli zasnovan. Politiko zapišite ob ID. Sicer bo naslednji inženir domneval, da delo opravlja številka.

Diagnosticirajte nepričakovano bližnjico

Ko podružnica poskuša ustvariti neposredno razmerje z osrednjo končno točko, pred naključnim spreminjanjem ID preglejte njeno pot, preslikavo NHRP in izbrani kontekst tunela. Nedosegljivost, nenamerno razmerje NHS in zakonita, a nepooblaščena bližnjica zahtevajo tri različne popravke.

Vodnik za konfiguracijo DMVPN prikazuje nastavitve tunela in NHRP skupaj, in prav zato je treba obsege najprej ločiti na papirju. Zabeležite pogodbe oblaka, ohranite poti plasti izrecne, in naslednja napaka na meji bo imela kam pokazati.