OSPF ali EIGRP prek VTI na ASA: katero podpira vaša različica

Večina razprav OSPF proti EIGRP predpostavlja, da tunel že zmore prenašati protokol, in na ASA je prav ta predpostavka tisti del, ki ga je vredno preveriti najprej. Primerjava postane zanimiva šele po potrditvi slike, vrste VTI in poti multicast. Zamenjajte vrstni red in boste popoldne porabili za nastavljanje časovnikov na tunelu, ki nikoli ne bo oblikoval sosedstva. Vsak tak načrt začnem z opombami o izdaji in tekočo konfiguracijo, ne s prednostjo protokola.

Različica odloči pred protokolom

Ciscov vodnik po VTI za ASA 9.24 je uporabna dokumentacijska osnova: opisuje statične in dinamične VTI ter navaja statično usmerjanje, BGP, OSPF in EIGRP. Njegova zgodovina funkcij uvršča podporo OSPFv2 in EIGRP na VTI v 9.19(1). Vse starejše je drug pogovor.

Prvi dve vprašanji sta torej dolgočasni in odločilni:

Trditev, da ASA ne more uporabljati VTI ali ne more prenašati IGP, je veljala za nekatere starejše slike in ni aktualna matrika podpore. Prav tako vodnik za 9.24 ni navodilo za nadgradnjo vsake naprave. Pove, kaj podpira ta različica, in vaša nameščena različica mora odgovoriti sama zase.

Prehod unicasta še ne pomeni, da se bo IGP oblikoval

Isti vodnik ugotavlja, da unicast privzeto prehaja in da je treba multicast omogočiti za OSPFv2 ali EIGRP na VTI, z dokumentiranimi omejitvami skupin multicast. Ta en stavek pojasni večino neuspešnih sosedstev, ki sem jih videl pri tem načrtu. Delujoč ping skozi tunel ali zelen status IPsec dokazuje le pot unicast. Odkrivanje protokola potrebuje pot multicast, in obe se konfigurirata ločeno.

Preverite konfiguracijo vmesnika tunela za to nastavitev multicast, preden se dotaknete časovnikov hello ali hold. Če nastavitve ni, sosedstvo ni počasno, ampak nemogoče.

OSPF in EIGRP drug ob drugem na istem tunelu

Na samem tunelu sta videti oba protokola tako kot drugod. OSPF potrebuje ustrezno vrsto omrežja, območje, preverjanje pristnosti in parametre sosedov; EIGRP potrebuje svojo številko AS in nastavitve na ravni vmesnika, ki spadajo zraven.

Past je kopiranje ukazov za sosede iz drugega modela tunela. Nasveti o statičnih sosedih v načrtu brez VTI so obstajali zato, da bi se izognili multicastu, in se ne prenesejo na VTI, ki naj bi protokol prenašal izvorno. Konfigurirajte podprto vedenje vmesnika in nato pustite protokolu, da samo oblikuje sosedstvo.

Nato primerjajte na oseh, ki se za vašo topologijo res razlikujejo: medobratovalnost z drugo stranjo, vedenje konvergence, ki ga lahko preizkusite, in operativno znanje v vaši ekipi. Zgodovinska anekdota o tem, da je en protokol hitrejši ali lažji, ni meritev vašega omrežja.

Sosedje niso enaki nameščenim potem

Ko sosedstvo stoji, ločite, kaj se ustvari, od tega, kar se sprejme. Poglejte, katere predpone podružnic oglašuje vsaka stran, katere se prejmejo, katere se izberejo in katere dejansko dosežejo usmerjevalno tabelo. Obseg uvoza, izvoza in prerazporejanja naj bo premišljen, ne pa vsesplošno oglaševanje vsega, kar naprava ve.

show ospf neighbor in show eigrp neighbors vam povesta, da seja živi. show route vam pove, ali je predpona podružnice prispela, in to sta različni vprašanji.

Pot aplikacije je spet tretje vprašanje. Sosedski odnos razporeja dosegljivost; ne daje dovoljenja skozi požarni zid in ne dokazuje, da se selektorji prometa in pravila filtriranja ujemajo. Preverite dovoljen tok in njegovo povratno pot z odobrenim testom, namesto da predpostavljate, da pot pomeni politiko.

Kaj naj končana primerjava zabeleži

Zapišite vmesnik tunela, različico, ki ga podpira, preverjeno izmenjavo nadzora in politiko poti, ki ste jo omejili. Dodajte nastavitev multicast, ker je prav ta podrobnost tista, ki tiho odloči, ali ostalo deluje. Hranite ta zapis ob nameščeni različici, da bo poznejšo spremembo funkcije mogoče pregledati brez ponovnega začetka iz predpostavke, ki je medtem potekla.

Če manjka karkoli od teh štirih, imate raje prednost kot načrt. Najprej popravite manjkajoče dejstvo; izbira protokola je lažji del.