Изаберите стабилан извор регистрације за чланове GET VPN-а

Неко усмери регистрацију члана групе на адресу loopback и прогласи нестабилност GET VPN-а решеном. Понекад је тако. Често је loopback доступан само из сопствене табеле рутирања члана и ниоткуда другде, па се регистрација поново ломи кад следећи пут затрепере uplink који ју је носио. Адреса регистрације је идентитет у управљачкој равни и помаже само када у оба смера постоји стварна путања. Свесно је изабрати вреди, и то је мања промена него што налаже народна мудрост.

Шта адреса регистрације идентификује

У GDOI поставци члан групе региструје се код сервера кључева и од њега добија групну политику. Адреса коју сервер кључева забележи је идентитет члана за тај разговор.

Тај идентитет покрива контролни разговор: регистрацију, обнову кључева и преузимање политике. Она не постаје извор клијентског саобраћаја, и не мења који интерфејси штите које токове.

Држати то двоје одвојено је први корак, јер већина забуне око овог подешавања долази из очекивања да ће промена у управљачкој равни поправити симптом у равни података.

Loopback вреди онолико колико вреди његова рута

Loopback даје члану логичку адресу која не нестаје када један физички uplink откаже. То је стварна предност на рутеру са више путања до сервера кључева.

Али то је и само адреса. Ако сервер кључева нема повратну руту до ње, регистрација пада исто као и пре. Ако табела рутирања члана долази до сервера кључева само преко једног uplink-а, loopback је стабилан, а путања није.

Проверите доступност у оба смера кроз сваки uplink који намеравате да преживи. Loopback који остане административно активан не доказује ништа о прослеђивању, а отказ се појављује као недоступан сервер кључева, а не као проблем са интерфејсом. Запишите проверу као наредбу по uplink-у, а не као претпоставку. Тада следећи прозор за промене почиње од доказа, а не од дијаграма.

Држите контролу и заштићени саобраћај одвојено

Ciscov водич за заобилажење GDOI документује интерфејс регистрације и однос између регистрације и обраде заобилажења. Прочитајте понашање за издање које заиста користите, уместо да једну фразу третирате као универзалну наредбу.

Прегледајте филтрирање и превођење на контролној путањи и потврдите да саобраћај управљања кључевима није случајно увучен у заштитну политику која зависи од исте оне групне политике коју покушава да дохвати. Таква кружна зависност је класичан начин да функционална поставка падне после промене политике.

Политика у равни података је засебан дизајн. Промена тога одакле регистрација долази оставља заштићене токове, селекторе и правила заобилажења тачно тамо где су били.

Проверите идентитет кроз транзицију

Пре промене забележите групу, изабрану адресу регистрације, одредиште сервера кључева, контекст рутирања и дозвољену контролну путању. После одобрене промене uplink-а поново прегледајте приказ регистрованих чланова на серверу кључева и контролно стање члана.

Оно што желите да видите јесте да је предвиђена логичка завршна тачка још доступна и још представљена онако како сте је дизајнирали. Оно што не желите је друга регистрација са адресе коју нисте предвидели, јер тако дупликати уноса чланова и настају.

Затим одвојено тестирајте заштићени апликацијски саобраћај. Пренос може успети док следећа обнова кључева нема куда да оде, а успешна регистрација не говори ништа о томе да ли је одређени ток исправно изабран и рутиран.

Шта стабилан извор не поправља

Не уклања дупликате уноса чланова настале претходном погрешном конфигурацијом. Не поправља отказ обнове кључева узрокован неусклађеношћу политика између члана и сервера кључева. Не преживљава отказ физичке путање који је уклонио једину руту до сервера кључева.

Оно што чини јесте да уклања једну променљиву: идентитет се више не мења када се промени адреса uplink-а. То вреди имати и то је један ред у дизајну, а не цео дизајн.

Редослед рада: именујте контролну путању, изаберите адресу са рутом у оба смера, потврдите приказ сервера кључева, затим одвојено тестирајте заштићени саобраћај. Ако регистрација и даље пада, loopback никада није био проблем.