Хијерархијски DMVPN: један облак по туннелској вези

Огранак се успешно региструје код свог регионалног чворишта и ипак не може да достигне услугу у другој регији. Тунел је активан, стање NHS-а изгледа здраво, а квар се појављује само за одредишта која прелазе границу слоја. Овај образац обично значи да пројекат никада није навео које уређаје учествују у ком DMVPN облаку, па су слојеви изграђени по интуицији и сада се не слажу.

Симптом се појављује на граници слојева

У хијерархијском пројекту централно чвориште, неколико регионалних чворишта и многи огранци заузимају сваки своју позицију. Регионално чвориште може имати више од једне туннелске везе, а огранци не морају да се региструју на свакој централној крајњој тачки. Важни путеви су од огранка до регионалне услуге, од огранка до другог одобреног регионалног чворишта и од огранка до централног одредишта.

Када један од тих путева откаже док остали раде, проблем је готово увек недостајућа или противречна дефиниција улоге, а не покварен тунел. Запишите предвиђене путеве и упоредите их са оним што су уређаји заиста изградили. То поређење траје један сат и спречава недељу нагађања. Чувајте га уз пројектни документ.

Један облак, један уговор интерфејса

За сваки облак запишите туннелски интерфејс, адресирање горњег слоја, локални извор основне мреже, односе NHS и NBMA, вишеадресну испоруку и политику заштите. Наведите и који путеви прелазе између регионалног и централног контекста, јер је управо та реченица пројекат.

Регионалном чворишту са два туннелска интерфејса потребна су два уговора, а не један са две адресе. Извор основне мреже, NHRP домен и путеви могу се разликовати по интерфејсу, а документ који их спаја завешће онога ко конфигурише други.

ID-ови су локални контекст, а не контрола приступа

Мрежни ID-ови NHRP-а и GRE кључеви су две вредности које се најчешће погрешно сматрају глобалним подешавањима. Водич за NHRP у IOS XE описује мрежни ID као локално значајан, тако да исти бројеви на удаљеним рутерима ништа не аутентификују и промена локалног броја једног рутера не ствара границу приступа.

GRE кључ, где пројекат користи један, помаже да се препозна контекст пријемног тунела и договара се међу крајњим тачкама које деле тај контекст. То није лозинка и не замењује IKE аутентификацију или политику рутирања. Третирајте обе вредности као конфигурацијски контекст који мора да се поклопи у оквиру везе, а не као безбедносне контроле које раздвајају регије.

Рутирајте између слојева намерно

Одлучите које префиксе регионално чвориште објављује нагоре и које централне одредишта нуди својим огранцима. Затим проверите стварни следећи скок и понашање пречице специфично за фазу за сваки пут, јер збирна рута и пречица могу дати потпуно другачије прослеђивање него што дијаграм сугерише.

Користите рутирање и политику приступа да спроведете регионално раздвајање. Ако огранак не сме директно да достигне другу регију, то морају да кажу рута и политика, уместо да се поуздају у ID који никада није био пројектован да то спроведе. Запишите политику поред ID-а. Иначе ће следећи инжењер претпоставити да број обавља посао.

Дијагностикујте неочекивану пречицу

Када огранак покуша да створи директну везу са централном крајњом тачком, проверите његову руту, његово NHRP мапирање и изабрани туннелски контекст пре него што насумично промените ID-ове. Недоступност, ненамерна веза са NHS-ом и легална али неовлашћена пречица захтевају три различите исправке.

Водич за конфигурацију DMVPN-а приказује подешавања тунела и NHRP-а заједно, и управо зато области прво треба раздвојити на папиру. Запишите уговоре облака, држите руте слојева експлицитним, и следећи квар на граници имаће где да укаже.