OSPF или EIGRP преко ASA VTI: коју подржава ваша верзија

Већина расправа OSPF против EIGRP претпоставља да тунел већ може да носи протокол, а на ASA је управо та претпоставка део који прво треба проверити. Поређење постаје занимљиво тек пошто се потврде image, тип VTI и multicast путања. Погрешите ли тај редослед, потрошићете поподне на подешавање тајмера на тунелу који никада неће успоставити суседство. Сваки од ових пројеката почињем белешкама о издању и текућом конфигурацијом, а не преференцијом протокола.

Издање одлучује пре протокола

Cisco водич за VTI на ASA 9.24 је употребљива документациона основа: описује статичне и динамичне VTI и наводи статичко рутирање, BGP, OSPF и EIGRP. Његова историја функција смешта подршку за OSPFv2 и EIGRP на VTI у 9.19(1). Све старија од тога је друга прича.

Дакле прва два питања су досадна и пресудна:

Тврдња да ASA не може да користи VTI или не може да носи IGP била је тачна за неке старије image-е и није тренутна матрица подршке. Исто тако, водич за 9.24 није упутство да се сваки уређај надогради. Он каже шта то издање подржава, а ваше распоређено издање мора само да одговори за себе.

Пролаз unicast-а не значи да ће се IGP формирати

Исти водич напомиње да unicast пролази подразумевано и да multicast мора да се укључи за OSPFv2 или EIGRP на VTI, са документованим ограничењима multicast група. Та једна реченица објашњава већину неуспешних суседстава која сам видео на овом пројекту. Ping који ради кроз тунел, или зелени IPsec статус, доказује само unicast путању. Откривање протокола захтева multicast путању, а обоје се конфигурише одвојено.

Проверите конфигурацију тунелског интерфејса за то multicast подешавање пре него што додирнете hello или hold тајмере. Ако подешавања нема, суседство није споро, оно је немогуће.

OSPF и EIGRP један поред другог на истом тунелу

На самом тунелу два протокола изгледају као и другде. OSPF захтева одговарајући тип мреже, област, аутентификацију и параметре суседа; EIGRP захтева свој AS број и подешавања на нивоу интерфејса која иду с тим.

Замка је копирање наредби за суседе са другог модела тунела. Савети о статичким суседима у пројекту без VTI постојали су да би се избегао multicast и не преносе се на VTI од кога се очекује да протокол носи нативно. Конфигуришите подржано понашање интерфејса, а затим пустите протокол да сам формира суседство.

Затим упоредите по осама које се за вашу топологију заиста разликују: интероперабилност са другом страном, понашање конвергенције које можете тестирати и оперативно знање у вашем тиму. Историјска анегдота о томе да је један протокол бржи или лакши није мерење ваше мреже.

Суседи нису једнаки инсталираним рутама

Када је суседство подигнуто, одвојите оно што се генерише од онога што се прихвата. Погледајте које префиксе огранака свака страна оглашава, који се примају, који се бирају и који заиста стижу до табеле рутирања. Обим увоза, извоза и редистрибуције треба да буде намеран, а не општа реклама за све што уређај зна.

show ospf neighbor и show eigrp neighbors вам кажу да је сесија жива. show route вам каже да ли је префикс огранка стигао, и то су различита питања.

Путања апликације је поново треће питање. Однос суседа дистрибуира доступност; он не даје дозволу кроз firewall и не доказује да се селектори саобраћаја и правила филтрирања слажу. Проверите дозвољени ток и његову путању одговора одобреним тестом, уместо да претпоставите да рута подразумева политику.

Шта завршено поређење треба да забележи

Запишите тунелски интерфејс, издање које га подржава, контролну размену коју сте проверили и политику рута коју сте ограничили. Додајте multicast подешавање, јер је то детаљ који тихо одлучује да ли остатак ради. Држите тај запис поред распоређеног издања да би каснија промена функције могла да се прегледа без поновног почетка од претпоставке која је у међувремену истекла.

Ако недостаје било шта од те четири, имате преференцију, а не пројекат. Прво поправите чињеницу која недостаје; избор протокола је лакши део.