Pumili ng matatag na pinagmumulan ng rehistro para sa mga miyembro ng GET VPN

May nagtuturo sa rehistro ng miyembro ng grupo sa isang loopback address at nagpapahayag na nalutas na ang instabilidad ng GET VPN. Minsan totoo nga. Kadalasan ang loopback ay maabot lamang mula sa sariling routing table ng miyembro at wala nang iba pa, kaya muling nasisira ang rehistro sa susunod na umugoy ang uplink na nagdala nito. Ang address ng rehistro ay isang pagkakakilanlan sa control plane, at tumutulong lamang ito kapag may tunay na landas sa dalawang direksyon. Sulit na sadyang piliin ito, at mas maliit itong pagbabago kaysa sinasabi ng sabi-sabi.

Ano ang tinutukoy ng address ng rehistro

Sa isang deployment ng GDOI, nagpaparehistro ang miyembro ng grupo sa key server at tumatanggap ng patakaran ng grupo mula rito. Ang address na itinatala ng key server ay ang pagkakakilanlan ng miyembro para sa pag-uusap na iyon.

Sakop ng pagkakakilanlang iyon ang pag-uusap sa control: rehistro, pagpapanibago ng key at pag-download ng patakaran. Hindi ito nagiging pinagmumulan ng trapik ng mga kliyente, at hindi nito binabago kung aling mga interface ang nagpoprotekta sa aling mga daloy.

Ang paghihiwalay ng dalawa ang unang hakbang, dahil ang karamihan ng kalituhan tungkol sa setting na ito ay nagmumula sa inaasahang aayusin ng pagbabago sa control plane ang sintomas sa data plane.

Ang loopback ay kasinghusay lamang ng ruta nito

Binibigyan ng loopback ang miyembro ng lohikal na address na hindi nawawala kapag pumalya ang isang pisikal na uplink. Tunay na pakinabang ito sa router na may maraming landas papunta sa key server.

Ngunit address lamang din ito. Kung walang ruta pabalik ang key server, pumapalya ang rehistro tulad ng dati. Kung naaabot ng routing table ng miyembro ang key server sa isang uplink lamang, matatag ang loopback at hindi ang landas.

Suriin ang maabot sa dalawang direksyon sa bawat uplink na gusto mong tumagal. Ang loopback na nananatiling administratibong nakaupo ay walang pinatutunayan tungkol sa forwarding, at lumalabas ang kabiguan bilang hindi maabot na key server at hindi bilang problema sa interface. Isulat ang pagsusuri bilang utos sa bawat uplink, hindi bilang palagay. Pagkatapos ay magsisimula ang susunod na window ng pagbabago sa ebidensiya at hindi sa diagram.

Panatilihing hiwalay ang control at ang protektadong trapik

Ang gabay sa paglampas ng GDOI ng Cisco ay nagdodokumento ng interface ng rehistro at ng kaugnayan sa pagitan ng rehistro at paghawak ng paglampas. Basahin ang pag-uugali para sa release na talagang pinapatakbo mo sa halip na ituring ang isang parirala bilang pangkalahatang utos.

Repasuhin ang pag-filter at pagsasalin sa landas ng control, at tiyakin na ang trapik ng pamamahala ng key ay hindi aksidenteng nadadala sa patakaran ng proteksyon na nakadepende mismo sa patakarang iyon ng grupo na sinusubukan nitong kunin. Ang ganitong pabilog na dependency ay klasikong paraan para pumalya ang gumaganang deployment pagkatapos ng pagbabago sa patakaran.

Ang patakaran sa data plane ay hiwalay na disenyo. Ang pagbabago kung saan nagmumula ang rehistro ay iniiwan ang protektadong mga daloy, mga selector at mga tuntunin sa paglampas kung saan mismo sila naroon.

Suriin ang pagkakakilanlan sa buong transisyon

Bago ang pagbabago, itala ang grupo, ang piniling address ng rehistro, ang destinasyon ng key server, ang konteksto ng routing at ang pinapayagang landas ng control. Pagkatapos ng aprubadong pagbabago sa uplink, suriin muli ang tanawin ng mga nakarehistrong miyembro sa key server at ang kalagayan ng control ng miyembro.

Ang gusto mong makita ay ang inilaan na lohikal na dulo ay naaabot pa rin at naipakikita pa rin gaya ng dinisenyo mo. Ang ayaw mong makita ay pangalawang rehistro mula sa address na hindi mo inilaan, dahil ganoon lumilitaw ang mga doble na entry ng miyembro.

Pagkatapos ay subukan nang hiwalay ang protektadong trapik ng aplikasyon. Maaaring magtagumpay ang paglilipat habang walang matutunguhan ang susunod na pagpapanibago ng key, at walang sinasabi ang matagumpay na rehistro kung ang isang partikular na daloy ay tama ang pagkakapili at pagkakaruta.

Ano ang hindi naaayos ng matatag na pinagmumulan

Hindi nito tinatanggal ang mga doble na entry ng miyembro na nilikha ng dating maling konfigurasyon. Hindi nito naaayos ang kabiguan sa pagpapanibago ng key na dulot ng hindi pagkakatugma ng patakaran sa pagitan ng miyembro at key server. Hindi ito nakakaligtas sa kabiguan ng pisikal na landas na nag-alis ng nag-iisang ruta papunta sa key server.

Ang ginagawa nito ay tanggalin ang isang baryabol: hindi na nagbabago ang pagkakakilanlan kapag nagbago ang address ng uplink. Sulit itong magkaroon, at isa itong linya sa isang disenyo at hindi ang buong disenyo.

Pagkakasunod-sunod ng trabaho: pangalanan ang landas ng control, pumili ng address na may ruta sa dalawang direksyon, tiyakin ang tanawin ng key server, pagkatapos ay subukan nang hiwalay ang protektadong trapik. Kung pumapalya pa rin ang rehistro, hindi kailanman ang loopback ang problema.