Hierarchical na DMVPN: isang cloud bawat relasyon ng tunnel

Isang node ng sangay ang matagumpay na nagrerehistro sa rehiyonal na hub nito at hindi pa rin maabot ang isang serbisyo sa ibang rehiyon. Buhay ang tunnel, mukhang malusog ang estado ng NHS, at lumilitaw lamang ang pagkabigo para sa mga destinasyong tumatawid sa hangganan ng antas. Karaniwang ibig sabihin ng pattern na ito na hindi kailanman tinukoy ng disenyo kung aling mga device ang lumalahok sa aling cloud ng DMVPN, kaya itinayo ang mga antas sa hula at hindi na sila nagtutugma ngayon.

Lumilitaw ang sintomas sa hangganan ng mga antas

Sa isang hierarchical na disenyo, isang sentral na hub, ilang rehiyonal na hub at maraming sangay ang may kanya-kanyang posisyon. Maaaring magmay-ari ang isang rehiyonal na hub ng higit sa isang relasyon ng tunnel, at hindi kailangang magrehistro ang mga sangay sa bawat sentral na endpoint. Ang mahahalagang landas ay sangay patungo sa rehiyonal na serbisyo, sangay patungo sa isa pang aprubadong rehiyonal na node, at sangay patungo sa sentral na destinasyon.

Kapag nabigo ang isa sa mga landas na iyon habang gumagana ang iba, ang problema ay halos palaging kulang o magkasalungat na depinisyon ng tungkulin at hindi isang sirang tunnel. Isulat ang mga inilaan na landas at ihambing ang mga ito sa aktwal na itinayo ng mga device. Tumatagal ng isang oras ang paghahambing na iyon at pumipigil sa isang linggong hulaan. Itago ito kasama ng dokumento ng disenyo.

Isang cloud, isang kontrata ng interface

Para sa bawat cloud, itala ang interface ng tunnel, ang overlay addressing, ang lokal na pinagmulan ng underlay, ang mga relasyon ng NHS at NBMA, ang paghahatid ng multicast at ang patakaran sa proteksyon. Sabihin din kung aling mga ruta ang tumatawid sa pagitan ng rehiyonal at sentral na konteksto, dahil ang pangungusap na iyon ang disenyo.

Ang isang rehiyonal na hub na may dalawang interface ng tunnel ay nangangailangan ng dalawang kontrata, hindi isa na may dalawang address. Ang pinagmulan ng underlay, ang domain ng NHRP at ang mga ruta ay maaaring magkaiba bawat interface, at isang dokumento na pinagsasama ang mga ito ay magliligaw sa sinumang nagko-configure ng pangalawa.

Ang mga ID ay lokal na konteksto, hindi kontrol sa access

Ang mga network ID ng NHRP at mga GRE key ay ang dalawang halaga na pinakamadalas na maling ituring na pandaigdigang setting. Inilalarawan ng gabay ng NHRP sa IOS XE ang network ID bilang makabuluhan lamang sa lokal, kaya ang magkatugmang numero sa malalayong router ay walang pinapatunayan at ang pagbabago ng lokal na numero ng isang router ay hindi lumilikha ng hangganan ng access.

Ang isang GRE key, kung saan ginagamit ito ng disenyo, ay tumutulong tukuyin ang konteksto ng tumatanggap na tunnel, at napagkasunduan ito sa mga endpoint na nagbabahagi ng kontekstong iyon. Hindi ito password at hindi nito pinapalitan ang authentication ng IKE o ang patakaran sa routing. Tratuhin ang dalawang halaga bilang konteksto ng configuration na dapat tumugma sa loob ng isang relasyon, hindi bilang mga kontrol sa seguridad na naghihiwalay sa mga rehiyon.

Rutahin nang sinasadya sa pagitan ng mga antas

Magpasya kung aling mga prefix ang ipinapahayag ng rehiyonal na hub pataas at aling mga sentral na destinasyon ang iniaalok nito sa mga sangay nito. Pagkatapos, suriin ang aktwal na susunod na hop at ang pag-uugali ng shortcut na partikular sa yugto para sa bawat landas, dahil ang isang summary route at isang shortcut ay maaaring gumawa ng ibang pagpapasa kaysa sa iminumungkahi ng diagram.

Gamitin ang routing at patakaran sa access upang ipatupad ang rehiyonal na paghihiwalay. Kung ang isang sangay ay hindi dapat direktang maabot ang ibang rehiyon, dapat sabihin ito ng ruta at patakaran, sa halip na umasa sa isang ID na hindi kailanman dinisenyo upang ipatupad iyon. Isulat ang patakaran sa tabi ng ID. Kung hindi, ipapalagay ng susunod na inhinyero na ang numero ang gumagawa ng trabaho.

Diagnosis ang hindi inaasahang shortcut

Kapag sinubukan ng isang sangay na lumikha ng direktang relasyon sa isang sentral na endpoint, suriin ang ruta nito, ang NHRP mapping nito at ang napiling konteksto ng tunnel bago baguhin ang mga ID nang random. Ang kawalan ng maabot, isang hindi sinasadyang relasyon sa NHS at isang lehitimong ngunit hindi awtorisadong shortcut ay nangangailangan ng tatlong magkakaibang pagwawasto.

Ang gabay sa configuration ng DMVPN ay nagpapakita ng mga setting ng tunnel at NHRP nang magkasama, at iyon ang dahilan kung bakit kailangan munang paghiwalayin ang mga saklaw sa papel. Itala ang mga kontrata ng cloud, panatilihing malinaw ang mga ruta ng antas, at ang susunod na pagkabigo sa hangganan ay may tutukuyin.