GET VPN üyeleri için kararlı bir kayıt kaynağı seçin

Birisi grup üyesinin kaydını bir loopback adresine yönlendirir ve GET VPN kararsızlığının çözüldüğünü ilan eder. Bazen gerçekten öyledir. Çoğu zaman loopback'e yalnızca üyenin kendi yönlendirme tablosundan ulaşılabilir, başka hiçbir yerden ulaşılamaz; bu yüzden onu taşıyan uplink bir sonraki sefer dalgalandığında kayıt yine bozulur. Kayıt adresi kontrol düzleminde bir kimliktir ve yalnızca her iki yönde gerçek bir yol varsa işe yarar. Onu bilinçli olarak seçmek zahmete değer ve bu, halk arasındaki söylentinin ima ettiğinden daha küçük bir değişikliktir.

Kayıt adresi neyi tanımlar

Bir GDOI kurulumunda grup üyesi anahtar sunucusuna kaydolur ve grup ilkesini ondan alır. Sunucunun kaydettiği adres, o konuşma için üyenin kimliğidir.

Bu kimlik kontrol konuşmasını kapsar: kayıt, anahtar yenileme ve ilkenin indirilmesi. Müşteri trafiğinin kaynağı haline gelmez, ve hangi arayüzlerin hangi akışları koruduğunu değiştirmez.

İkisini ayrı tutmak ilk adımdır, çünkü bu ayarla ilgili karışıklığın çoğu, kontrol düzlemindeki bir değişikliğin veri düzlemindeki bir belirtiyi düzelteceği beklentisinden kaynaklanır.

Bir loopback ancak rotası kadar iyidir

Bir loopback, üyeye bir fiziksel uplink arızalandığında kaybolmayan mantıksal bir adres verir. Anahtar sunucusuna birden çok yolu olan bir yönlendiricide bu gerçek bir avantajdır.

Ama o da yalnızca bir adrestir. Sunucunun oraya dönüş rotası yoksa kayıt tıpkı eskisi gibi başarısız olur. Üyenin yönlendirme tablosu anahtar sunucusuna yalnızca tek bir uplink üzerinden ulaşıyorsa loopback kararlıdır, yol değildir.

Hayatta kalmasını istediğiniz her uplink üzerinden iki yönde erişilebilirliği denetleyin. Yönetimsel olarak ayakta kalan bir loopback iletme konusunda hiçbir şey kanıtlamaz ve arıza bir arayüz sorunu olarak değil, erişilemeyen anahtar sunucusu olarak görünür. Denetimi varsayım olarak değil, her uplink için bir komut olarak yazın. O zaman bir sonraki değişiklik penceresi bir diyagramdan değil, kanıtlardan başlar.

Kontrolü ve korunan trafiği ayrı tutun

Cisco'nun GDOI atlama kılavuzu kayıt arayüzünü ve kayıt ile atlama işleme arasındaki ilişkiyi belgeler. Bir ifadeyi evrensel bir komut olarak ele almak yerine gerçekten çalıştırdığınız sürümün davranışını okuyun.

Kontrol yolundaki filtrelemeyi ve çeviriyi gözden geçirin ve anahtar yönetimi trafiğinin, almak istediği grup ilkesinin tam da kendisine bağlı olan bir koruma ilkesine kazara sürüklenmediğini doğrulayın. Böyle döngüsel bir bağımlılık, çalışan bir kurulumun ilke değişikliğinden sonra başarısız olmasının klasik yoludur.

Veri düzlemi ilkesi ayrı bir tasarımdır. Kaydın nereden geldiğini değiştirmek, korunan akışları, seçicileri ve atlama kurallarını tam oldukları yerde bırakır.

Geçiş boyunca kimliği doğrulayın

Değişiklikten önce grubu, seçilen kayıt adresini, anahtar sunucusu hedefini, yönlendirme bağlamını ve izin verilen kontrol yolunu not edin. Onaylanmış bir uplink değişikliğinden sonra anahtar sunucusunun kayıtlı üye görünümünü ve üyenin kontrol durumunu yeniden inceleyin.

Görmek istediğiniz şey, amaçlanan mantıksal uç noktanın hâlâ erişilebilir ve hâlâ tasarladığınız gibi temsil ediliyor olmasıdır. İstemediğiniz şey, amaçlamadığınız bir adresten gelen ikinci bir kayıttır, çünkü yinelenen üye girdileri tam bu şekilde ortaya çıkar.

Sonra korunan uygulama trafiğini ayrı test edin. Bir aktarım başarılı olabilirken bir sonraki anahtar yenilemesinin gidecek yeri olmayabilir ve başarılı bir kayıt, belirli bir akışın doğru seçilip yönlendirildiği konusunda hiçbir şey söylemez.

Kararlı bir kaynağın düzeltmediği şeyler

Önceki yanlış yapılandırmanın oluşturduğu yinelenen üye girdilerini kaldırmaz. Üye ile anahtar sunucusu arasındaki ilke uyuşmazlığından kaynaklanan anahtar yenileme hatasını onarmaz. Anahtar sunucusuna giden tek rotayı ortadan kaldıran fiziksel yol arızasına dayanmaz.

Yaptığı şey bir değişkeni ortadan kaldırmaktır: uplink adresi değiştiğinde kimlik artık değişmez. Buna sahip olmak değer, ve bu bir tasarımda tek satırdır, tasarımın tamamı değil.

İş sırası: kontrol yolunu adlandırın, iki yönde rotası olan bir adres seçin, anahtar sunucusunun görünümünü doğrulayın, sonra korunan trafiği ayrı test edin. Kayıt hâlâ başarısız oluyorsa loopback hiçbir zaman sorun değildi.