Hiyerarşik DMVPN: her tünel ilişkisi için bir bulut

Bir şube düğümü bölgesel merkezine başarıyla kaydolur ve yine de başka bir bölgedeki hizmete ulaşamaz. Tünel çalışıyor, NHS durumu sağlıklı görünüyor ve hata yalnızca katman sınırını aşan hedeflerde ortaya çıkıyor. Bu örüntü genellikle tasarımın hangi cihazların hangi DMVPN bulutuna katıldığını hiç belirtmediği anlamına gelir; bu yüzden katmanlar sezgiyle kuruldu ve artık birbirini tutmuyor.

Belirti katman sınırında ortaya çıkar

Hiyerarşik bir tasarımda merkezi bir hub, birkaç bölgesel hub ve birçok şube düğümü her biri bir konum tutar. Bir bölgesel hub birden fazla tünel ilişkisine sahip olabilir ve şubelerin her merkezi uç noktada kaydolması gerekmez. Önemli yollar şubeden bölgesel hizmete, şubeden onaylanmış başka bir bölgesel düğüme ve şubeden merkezi bir hedefe giden yollardır.

Bu yollardan biri diğerleri çalışırken başarısız olduğunda, sorun neredeyse her zaman bozuk bir tünel değil, eksik veya çelişkili bir rol tanımıdır. Amaçlanan yolları yazın ve cihazların gerçekte ne kurduğuyla karşılaştırın. Bu karşılaştırma bir saat sürer ve bir haftalık tahmini önler. Tasarım belgesiyle birlikte saklayın.

Bir bulut, bir arabirim sözleşmesi

Her bulut için tünel arabirimini, üst katman adreslemesini, yerel alt ağ kaynağını, NHS ve NBMA ilişkilerini, çoklu yayın dağıtımını ve koruma ilkesini kaydedin. Hangi yolların bölgesel ve merkezi bağlamlar arasında geçtiğini de belirtin, çünkü o cümle tasarımın kendisidir.

İki tünel arabirimli bir bölgesel hub iki sözleşmeye ihtiyaç duyar, iki adresli tek bir sözleşmeye değil. Alt ağ kaynağı, NHRP alanı ve yollar arabirime göre farklılık gösterebilir ve bunları birleştiren bir belge ikincisini yapılandıran kişiyi yanıltır.

Kimlikler yerel bağlamdır, erişim denetimi değil

NHRP ağ kimlikleri ve GRE anahtarları, en sık küresel ayar sanılan iki değerdir. IOS XE NHRP kılavuzu ağ kimliğini yerel olarak anlamlı diye tanımlar; bu yüzden uzak yönlendiricilerdeki eşleşen numaralar hiçbir şeyin kimliğini doğrulamaz ve bir yönlendiricinin yerel numarasını değiştirmek erişim sınırı oluşturmaz.

GRE anahtarı, tasarımın kullandığı yerde, alıcı tünelin bağlamını tanımlamaya yardımcı olur ve o bağlamı paylaşan uç noktalar arasında kararlaştırılır. Parola değildir ve IKE kimlik doğrulamasının ya da yönlendirme ilkesinin yerini almaz. İki değeri de bir ilişki içinde eşleşmesi gereken yapılandırma bağlamı olarak ele alın, bölgeleri ayıran güvenlik denetimleri olarak değil.

Katmanlar arasında bilinçli yönlendirin

Bölgesel hubun yukarı doğru hangi önekleri duyuracağını ve şubelerine hangi merkezi hedefleri sunacağını belirleyin. Ardından her yol için gerçek sonraki atlamayı ve aşamaya özgü kısayol davranışını denetleyin, çünkü bir özet rota ile kısayol diyagramın ima ettiğinden çok farklı bir yönlendirme üretebilir.

Bölgesel ayrımı uygulamak için yönlendirme ve erişim ilkesini kullanın. Bir şube başka bir bölgeye doğrudan ulaşmamalıysa, bunu uygulamak için hiç tasarlanmamış bir kimliğe güvenmek yerine rotanın ve ilkenin bunu söylemesi gerekir. İlkeyi kimliğin yanına yazın. Aksi halde bir sonraki mühendis işi numaranın yaptığını varsayar.

Beklenmeyen kısayolu teşhis edin

Bir şube merkezi bir uç noktayla doğrudan ilişki kurmaya çalıştığında, kimlikleri rastgele değiştirmeden önce rotasını, NHRP eşlemesini ve seçilen tünel bağlamını inceleyin. Erişilemezlik, istenmeyen bir NHS ilişkisi ve meşru ama yetkisiz bir kısayol üç farklı düzeltme gerektirir.

DMVPN yapılandırma kılavuzu tünel ve NHRP ayarlarını birlikte gösterir ve bu yüzden kapsamlar önce kâğıt üzerinde ayrılmalıdır. Bulut sözleşmelerini kaydedin, katman rotalarını açık tutun ve bir sonraki sınır hatasının işaret edeceği bir yer olacaktır.