ASA VTI üzerinden OSPF mi EIGRP mi: sürümünüz hangisini destekliyor
OSPFv2 ve EIGRP, ASA VTI üzerinden yalnızca 9.19(1) sürümünden itibaren ve yalnızca multicast etkinken geçer. İkisini kullandığınız sürümde karşılaştırın, ardından komşuları doğrulayın.
OSPF ve EIGRP tartışmalarının çoğu tünelin protokolü zaten taşıyabildiğini varsayar ve bir ASA'da önce kontrol edilmesi gereken kısım tam olarak bu varsayımdır. Karşılaştırma ancak image, VTI türü ve multicast yolu doğrulandıktan sonra anlamlı olur. Bu sırayı karıştırırsanız, asla komşuluk kurmayacak bir tünelde zamanlayıcıları ayarlayarak bir öğleden sonrayı harcarsınız. Bu tür her tasarıma sürüm notları ve çalışan konfigürasyonla başlarım, protokol tercihiyle değil.
Sürüm, protokolden önce karar verir
Cisco'nun ASA 9.24 için VTI kılavuzu kullanılabilir bir dokümantasyon temelidir: statik ve dinamik VTI'leri açıklar ve statik yönlendirme, BGP, OSPF ve EIGRP'yi listeler. Özellik geçmişi, VTI üzerinde OSPFv2 ve EIGRP desteğini 9.19(1) sürümüne yerleştirir. Bundan daha eski her şey başka bir konuşmadır.
Yani ilk iki soru sıkıcı ve belirleyicidir:
| Check | What decides it |
|---|---|
| Image and release | Whether the feature history lists OSPFv2 or EIGRP on VTI for the version you run |
| VTI type | Static or dynamic, and which routing context the platform permits |
| Multicast on the tunnel | Whether it is enabled, and whether the group limits are respected |
ASA'nın VTI kullanamadığı veya IGP taşıyamadığı iddiası bazı eski image'ler için doğruydu ve güncel bir destek matrisi değildir. Aynı şekilde 9.24 kılavuzu her cihazı yükseltme talimatı değildir. O sürümün neyi desteklediğini söyler ve dağıtılmış sürümünüz kendi adına cevap vermelidir.
Unicast'ın geçmesi IGP'nin oluşacağı anlamına gelmez
Aynı kılavuz, unicast'ın varsayılan olarak geçtiğini ve multicast'ın VTI üzerinde OSPFv2 veya EIGRP için etkinleştirilmesi gerektiğini, multicast gruplarına ilişkin belgelenmiş sınırlarla birlikte belirtir. Bu tek cümle, bu tasarımda gördüğüm başarısız komşulukların çoğunu açıklar. Tünel üzerinden çalışan bir ping veya yeşil bir IPsec durumu yalnızca unicast yolunu kanıtlar. Protokol keşfi multicast yolunu gerektirir ve ikisi ayrı ayrı yapılandırılır.
Hello veya hold zamanlayıcılarına dokunmadan önce tünel arayüzü konfigürasyonunda o multicast ayarını kontrol edin. Ayar yoksa komşuluk yavaş değil, imkânsızdır.
Aynı tünelde OSPF ve EIGRP yan yana
Tünelin kendi üzerinde iki protokol her yerde olduğu gibi görünür. OSPF'nin eşleşen bir ağ türüne, alan, kimlik doğrulama ve komşu parametrelerine ihtiyacı vardır; EIGRP'nin kendi AS numarasına ve ona eşlik eden arayüz düzeyi ayarlarına ihtiyacı vardır.
Tuzak, komşu komutlarını başka bir tünel modelinden kopyalamaktır. VTI olmayan bir tasarımda statik komşulara ilişkin tavsiye multicast'ten kaçınmak için vardı ve protokolü doğal olarak taşıması beklenen bir VTI'ye aktarılmaz. Desteklenen arayüz davranışını yapılandırın ve sonra protokolün kendi komşuluğunu kurmasına izin verin.
Ardından topolojiniz için gerçekten farklılaşan eksenlerde karşılaştırın: karşı tarafla birlikte çalışabilirlik, test edebileceğiniz yakınsama davranışı ve ekibinizdeki operasyon bilgisi. Bir protokolün daha hızlı veya daha hafif olduğuna dair tarihsel bir anekdot ağınızın ölçümü değildir.
Komşular, kurulu rotalarla aynı şey değildir
Komşuluk kurulduktan sonra, kaynaklananı kabul edilenden ayırın. Her tarafın hangi şube öneklerini duyurduğuna, hangilerinin alındığına, hangilerinin seçildiğine ve hangilerinin gerçekten yönlendirme tablosuna ulaştığına bakın. İçe aktarma, dışa aktarma ve yeniden dağıtım kapsamı, cihazın bildiği her şeyin toptan duyurulması değil, bilinçli olmalıdır.
show ospf neighbor ve show eigrp neighbors oturumun canlı olduğunu söyler. show route şube önekinin gelip gelmediğini söyler ve bunlar farklı sorulardır.
Uygulama yolu yine üçüncü sorudur. Komşuluk ilişkisi erişilebilirliği dağıtır; güvenlik duvarından izin vermez ve trafik seçicileri ile filtreleme kurallarının uyuştuğunu kanıtlamaz. Rotanın politikayı ima ettiğini varsaymak yerine izin verilen akışı ve yanıt yolunu onaylanmış bir testle doğrulayın.
Tamamlanan karşılaştırma neyi kaydetmeli
Tünel arayüzünü, onu destekleyen sürümü, doğruladığınız kontrol alışverişini ve sınırladığınız rota politikasını yazın. Multicast ayarını ekleyin, çünkü geri kalanın çalışıp çalışmadığını sessizce belirleyen ayrıntı odur. Bu kaydı dağıtılmış sürümün yanında tutun ki sonraki bir özellik değişikliği, o zamana kadar süresi dolmuş bir varsayımdan yeniden başlamadan incelenebilsin.
O dördünden biri eksikse, bir tasarımınız değil tercihiniz var. Önce eksik olguyu düzeltin; protokol seçimi kolay kısımdır.