EIGRP-сусіди не піднімаються на оверлеї DMVPN

Unicast через оверлей працює, а суміжність усе одно не встановлюється, тому перевіряйте реплікацію multicast у NHRP, політику EIGRP на тунелі та IPsec як три окремі рівні.

Тунель піднятий, один spoke може пінгувати інший, а EIGRP досі не показує жодного сусіда на hub. Така комбінація нормальна, а не загадкова: ping доводить доступність unicast через NHRP, а hello-повідомлення EIGRP передаються multicast. На оверлеї DMVPN модель доставки протоколу маршрутизації — це друга площина конфігурації, і саме її люди пропускають, бо перша площина вже виглядає здоровою. Кожен рівень нижче перевіряється власною командою, тому збій на одному не повертає вас на початок списку.

Запишіть суміжності, які очікуєте

Перед будь-якою командою show складіть короткий список: який spoke з яким hub має встановити peer, через який тунельний інтерфейс і в якій автономній системі EIGRP. Схеми з кількома hub ламаються в проміжках між hub, і список перетворює «EIGRP зламано» на «spoke 3 не реєструється на hub 2». Додайте тунельні підмережі, які очікуєте на кожній ланці, бо незбіг адрес на двох кінцях виглядає точно як збій протоколу. Запишіть список у тікет, щоб наступна зміна порівнювала з проєктом, а не з останнім скриншотом.

Перевірте NHRP, потім шлях multicast

Почніть зі стану реєстрації та прив’язок, які hub справді тримає. Spoke без динамічного запису на hub не зареєстрований, і жоден протокол маршрутизації це не виправить. Далі підтвердьте, що spoke приймає multicast з адреси NBMA хаба, а це окремий рядок від запису NHS.

show dmvpn
show ip nhrp
show ip nhrp nhs detail
interface Tunnel0
 ip nhrp network-id 1
 ip nhrp nhs 203.0.113.1 nbma 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel mode gre multipoint
 tunnel key 100

Саме рядок ip nhrp map multicast дає spoke змогу надсилати свої hello на hub як реплікований multicast через оверлей і дає змогу multicast хаба доходити до зареєстрованих spoke. Без нього unicast через NHRP працює, а multicast — ні, і саме цей поділ змушує ping виглядати доказом. Посібник Cisco IOS XE DMVPN описує поведінку multicast на hub і spoke для кожної фази, тому узгодьте конфігурацію з тією фазою, яку ви справді розгорнули, а не копіюйте фрагмент з іншої топології.

Перевірте власну політику інтерфейсу EIGRP

Тунель, якого немає в процесі EIGRP або який passive, ніколи не утворить суміжність, хоч би яким здоровим був оверлей. Читайте участь інтерфейсу й таблицю сусідів разом, бо перше пояснює друге.

show ip eigrp interfaces detail Tunnel0
show ip eigrp neighbors detail
show run | section router eigrp
router eigrp 100
 network 10.10.0.0 0.0.0.255
 passive-interface default
 no passive-interface Tunnel0

Автентифікація та ваги метрики мають збігатися на обох кінцях. Ланцюг ключів із неправильним режимом або розбіжність значення K відкидає hello без очевидного рядка syslog у отримувача. Якщо схема використовує явно налаштованих unicast-сусідів, дотримуйтеся цієї моделі повністю, а не нашаровуйте її поверх налаштувань multicast, доки щось не підніметься.

Тримайте транспорт GRE і захист IPsec окремо

DMVPN переносить multicast усередині GRE, а IPsec захищає пакети GRE, а не внутрішній multicast напряму. Тому загальне твердження, що IPsec не може переносити multicast, для цієї схеми хибне й марне як діагностика. Перевірте профіль IPsec на тунелі, асоціації безпеки для кожного peer і стан тунельного інтерфейсу як три окремі факти.

show crypto ipsec sa peer 198.51.100.1
show interfaces Tunnel0 | include line protocol
show ip nhrp multicast

SA, яка піднята й лічильники якої зростають, поки EIGRP залишається внизу, повертає розслідування вище по стеку: пакети захищаються й доставляються, отже проблема в тому, які пакети протокол обирає надсилати.

Перевіряйте маршрути, а не лише кількість сусідів

Щойно суміжність сформовано, прочитайте, що вона анонсує та встановлює. На багатоточковому тунелі split horizon і поведінка next-hop вирішують, чи зможе spoke дістатися до іншого spoke через hub, а сумаризація може приховати префікс навіть за бездоганних сусідських відносин.

Завершіть дозволеним застосунком між двома майданчиками й підтвердьте шлях, який він проходить. Прямі скорочення spoke-to-spoke — це вимога пересилання з власним станом NHRP і безпеки, і їх додавання, щоб кількість сусідів виглядала краще, зазвичай створює другу проблему.

Запишіть поетапну схему, прив’язку multicast і політику EIGRP в одному місці. Наступному інженеру знадобиться схема, а не стенограма.

Схожі статті