Chọn một nguồn đăng ký ổn định cho các thành viên GET VPN

Ai đó trỏ đăng ký của thành viên nhóm tới một địa chỉ loopback và tuyên bố đã giải quyết xong sự bất ổn của GET VPN. Đôi khi đúng là như vậy. Thường thì loopback chỉ truy cập được từ bảng định tuyến của chính thành viên và không từ đâu khác, nên đăng ký lại hỏng vào lần tiếp theo uplink mang nó dao động. Địa chỉ đăng ký là một danh tính trong mặt phẳng điều khiển, và nó chỉ hữu ích khi tồn tại một đường thật theo cả hai chiều. Chọn nó một cách có chủ đích là đáng làm, và đó là một thay đổi nhỏ hơn những gì lời truyền miệng gợi ý.

Địa chỉ đăng ký xác định điều gì

Trong một triển khai GDOI, thành viên nhóm đăng ký với máy chủ khóa và nhận chính sách nhóm từ đó. Địa chỉ mà máy chủ khóa ghi lại là danh tính của thành viên cho cuộc trao đổi đó.

Danh tính đó bao trùm cuộc trao đổi điều khiển: đăng ký, gia hạn khóa và tải chính sách xuống. Nó không trở thành nguồn lưu lượng của khách hàng, và nó không thay đổi việc giao diện nào bảo vệ luồng nào.

Tách hai thứ đó ra là bước đầu tiên, vì phần lớn sự nhầm lẫn quanh thiết lập này đến từ kỳ vọng rằng một thay đổi ở mặt phẳng điều khiển sẽ sửa một triệu chứng ở mặt phẳng dữ liệu.

Loopback chỉ tốt bằng tuyến của nó

Loopback cho thành viên một địa chỉ logic không biến mất khi một uplink vật lý hỏng. Đó là lợi ích thật trên một router có nhiều đường tới máy chủ khóa.

Nhưng nó cũng chỉ là một địa chỉ. Nếu máy chủ khóa không có tuyến quay lại, đăng ký thất bại y như trước. Nếu bảng định tuyến của thành viên chỉ đến được máy chủ khóa qua một uplink, loopback ổn định còn tuyến thì không.

Hãy kiểm tra khả năng tiếp cận theo cả hai chiều qua từng uplink mà bạn muốn duy trì. Một loopback vẫn ở trạng thái quản trị không chứng minh được gì về chuyển tiếp, và sự cố hiện ra như một máy chủ khóa không tiếp cận được chứ không phải như một vấn đề giao diện. Hãy viết việc kiểm tra thành lệnh cho từng uplink, không phải thành giả định. Khi đó cửa sổ thay đổi tiếp theo bắt đầu từ bằng chứng chứ không phải từ sơ đồ.

Giữ điều khiển và lưu lượng được bảo vệ tách biệt

Hướng dẫn vượt qua GDOI của Cisco mô tả giao diện đăng ký và mối quan hệ giữa đăng ký và việc xử lý vượt qua. Hãy đọc hành vi của bản phát hành mà bạn thực sự chạy thay vì coi một câu như một lệnh phổ quát.

Hãy xem lại lọc và dịch trên đường điều khiển, và xác nhận rằng lưu lượng quản lý khóa không bị cuốn nhầm vào một chính sách bảo vệ phụ thuộc đúng vào chính sách nhóm mà nó đang cố lấy. Kiểu phụ thuộc vòng như vậy là cách kinh điển khiến một triển khai đang chạy tốt lại hỏng sau một thay đổi chính sách.

Chính sách mặt phẳng dữ liệu là một thiết kế riêng. Việc thay đổi nguồn của đăng ký để nguyên các luồng được bảo vệ, các bộ chọn và các quy tắc vượt qua đúng tại chỗ cũ.

Kiểm tra danh tính trong suốt quá trình chuyển đổi

Trước khi thay đổi, hãy ghi lại nhóm, địa chỉ đăng ký được chọn, đích của máy chủ khóa, ngữ cảnh định tuyến và đường điều khiển được phép. Sau một thay đổi uplink đã được phê duyệt, hãy xem lại chế độ xem thành viên đã đăng ký trên máy chủ khóa và trạng thái điều khiển của thành viên.

Điều bạn muốn thấy là điểm cuối logic dự kiến vẫn tiếp cận được và vẫn được biểu diễn như bạn đã thiết kế. Điều bạn không muốn thấy là một đăng ký thứ hai từ một địa chỉ mà bạn không chủ định, vì đó chính là cách các mục thành viên trùng lặp xuất hiện.

Sau đó hãy thử lưu lượng ứng dụng được bảo vệ một cách riêng rẽ. Một lần truyền có thể thành công trong khi lần gia hạn khóa tiếp theo không có nơi nào để đi, và một đăng ký thành công không nói gì về việc một luồng cụ thể có được chọn và định tuyến đúng hay không.

Điều một nguồn ổn định không khắc phục

Nó không xóa các mục thành viên trùng lặp do một cấu hình sai trước đó tạo ra. Nó không sửa lỗi gia hạn khóa do chính sách không khớp giữa thành viên và máy chủ khóa. Nó không chịu được sự cố của một đường vật lý đã bỏ đi tuyến duy nhất tới máy chủ khóa.

Điều nó làm là loại bỏ một biến số: danh tính không còn thay đổi khi địa chỉ uplink thay đổi. Điều đó đáng có, và nó là một dòng trong một thiết kế chứ không phải toàn bộ thiết kế.

Thứ tự công việc: đặt tên cho đường điều khiển, chọn một địa chỉ có tuyến theo cả hai chiều, xác nhận chế độ xem của máy chủ khóa, rồi thử lưu lượng được bảo vệ một cách riêng rẽ. Nếu đăng ký vẫn thất bại, loopback chưa bao giờ là vấn đề.