Hàng xóm EIGRP không lên trên lớp phủ DMVPN

Đường hầm đã lên, một spoke có thể ping spoke khác, mà EIGRP vẫn không hiển thị hàng xóm nào trên hub. Sự kết hợp đó là bình thường chứ không bí ẩn: ping chứng minh khả năng tiếp cận unicast qua NHRP, còn hello của EIGRP là multicast. Trên lớp phủ DMVPN, mô hình phân phối của giao thức định tuyến là bề mặt cấu hình thứ hai, và đó chính là bề mặt mà người ta bỏ qua vì bề mặt thứ nhất trông đã khỏe mạnh. Mỗi lớp bên dưới được kiểm tra bằng lệnh riêng, nên một lỗi ở một lớp không đưa bạn về đầu danh sách.

Ghi lại các quan hệ lân cận mà bạn mong đợi

Trước mọi lệnh show, hãy lập danh sách ngắn: spoke nào phải peer với hub nào, qua giao diện đường hầm nào và trong hệ tự trị EIGRP nào. Các thiết kế nhiều hub thất bại ở những khoảng trống giữa các hub, và danh sách biến «EIGRP hỏng» thành «spoke 3 không đăng ký với hub 2». Hãy ghi cả các subnet đường hầm mà bạn mong đợi trên từng liên kết, vì sự không khớp địa chỉ giữa hai đầu trông giống hệt một lỗi giao thức. Ghi danh sách vào ticket để ca sau so với thiết kế chứ không so với ảnh chụp màn hình cuối.

Kiểm tra NHRP, rồi kiểm tra đường multicast

Bắt đầu với trạng thái đăng ký và các ánh xạ mà hub thực sự giữ. Một spoke không có mục động trên hub là chưa đăng ký, và không giao thức định tuyến nào sửa được điều đó. Sau đó xác nhận spoke nhận multicast từ địa chỉ NBMA của hub, đây là dòng riêng so với mục NHS.

show dmvpn
show ip nhrp
show ip nhrp nhs detail
interface Tunnel0
 ip nhrp network-id 1
 ip nhrp nhs 203.0.113.1 nbma 198.51.100.1
 ip nhrp map multicast 198.51.100.1
 tunnel mode gre multipoint
 tunnel key 100

Chính dòng ip nhrp map multicast cho phép spoke gửi hello của mình tới hub dưới dạng multicast được sao chép qua lớp phủ, và cho phép multicast của hub đến được các spoke đã đăng ký. Không có nó, unicast qua NHRP chạy còn multicast thì không, và chính sự tách biệt đó khiến ping trông như bằng chứng. Hướng dẫn của Cisco IOS XE DMVPN ghi lại hành vi multicast của hub và spoke cho từng giai đoạn, nên hãy khớp cấu hình với giai đoạn bạn thực sự triển khai thay vì sao chép một đoạn từ topology khác.

Kiểm tra chính sách giao diện của EIGRP

Một đường hầm không nằm trong tiến trình EIGRP hoặc ở trạng thái passive sẽ không bao giờ hình thành quan hệ lân cận, dù lớp phủ có khỏe đến đâu. Hãy đọc đồng thời sự tham gia của giao diện và bảng hàng xóm, vì cái trước giải thích cái sau.

show ip eigrp interfaces detail Tunnel0
show ip eigrp neighbors detail
show run | section router eigrp
router eigrp 100
 network 10.10.0.0 0.0.0.255
 passive-interface default
 no passive-interface Tunnel0

Xác thực và trọng số metric phải khớp ở cả hai đầu. Một chuỗi khóa sai chế độ, hoặc lệch giá trị K, sẽ làm rơi hello mà không có dòng syslog rõ ràng ở bên nhận. Nếu thiết kế dùng hàng xóm unicast được cấu hình tường minh, hãy theo mô hình đó hoàn toàn thay vì chồng lên cấu hình multicast cho đến khi có gì đó lên.

Giữ riêng việc vận chuyển GRE và bảo vệ IPsec

DMVPN mang multicast bên trong GRE, còn IPsec bảo vệ các gói GRE chứ không bảo vệ trực tiếp multicast bên trong. Vì thế khẳng định chung rằng IPsec không mang được multicast là sai với thiết kế này và vô dụng như một chẩn đoán. Hãy kiểm tra hồ sơ IPsec trên đường hầm, các hiệp hội an ninh cho từng peer và trạng thái giao diện đường hầm như ba sự thật riêng biệt.

show crypto ipsec sa peer 198.51.100.1
show interfaces Tunnel0 | include line protocol
show ip nhrp multicast

Một SA đang lên với bộ đếm chạy trong khi EIGRP vẫn xuống sẽ đưa cuộc điều tra trở lại phía trên của ngăn xếp: các gói đang được bảo vệ và chuyển đi, nên vấn đề là giao thức chọn gửi những gói nào.

Xác minh tuyến đường, không chỉ số lượng hàng xóm

Khi quan hệ lân cận hình thành, hãy đọc xem nó quảng bá và cài đặt những gì. Trên đường hầm đa điểm, split horizon và hành vi next-hop quyết định việc một spoke có đến được spoke khác qua hub hay không, và việc tổng hợp có thể che một prefix ngay cả khi quan hệ hàng xóm hoàn hảo.

Kết thúc bằng một ứng dụng được phép giữa hai site và xác nhận đường đi của nó. Các lối tắt trực tiếp spoke-tới-spoke là một yêu cầu chuyển tiếp với trạng thái NHRP và an ninh riêng, và việc thêm chúng để số lượng hàng xóm trông đẹp hơn thường tạo ra vấn đề thứ hai.

Ghi lại thiết kế theo giai đoạn, ánh xạ multicast và chính sách EIGRP ở một chỗ. Kỹ sư tiếp theo sẽ cần thiết kế, không cần bản ghi.