DMVPN phân cấp: một đám mây cho mỗi quan hệ đường hầm

Một nút chi nhánh đăng ký thành công với trung tâm khu vực của nó và vẫn không thể truy cập dịch vụ ở khu vực khác. Đường hầm đang hoạt động, trạng thái NHS trông khỏe mạnh, và lỗi chỉ xuất hiện với các đích vượt qua ranh giới tầng. Mô hình đó thường có nghĩa là thiết kế chưa bao giờ nêu rõ thiết bị nào tham gia vào đám mây DMVPN nào, nên các tầng được xây theo trực giác và giờ không còn khớp nhau.

Triệu chứng xuất hiện ở ranh giới các tầng

Trong thiết kế phân cấp, một trung tâm trung ương, vài trung tâm khu vực và nhiều chi nhánh mỗi bên giữ một vị trí. Một trung tâm khu vực có thể sở hữu nhiều hơn một quan hệ đường hầm, và các chi nhánh không cần đăng ký với mọi điểm cuối trung ương. Những đường đi quan trọng là từ chi nhánh đến dịch vụ khu vực, từ chi nhánh đến một nút khu vực đã được phê duyệt khác, và từ chi nhánh đến một đích trung ương.

Khi một trong những đường đó thất bại trong khi các đường khác hoạt động, vấn đề gần như luôn là định nghĩa vai trò thiếu hoặc mâu thuẫn chứ không phải đường hầm hỏng. Hãy ghi lại các đường dự định và so sánh với những gì thiết bị thực sự đã xây. Việc so sánh đó mất một giờ và ngăn một tuần phỏng đoán. Hãy giữ nó cùng tài liệu thiết kế.

Một đám mây, một hợp đồng giao diện

Với mỗi đám mây, ghi lại giao diện đường hầm, cách đánh địa chỉ lớp trên, nguồn mạng nền cục bộ, các quan hệ NHS và NBMA, việc phân phối multicast và chính sách bảo vệ. Cũng nêu rõ những tuyến nào đi qua giữa ngữ cảnh khu vực và trung ương, vì chính câu đó là thiết kế.

Một trung tâm khu vực có hai giao diện đường hầm cần hai hợp đồng, không phải một hợp đồng có hai địa chỉ. Nguồn mạng nền, miền NHRP và các tuyến có thể khác nhau theo giao diện, và một tài liệu hợp nhất chúng sẽ đánh lừa người cấu hình cái thứ hai.

ID là ngữ cảnh cục bộ, không phải kiểm soát truy cập

ID mạng NHRP và khóa GRE là hai giá trị thường bị nhầm nhất với cài đặt toàn cục. Hướng dẫn NHRP của IOS XE mô tả ID mạng là có ý nghĩa cục bộ, vì vậy các số khớp nhau trên router từ xa không xác thực được gì và việc thay đổi số cục bộ của một router không tạo ra ranh giới truy cập.

Khóa GRE, khi thiết kế dùng một khóa, giúp nhận diện ngữ cảnh của đường hầm nhận, và nó được thỏa thuận giữa các điểm cuối chia sẻ ngữ cảnh đó. Nó không phải mật khẩu và không thay thế xác thực IKE hay chính sách định tuyến. Hãy coi cả hai giá trị là ngữ cảnh cấu hình phải khớp trong một quan hệ, không phải biện pháp kiểm soát bảo mật phân tách các khu vực.

Định tuyến có chủ đích giữa các tầng

Quyết định những tiền tố nào trung tâm khu vực quảng bá lên trên và những đích trung ương nào nó cung cấp cho các chi nhánh. Sau đó kiểm tra bước nhảy tiếp theo thực tế và hành vi đường tắt đặc thù theo giai đoạn cho từng đường, vì một tuyến tổng hợp và một đường tắt có thể tạo ra chuyển tiếp rất khác so với điều sơ đồ gợi ý.

Dùng định tuyến và chính sách truy cập để thực thi việc phân tách khu vực. Nếu một chi nhánh không được truy cập trực tiếp khu vực khác, tuyến và chính sách phải nói điều đó, thay vì dựa vào một ID chưa bao giờ được thiết kế để thực thi điều đó. Hãy viết chính sách bên cạnh ID. Nếu không, kỹ sư tiếp theo sẽ cho rằng con số làm việc đó.

Chẩn đoán đường tắt bất ngờ

Khi một chi nhánh cố tạo quan hệ trực tiếp với một điểm cuối trung ương, hãy kiểm tra tuyến, ánh xạ NHRP và ngữ cảnh đường hầm đã chọn trước khi thay đổi ID một cách ngẫu nhiên. Không thể tiếp cận, một quan hệ NHS ngoài ý muốn và một đường tắt hợp pháp nhưng không được phép đòi hỏi ba cách sửa khác nhau.

Hướng dẫn cấu hình DMVPN hiển thị cài đặt đường hầm và NHRP cùng nhau, và chính vì thế phải tách phạm vi trên giấy trước. Ghi lại các hợp đồng đám mây, giữ các tuyến của tầng rõ ràng, và lỗi ranh giới tiếp theo sẽ có chỗ để chỉ vào.