OSPF hay EIGRP trên VTI của ASA: bản phát hành của bạn hỗ trợ cái nào
OSPFv2 và EIGRP chỉ chạy trên VTI của ASA từ 9.19(1), và chỉ khi bật multicast. So sánh hai giao thức trên bản phát hành bạn đang chạy, rồi xác minh các láng giềng.
Phần lớn các tranh luận OSPF so với EIGRP giả định đường hầm đã có thể mang giao thức, và trên một ASA chính giả định đó là phần đáng kiểm tra trước tiên. Việc so sánh chỉ trở nên thú vị sau khi đã xác nhận image, loại VTI và đường multicast. Sai thứ tự đó, bạn sẽ mất một buổi chiều chỉnh timer trên một đường hầm sẽ không bao giờ hình thành quan hệ láng giềng. Tôi bắt đầu mỗi thiết kế như vậy bằng ghi chú phát hành và cấu hình đang chạy, không phải bằng sở thích giao thức.
Bản phát hành quyết định trước giao thức
Hướng dẫn VTI của Cisco cho ASA 9.24 là một nền tài liệu dùng được: nó mô tả VTI tĩnh và động, đồng thời liệt kê định tuyến tĩnh, BGP, OSPF và EIGRP. Lịch sử tính năng của nó đặt hỗ trợ OSPFv2 và EIGRP trên VTI ở mốc 9.19(1). Bất cứ thứ gì cũ hơn đều là câu chuyện khác.
Vậy hai câu hỏi đầu tiên thật nhàm chán và mang tính quyết định:
| Check | What decides it |
|---|---|
| Image and release | Whether the feature history lists OSPFv2 or EIGRP on VTI for the version you run |
| VTI type | Static or dynamic, and which routing context the platform permits |
| Multicast on the tunnel | Whether it is enabled, and whether the group limits are respected |
Khẳng định rằng ASA không thể dùng VTI, hoặc không thể mang IGP, từng đúng với một số image cũ và không phải ma trận hỗ trợ hiện tại. Tương tự, hướng dẫn 9.24 không phải chỉ thị nâng cấp mọi thiết bị. Nó cho biết bản phát hành đó hỗ trợ gì, và bản phát hành đang triển khai của bạn phải tự trả lời.
Unicast đi qua không có nghĩa là IGP sẽ hình thành
Cùng hướng dẫn đó lưu ý rằng unicast đi qua theo mặc định và multicast phải được bật cho OSPFv2 hoặc EIGRP trên VTI, với giới hạn được ghi rõ cho các nhóm multicast. Chính một câu đó giải thích phần lớn các quan hệ láng giềng thất bại mà tôi từng thấy trong thiết kế này. Một ping chạy được qua đường hầm, hay trạng thái IPsec xanh, chỉ chứng minh đường unicast. Việc phát hiện giao thức cần đường multicast, và hai thứ được cấu hình riêng.
Kiểm tra cấu hình giao diện đường hầm cho thiết lập multicast đó trước khi chạm vào timer hello hoặc hold. Nếu thiết lập không có, quan hệ láng giềng không phải chậm mà là bất khả thi.
OSPF và EIGRP cạnh nhau trên cùng một đường hầm
Trên bản thân đường hầm, hai giao thức trông giống như ở mọi nơi khác. OSPF cần một loại mạng tương ứng, vùng, xác thực và tham số láng giềng; EIGRP cần số AS của nó và các thiết lập cấp giao diện đi kèm.
Cái bẫy là sao chép câu lệnh láng giềng từ một mô hình đường hầm khác. Lời khuyên về láng giềng tĩnh trong thiết kế không có VTI tồn tại để tránh multicast, và nó không chuyển sang một VTI được kỳ vọng mang giao thức một cách tự nhiên. Cấu hình hành vi giao diện được hỗ trợ, rồi để giao thức tự hình thành quan hệ láng giềng.
Sau đó so sánh trên những trục thực sự khác nhau với topo của bạn: khả năng tương tác với phía bên kia, hành vi hội tụ bạn có thể kiểm thử, và kiến thức vận hành trong nhóm của bạn. Một giai thoại lịch sử rằng giao thức này nhanh hơn hay nhẹ hơn không phải là phép đo mạng của bạn.
Láng giềng không bằng tuyến đã cài đặt
Khi quan hệ láng giềng đã lên, hãy tách cái được khởi tạo khỏi cái được chấp nhận. Xem mỗi bên quảng bá tiền tố chi nhánh nào, cái nào được nhận, cái nào được chọn và cái nào thực sự vào bảng định tuyến. Phạm vi nhập, xuất và phân phối lại nên có chủ đích chứ không phải quảng bá tràn lan mọi thứ thiết bị biết.
show ospf neighbor và show eigrp neighbors cho bạn biết phiên còn sống. show route cho bạn biết tiền tố chi nhánh đã đến hay chưa, và đó là những câu hỏi khác nhau.
Đường của ứng dụng lại là câu hỏi thứ ba. Quan hệ láng giềng phân phối khả năng tiếp cận; nó không cấp quyền qua tường lửa và không chứng minh rằng bộ chọn lưu lượng và quy tắc lọc khớp nhau. Xác minh luồng được phép và đường phản hồi của nó bằng một bài kiểm thử đã được phê duyệt thay vì giả định tuyến hàm ý chính sách.
Bản so sánh hoàn chỉnh nên ghi lại gì
Ghi lại giao diện đường hầm, bản phát hành hỗ trợ nó, trao đổi điều khiển bạn đã xác minh và chính sách tuyến bạn đã giới hạn. Thêm thiết lập multicast, vì đó là chi tiết âm thầm quyết định phần còn lại có hoạt động hay không. Giữ bản ghi đó bên cạnh bản phát hành đang triển khai để một thay đổi tính năng sau này có thể được xem xét mà không phải bắt đầu lại từ một giả định đã hết hiệu lực.
Nếu thiếu bất kỳ điều nào trong bốn điều đó, bạn có một sở thích chứ không phải một thiết kế. Sửa sự thật còn thiếu trước; chọn giao thức là phần dễ.