Watter VRF bereik die VPN-eweknie en watter een dra die pakkie?

Elke tonnel binne ’n kliënt se roeteringskonteks moet steeds sy afgeleë eweknie bereik, en daardie opsoektog kan in ’n heeltemal ander tabel gebeur. Om dit verkeerd te kry, lewer een van die mees verwarrende foute in VRF-bewuste IPsec op: die tonnel kom op, die roetes lyk teenwoordig, en verkeer sterf omdat een van die twee opsoektogte die verkeerde konteks gebruik het. Voer die vier stappe hieronder in volgorde uit en hou die twee bestemmings afsonderlik neergeskryf.

Twee opsoektogte, een tonnel

Die buitenste ingekapselde pakkie is aan die eweknie se vervoeradres gerig, en dit word geroteer voordat enige beskerming bestaan. Die binneste pakkie is aan ’n kliëntbediener gerig en word ná dekapsulering geroteer, binne die kliënt se konteks. Dit is twee bestemmings, twee opsoektogte en dikwels twee verskillende tabelle.

Cisco se dokumentasie vir VRF-bewuste IPsec noem hulle die voorkant-VRF en die binne-VRF. Die voorkant dra die geënkripteerde vervoer, en die binnekonteks dra die beskermde verkeer. Niks aan die vernoeming van ’n tonnel na ’n kliënt laat enigeen van die twee roetes verskyn nie.

Lys dus vier feite voordat jy ’n konfigurasie verander: die eweknie se vervoeradres en die konteks wat dit bereik, dan die bediener se voorvoegsel en die konteks wat dit bereik. As jy nie al vier kan invul nie, is jy op die punt om te raai. Om in hierdie gebied te raai is duur, want ’n roete wat in die verkeerde tabel bygevoeg word, kan een vloei laat werk terwyl dit ’n ander stilweg breek. Die vier feite neem tien minute om te versamel en spaar ’n dag se opname-analise.

Bevestig die vervoeropsoektog vir die eweknie

Begin by die voorkant, want ’n tonnel wat nie sy eweknie kan bereik nie, sal nooit ’n enkele beskermde pakkie deurlaat nie. Op IOS vra vir die roete na die eweknie binne die vervoer-VRF eerder as in die globale tabel.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Die eerste opdrag beantwoord of die eweknie-adres in daardie konteks bereikbaar is, die tweede lys die VRFs wat werklik bestaan, en die derde wys of ’n sekuriteitsassosiasie gevorm het. ’n Eweknie-adres wat net in die globale tabel opgelos word, is die klassieke voorkantfout, en dit wys as ’n IKE-onderhandeling wat nooit begin nie.

Kontroleer ook die koppelvlaktoewysing. Die gedokumenteerde gedrag vereis dat die tonnel se voorkant-VRF en die WAN-koppelvlak se VRF ooreenstem; ’n wanverhouding kan ’n pakkie laat uitgaan en steeds verhoed dat die antwoord in die regte konteks verwerk word.

Bevestig die binne-opsoektog vir die bediener

Met die voorkant bewys, skakel na die kliëntkonteks en vra dieselfde vraag oor die bediener se voorvoegsel. Hierdie opsoektog bepaal of ’n gedekapsuleerde pakkie verder gestuur kan word.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Die eerste opdrag wys die binneroete, en die tweede wys die sessietoestand saam met die kontekste wat die platform daarmee geassosieer het. As die roete bestaan maar die sessiedetail noem die verkeerde binnekonteks, stuur die tonnel in ’n tabel in wat nie die kliënt se voorvoegsel ken nie.

’n Roete in die globale tabel is nie bewys vir enigeen van die twee opsoektogte nie. Globale roetes word gebruik wanneer ’n pakkie nie met ’n VRF geassosieer is nie, en ’n tonnelkoppelvlak wat aan ’n kliëntkonteks toegewys is, verander daardie assosiasie. As die binneroute ontbreek, word die pakkie gedekapsuleer en dan laat val weens ’n gebrek aan ’n aanstuurinskrywing, wat soos pakkieverlies lyk eerder as ’n roeteringsfout.

Plaas die instelling waar die model dit verwag

Dieselfde dokumentasie onderskei konfigurasie-modelle, en ’n instelling wat aan een behoort, behoort nie noodwendig aan ’n ander nie. Vir tonnelkoppelvlakke wat tonnelbeskerming gebruik, word die binne-VRF op die tonnelkoppelvlak gedefinieer. Vir ontwerpe wat op crypto map gebaseer is, is die binne-VRF deel van die crypto map-inskrywing. Om ’n soortgelyk benoemde opdrag tussen modelle te skuif sonder om sy rol na te gaan, is hoe ’n werkende ontwerp ’n wisselvallige een word.

Roetering en identiteit is aparte kwessies. Bereikbaarheid vervang nooit ’n eweknieprofiel wat die toestel sal aanvaar nie, en ’n VRF-hernoeming mag nie die geloofsbriewe wat aangebied word, verander nie. Kontroleer albei ná enige verandering, want ’n tonnel wat met die verkeerde profiel onderhandel, kan steeds ’n assosiasie vorm en niks aanstuur nie.

Laastens, teken die vier feite en die opdragte wat hulle bewys het in die veranderingsrekord aan. Die volgende ingenieur sal die tonnel erf en nie die redenasie nie, en ’n kort nota wat albei kontekste noem, is meer werd as ’n diagram wat niemand bywerk nie.