ملف IKEv2 معرّف لكنه غير مرتبط: تتبّع السلسلة

ملف IKEv2 موجود في الإعدادات المحفوظة، وحلقة المفاتيح موجودة أيضاً، ومع ذلك لا يرتفع النفق. في Cisco IOS XE، الملف كائن يحمل مطابقة الهوية وخيارات المصادقة، والكائن لا يفعل شيئاً حتى يشير إليه كائن آخر ويربطه منفذ بمسار. معظم جلسات تصحيح المرحلة 1 الفاشلة تغفل أحد هذه الإشارات. اقرأ السلسلة من حلقة المفاتيح إلى الخارج قبل أن تغيّر أي مقترح أو سياسة.

ما هو كائن الملف فعلياً

يحمل ملف IKEv2 مطابقة الهوية البعيدة وطرق المصادقة المحلية والبعيدة وإشارة إلى حلقة مفاتيح في التصاميم القائمة على المفاتيح المشتركة مسبقاً. وهو يصف كيف يُعرَف النظير وكيف يثبت نفسه، ولا يذكر أي منفذ.

حلقة المفاتيح كائن منفصل يحمل المفاتيح المشتركة مسبقاً. وخريطة التشفير أو ملف IPsec كائن ثالث يشير إلى ملف IKEv2 ويوفر إعدادات الحماية. وربط المنفذ هو الخطوة الرابعة، حيث تُطبَّق خريطة تشفير أو تُفعَّل حماية النفق. كل خطوة إشارة مستقلة، والخطوة الناقصة تترك كل كائن يبدو سليماً بمعزل عن غيره.

اتبع سلسلة الإشارات بالترتيب

ابدأ من حلقة المفاتيح التي يسميها الملف، ثم تحقق من اسم الملف الذي تشير إليه خريطة التشفير أو ملف IPsec، ثم اعثر على المنفذ الذي يستهلك ذلك الكائن الأخير. اكتب كل اسم بجانب الكائن الذي يستهلكه؛ فهذه القائمة القصيرة أنفع من التحقق من وجود كل مقطع متوقع في مكان ما من الإعدادات.

الانقطاعات المعتادة ميكانيكية. اسم ملف يختلف بحرف واحد عن الاسم الذي تشير إليه خريطة التشفير. خريطة التشفير موجودة لكنها لم تُطبَّق قط على المنفذ. أمر حماية النفق يشير إلى ملف IPsec يشير إلى ملف IKEv2 مختلف. المستجيب بلا ربط صريح حالة موثقة، أما المبادر بلا ربط فهو ببساطة غير مهيأ للمسار.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

اقرأ المقتطف كسلسلة لا كقالب. المنفذ يسمي ملف IPsec، وملف IPsec يسمي ملف IKEv2، وملف IKEv2 يسمي حلقة المفاتيح. اكسر أي اسم من هذه الأسماء ويظل الإعداد قابلاً للتحليل، ولهذا يقبله الموجه ويبقى النفق معطلاً.

خريطة التشفير وحماية النفق بديلان

توثق Cisco ترتيبين للربط. يمكن تطبيق خريطة تشفير على منفذ ويمكنها الإشارة إلى ملف IKEv2 عبر أمر set الخاص بها. وحماية النفق تربط ملف IPsec بمنفذ نفق. كلاهما صالح، وليس المقصود تثبيتهما معاً كإجراء احتياطي مزدوج.

مصدر النفق ووجهته يحددان ترتيب التسليم الخارجي، وهما منفصلان عن ربط الحماية. منفذ LAN ومنفذ النفق ومنفذ المصدر الخارجي تؤدي ثلاثة أدوار مختلفة. خريطة تشفير على منفذ LAN لا تحمي النفق، ونفق بحماية مفعّلة بلا عنوان مصدر يمكن الوصول إليه لا يرسل أي حزمة إلى نظيره.

افحص الحالة المحمّلة، لا النص فقط. الإصدار المثبت فيه أوامر تربط الكائنات المهيأة بالجلسة المتفاوض عليها، وهي التي تُقتبس في تذكرة الدعم. الإعداد المحفوظ يثبت النية؛ وجدول الجلسات يثبت المسار.

استثناء المستجيب ليس قاعدة للمبادرين

يشير دليل IOS XE إلى أن ربط ملف IKEv2 الصريح قد يكون اختيارياً على المستجيب. هذا الاستثناء لا يلغي فحوص المصادقة أو الهوية، ولا يجعل الملف اختيارياً على الجانب الذي يبدأ الاتصال.

إذا كان موجهك يبادر، فاعتبر الربط إلزامياً وتتبعه من طرف إلى طرف. وإذا كان يجيب فقط، فتحقق من الملف الذي طابق فعلاً النظير القادم، لأن المستجيب يستطيع اختيار ملف بالهوية بدلاً من إشارة المنفذ.

افحص المسار، لا الإعدادات المحفوظة

بعد أن تنتظم عمليات الربط، اختبر تطبيقاً واحداً مسموحاً وسجّل مصدره الداخلي ووجهته ومساره. الطلب الذي ينشئه الموجه قد يستخدم عنوان مصدر مختلفاً عن الحركة المعاد توجيهها من LAN، وقد يغطي نطاق الحماية واحداً منهما فقط.

التعريف المربوط بشكل صحيح لا يثبت أن المحددات ومسار العودة وسياسة المنفذ تغطي تدفقك. أرسل حركة حقيقية واقرأ الحالة المتفاوض عليها، ثم أعد ذلك بعد إعادة الاتصال لتعرف أن السلسلة تصمد أمام تفاوض جديد. أبقِ الشرح ضمن IOS XE IKEv2؛ فالنشر التاريخي بخريطة تشفير IKEv1 له نموذج كائنات مختلف ولا ينبغي تصحيحه بهذه السلسلة.

اكتب الأسماء الأربعة في سجل التغيير عندما يعمل النفق. سيحتاجها من يلمس خريطة التشفير بعدك، والسلسلة هي الجزء من التصميم الذي لا يفسره الإعداد الجاري.