أي VRF تصل إلى نظير VPN وأيها تحمل الحزمة؟

كل نفق داخل سياق توجيه خاص بالعميل يجب أن يصل إلى نظيره البعيد، وقد يحدث ذلك البحث في جدول مختلف تمامًا. الخطأ في ذلك ينتج أحد أكثر الأعطال إرباكًا في IPsec المدرك لـ VRF: يرتفع النفق، وتبدو المسارات موجودة، ويموت المرور لأن أحد البحثين استخدم السياق الخاطئ. نفّذ الخطوات الأربع أدناه بالترتيب، واحتفظ بالوجهتين مكتوبتين بشكل منفصل.

بحثان ونفق واحد

الحزمة الخارجية المغلفة موجهة إلى عنوان النقل الخاص بالنظير، ويتم توجيهها قبل وجود أي حماية. الحزمة الداخلية موجهة إلى خادم العميل ويتم توجيهها بعد فك التغليف، داخل سياق العميل. هذان وجهتان وبحثان وغالبًا جدولان مختلفان.

تسمي وثائق Cisco لـ IPsec المدرك لـ VRF هذين VRF الباب الأمامي وVRF الداخلي. يحمل الباب الأمامي النقل المشفر، ويحمل السياق الداخلي المرور المحمي. ولا شيء في تسمية نفق باسم عميل يجعل أيًا من المسارين يظهر.

لذا اسرد أربع حقائق قبل تغيير أي إعداد: عنوان النقل الخاص بالنظير والسياق الذي يصل إليه، ثم بادئة الخادم والسياق الذي يصل إليها. إن لم تستطع ملء الأربع جميعًا فأنت على وشك التخمين. التخمين في هذا المجال مكلف، لأن مسارًا يضاف إلى الجدول الخاطئ قد يجعل أحد التدفقات يعمل بينما يكسر آخر بهدوء. جمع الحقائق الأربع يستغرق عشر دقائق ويوفر يومًا من تحليل الالتقاط.

تأكد من بحث النقل الخاص بالنظير

ابدأ بالباب الأمامي، لأن نفقًا لا يستطيع الوصول إلى نظيره لن يمرر حزمة محمية واحدة أبدًا. على IOS اطلب المسار إلى النظير داخل VRF النقل بدلًا من الجدول العام.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

يجيب الأمر الأول عما إذا كان عنوان النظير قابلًا للوصول في ذلك السياق، ويسرد الثاني شبكات VRF الموجودة فعليًا، ويظهر الثالث ما إذا تم تكوين ارتباط أمني. عنوان نظير يُحل فقط في الجدول العام هو خطأ الباب الأمامي الكلاسيكي، ويظهر على هيئة تفاوض IKE لا يبدأ أبدًا.

تحقق أيضًا من إسناد الواجهة. يتطلب السلوك الموثق أن يتوافق VRF الباب الأمامي للنفق مع VRF واجهة WAN؛ وعدم التطابق قد يسمح بخروج الحزمة ويمنع معالجة الرد في السياق الصحيح.

تأكد من البحث الداخلي الخاص بالخادم

بعد إثبات الباب الأمامي، انتقل إلى سياق العميل واسأل السؤال نفسه عن بادئة الخادم. يحدد هذا البحث ما إذا كانت الحزمة بعد فك التغليف يمكن إعادة توجيهها.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

يعرض الأمر الأول المسار الداخلي، ويعرض الثاني حالة الجلسة إلى جانب السياقات التي ربطتها المنصة بها. إذا كان المسار موجودًا لكن تفاصيل الجلسة تذكر سياقًا داخليًا خاطئًا، فالنفق يعيد التوجيه إلى جدول لا يعرف بادئة العميل.

المسار في الجدول العام ليس دليلًا لأي من البحثين. تُستخدم المسارات العامة عندما لا تكون الحزمة مرتبطة بـ VRF، وواجهة النفق المسندة إلى سياق عميل تغير ذلك الارتباط. وإذا كان المسار الداخلي مفقودًا، تُفك حزمة التغليف ثم تُسقط لعدم وجود مدخل إعادة توجيه، وهو ما يبدو كفقدان حزم لا كخطأ في التوجيه.

ضع الإعداد حيث يتوقعه النموذج

تميز الوثائق نفسها بين نماذج الإعداد، والإعداد الذي ينتمي إلى أحدها لا ينتمي بالضرورة إلى آخر. بالنسبة لواجهات النفق التي تستخدم حماية النفق، يُعرَّف VRF الداخلي على واجهة النفق. أما التصاميم المبنية على crypto map، فيكون VRF الداخلي جزءًا من مدخل crypto map. نقل أمر مشابه الاسم بين النماذج دون التحقق من دوره هو الطريق الذي يحول تصميمًا عاملًا إلى تصميم متقطع.

التوجيه والهوية مسألتان منفصلتان. لا تغني قابلية الوصول أبدًا عن ملف تعريف نظير يقبله الجهاز، ولا يجوز أن يغير إعادة تسمية VRF بيانات الاعتماد المعروضة. تحقق من الاثنين بعد أي تغيير، لأن نفقًا يتفاوض بملف تعريف خاطئ قد يكوّن ارتباطًا ولا يمرر شيئًا.

أخيرًا، سجّل الحقائق الأربع والأوامر التي أثبتتها في سجل التغيير. سيرث المهندس التالي النفق لا الاستدلال، وملاحظة قصيرة تسمي السياقين تساوي أكثر من رسم لا يحدثه أحد.