IKEv2 profili təyin edilib, amma qoşulmayıb: zənciri izləyin

IKEv2 profili yadda saxlanılmış konfiqurasiyadadır, açar halqası da oradadır, lakin tunel yenə qalxmır. Cisco IOS XE-də profil identifikasiya uyğunlaşdırmasını və autentifikasiya seçimlərini daşıyan obyektdir və başqa bir obyekt ona istinad etməyincə, interfeys də onu yola bağlamayınca heç nə etmir. Uğursuz 1-ci faza sazlama sessiyalarının çoxu bu istinadlardan birini atlayır. Hər hansı təklif və ya siyasəti dəyişməzdən əvvəl zənciri açar halqasından bayıra doğru oxuyun.

Profil obyekti əslində nədir

IKEv2 profili uzaq identifikasiya uyğunlaşdırmasını, yerli və uzaq autentifikasiya üsullarını və əvvəlcədən paylaşılan açarlı dizaynlar üçün açar halqasına istinadı saxlayır. O, həmkarın necə tanındığını və özünü necə sübut etdiyini təsvir edir və heç bir interfeys adı çəkmir.

Açar halqası əvvəlcədən paylaşılan açarları saxlayan ayrı obyektdir. Kripto xəritəsi və ya IPsec profili IKEv2 profilini istinad edən və qoruma parametrlərini verən üçüncü obyektdir. İnterfeys qoşulması dördüncü addımdır: burada kripto xəritəsi tətbiq olunur və ya tunel qoruması aktivləşdirilir. Hər keçid ayrı istinaddır və çatışmayan keçid bütün obyektləri təcriddə düzgün göstərir.

İstinad zəncirini sıra ilə izləyin

Profilin adlandırdığı açar halqasından başlayın, sonra kripto xəritəsinin və ya IPsec profilinin istinad etdiyi profil adını təsdiqləyin, sonra həmin son obyekti istifadə edən interfeysi tapın. Hər adı onu istifadə edən obyektin yanına yazın; bu qısa siyahı hər gözlənilən blokun konfiqurasiyada hansısa yerdə olmasını yoxlamaqdan daha faydalıdır.

Adi qırılmalar mexanikidir. Profil adı kripto xəritəsinin istinad etdiyi addan bir simvolla fərqlənir. Kripto xəritəsi mövcuddur, amma interfeysə heç vaxt tətbiq olunmayıb. Tunel qoruması əmri fərqli IKEv2 profilinə istinad edən IPsec profilini göstərir. Açıq qoşulması olmayan cavabdeh sənədləşdirilmiş haldır, lakin qoşulması olmayan təşəbbüskar sadəcə yol üçün konfiqurasiya olunmayıb.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Parçanı şablon kimi deyil, zəncir kimi oxuyun. İnterfeys IPsec profilini adlandırır, IPsec profili IKEv2 profilini adlandırır, IKEv2 profili isə açar halqasını adlandırır. Bu adlardan hər hansı birini qırın, konfiqurasiya yenə də təhlil olunur; marşrutlaşdırıcı buna görə onu qəbul edir və tunel aşağı qalır.

Kripto xəritəsi və tunel qoruması alternativdir

Cisco iki qoşulma quruluşunu sənədləşdirir. Kripto xəritəsi interfeysə tətbiq oluna və set əmri ilə IKEv2 profilinə istinad edə bilər. Tunel qoruması IPsec profilini tunel interfeysinə bağlayır. Hər ikisi etibarlıdır və onlar ikiqat ehtiyat tədbiri kimi birlikdə quraşdırılmaq üçün nəzərdə tutulmayıb.

Tunelin mənbəyi və təyinatı xarici çatdırılma quruluşunu müəyyən edir və onlar qoruma qoşulmasından ayrıdır. LAN interfeysi, tunel interfeysi və xarici mənbə interfeysi üç fərqli rol oynayır. LAN interfeysindəki kripto xəritəsi tuneli qorumur və qoruması aktiv, lakin əlçatan mənbə ünvanı olmayan tunel həmkarına heç vaxt paket göndərmir.

Yüklənmiş vəziyyəti yoxlayın, təkcə mətni deyil. Quraşdırılmış buraxılışda konfiqurasiya olunmuş obyektləri danışılmış sessiyaya bağlayan əmrlər var və biletdə məhz onları sitat gətirmək lazımdır. Yadda saxlanılmış konfiqurasiya niyyəti sübut edir; sessiya cədvəli yolu sübut edir.

Cavabdeh istisnası təşəbbüskarlar üçün qayda deyil

IOS XE təlimatı qeyd edir ki, açıq IKEv2 profil qoşulması cavabdehdə istəyə bağlı ola bilər. Bu istisna autentifikasiya və ya identifikasiya yoxlamalarını aradan qaldırmır və profili əlaqəni başladan tərəfdə istəyə bağlı etmir.

Marşrutlaşdırıcınız təşəbbüs edirsə, qoşulmanı məcburi sayın və onu başdan sona izləyin. Marşrutlaşdırıcınız yalnız cavab verirsə, gələn həmkarı hansı profilin həqiqətən uyğunlaşdırdığını təsdiqləyin, çünki cavabdeh profili interfeys istinadı ilə deyil, identifikasiya ilə seçə bilər.

Yolu yoxlayın, yadda saxlanılmış konfiqurasiyanı deyil

Qoşulmalar uyğunlaşdıqdan sonra icazə verilən bir tətbiqi sınaqdan keçirin və onun daxili mənbəyini, təyinatını və marşrutunu qeyd edin. Marşrutlaşdırıcının yaratdığı sorğu LAN-dan yönləndirilən trafikdən fərqli mənbə ünvanı istifadə edə bilər və qoruma əhatəsi onlardan yalnız birini əhatə edə bilər.

Düzgün qoşulmuş tərif seçicilərin, qayıdış marşrutunun və interfeys siyasətinin axınınızı əhatə etdiyini sübut etmir. Real trafik göndərin və danışılmış vəziyyəti oxuyun, sonra yenidən qoşulmadan sonra təkrarlayın ki, zəncirin yeni danışığa davam etdiyini biləsiniz. İzahı IOS XE IKEv2 ilə məhdudlaşdırın; tarixi IKEv1 kripto xəritəsi yerləşdirməsinin fərqli obyekt modeli var və bu zəncirlə sazlanmamalıdır.

Tunel işlədikdə dörd adı dəyişiklik qeydinə yazın. Kripto xəritəsinə sonra toxunacaq şəxs onlara ehtiyac duyacaq və zəncir dizaynın işləyən konfiqurasiyanın izah etmədiyi hissəsidir.