Hansı VRF VPN həmyaşıdına çatır və hansı paketi daşıyır?

Müştəri marşrutlaşdırma kontekstinin içindəki hər tunel yenə də uzaq həmyaşıdına çatmalıdır və bu axtarış tamamilə başqa cədvəldə baş verə bilər. Bunu səhv etmək VRF-dən xəbərdar IPsec-də ən qarışıq nasazlıqlardan birini doğurur: tunel qalxır, marşrutlar mövcud görünür və trafik iki axtarışdan biri səhv kontekstdən istifadə etdiyi üçün ölür. Aşağıdakı dörd addımı ardıcıllıqla yerinə yetirin və iki təyinatı ayrıca yazılı saxlayın.

İki axtarış, bir tunel

Xarici kapsullənmiş paket həmyaşıdın nəqliyyat ünvanına ünvanlanır və hər hansı qoruma mövcud olmadan əvvəl marşrutlaşdırılır. Daxili paket müştəri serverinə ünvanlanır və dekapsulyasiyadan sonra, müştəri kontekstinin içində marşrutlaşdırılır. Bunlar iki təyinat, iki axtarış və çox vaxt iki fərqli cədvəldir.

Cisco-nun VRF-dən xəbərdar IPsec sənədləri onları ön qapı VRF və daxili VRF adlandırır. Ön qapı şifrələnmiş nəqliyyatı, daxili kontekst isə qorunan trafiki daşıyır. Tuneli müştərinin adı ilə adlandırmaq iki marşrutdan heç birini görünən etmir.

Buna görə konfiqurasiyanı dəyişməzdən əvvəl dörd faktı sadalayın: həmyaşıdın nəqliyyat ünvanı və ona çatan kontekst, sonra server prefiksi və ona çatan kontekst. Dördünü də doldura bilmirsinizsə, təxmin etmək üzrəsiz. Bu sahədə təxmin baha başa gəlir, çünki səhv cədvələ əlavə edilən marşrut bir axını işlədib digərini səssizcə poza bilər. Dörd faktı toplamaq on dəqiqə çəkir və bir günlük tutma analizinə qənaət edir.

Həmyaşıd üçün nəqliyyat axtarışını təsdiqləyin

Ön qapıdan başlayın, çünki həmyaşıdına çata bilməyən tunel heç vaxt bir dənə də qorunan paket keçirməyəcək. IOS-da həmyaşıda gedən marşrutu qlobal cədvəldə deyil, nəqliyyat VRF-inin içində soruşun.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Birinci əmr həmyaşıd ünvanının o kontekstdə əlçatan olub-olmadığını cavablandırır, ikinci həqiqətən mövcud olan VRF-ləri sadalayır, üçüncü isə təhlükəsizlik assosiasiyasının yaranıb-yaranmadığını göstərir. Yalnız qlobal cədvəldə həll olunan həmyaşıd ünvanı klassik ön qapı səhvidir və heç vaxt başlamayan IKE danışıqları kimi görünür.

İnterfeys təyinatını da yoxlayın. Sənədləşdirilmiş davranış tunelin ön qapı VRF-i ilə WAN interfeysinin VRF-inin uyğun olmasını tələb edir; uyğunsuzluq paketin çıxmasına imkan verib cavabın düzgün kontekstdə emal edilməsinin qarşısını ala bilər.

Server üçün daxili axtarışı təsdiqləyin

Ön qapı sübut olunduqdan sonra müştəri kontekstinə keçin və server prefiksi barədə eyni sualı verin. Bu axtarış dekapsulyasiya edilmiş paketin irəli ötürülə bilib-bilmədiyini müəyyən edir.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Birinci əmr daxili marşrutu, ikinci isə sessiya vəziyyətini platformanın onunla əlaqələndirdiyi kontekstlərlə birlikdə göstərir. Marşrut varsa, lakin sessiya təfərrüatı səhv daxili konteksti göstərirsə, tunel müştəri prefiksini bilməyən cədvələ yönləndirir.

Qlobal cədvəldəki marşrut iki axtarışdan heç biri üçün sübut deyil. Qlobal marşrutlar paket VRF ilə əlaqələndirilmədikdə istifadə olunur və müştəri kontekstinə təyin edilmiş tunel interfeysi bu əlaqəni dəyişir. Daxili marşrut yoxdursa, paket dekapsulyasiya edilir və sonra irəli ötürmə qeydi olmadığı üçün atılır, bu da marşrut səhvi kimi deyil, paket itkisi kimi görünür.

Parametri modelin gözlədiyi yerə qoyun

Eyni sənədlər konfiqurasiya modellərini fərqləndirir və birinə aid olan parametr mütləq digərinə aid deyil. Tunel qoruması istifadə edən tunel interfeysləri üçün daxili VRF tunel interfeysində müəyyən edilir. crypto map əsaslı dizaynlarda daxili VRF crypto map girişinin bir hissəsidir. Bənzər adlı əmri rolunu yoxlamadan modellər arasında köçürmək işlək dizaynı arabir işləyənə çevirməyin yoludur.

Marşrutlaşdırma və kimlik ayrı məsələlərdir. Əlçatanlıq heç vaxt cihazın qəbul edəcəyi həmyaşıd profilini əvəz etmir və VRF-in adının dəyişdirilməsi təqdim edilən etimad məlumatlarını dəyişməməlidir. Hər dəyişiklikdən sonra ikisini də yoxlayın, çünki səhv profillə danışıq aparan tunel yenə də assosiasiya yaradıb heç nə ötürməyə bilər.

Nəhayət, dörd faktı və onları sübut edən əmrləri dəyişiklik qeydinə yazın. Növbəti mühəndis tuneli miras alacaq, əsaslandırmanı yox, və hər iki kontekstin adını çəkən qısa qeyd heç kimin yeniləmədiyi diaqramdan daha dəyərlidir.