Профіль IKEv2 вызначаны, але не далучаны: прасачыце ланцуг

Захаваны профіль IKEv2 — гэта аб'ект, а не шлях. Прасачыце кольца ключоў, профіль, крыптакарту або профіль IPsec і далучэнне да інтэрфейса, перш чым адладжваць фазу 2.

Профіль IKEv2 ёсць у захаванай канфігурацыі, кольца ключоў таксама на месцы, а тунель усё роўна не ўздымаецца. У Cisco IOS XE профіль — гэта аб'ект, які нясе супастаўленне ідэнтычнасці і выбар аўтэнтыфікацыі, і аб'ект нічога не робіць, пакуль іншы аб'ект не спашлецца на яго, а інтэрфейс не далучыць гэты аб'ект да шляху. Большасць няўдалых сеансаў адладкі фазы 1 прапускаюць адно з гэтых спасылак. Чытайце ланцуг ад кольца ключоў вонкі, перш чым змяняць любую прапанову або палітыку.

Што такое аб'ект профілю насамрэч

Профіль IKEv2 захоўвае супастаўленне аддаленай ідэнтычнасці, лакальныя і аддаленыя метады аўтэнтыфікацыі і спасылку на кольца ключоў для схемаў з папярэдне агульнымі ключамі. Ён апісвае, як распазнаецца партнёр і як ён даказвае сябе, і не называе ніводнага інтэрфейса.

Кольца ключоў — асобны аб'ект, які захоўвае папярэдне агульныя ключы. Крыптакарта або профіль IPsec — трэці аб'ект, які спасылаецца на профіль IKEv2 і дае налады аховы. Далучэнне да інтэрфейса — чацвёрты крок, дзе ўжываецца крыптакарта або ўключаецца ахова тунеля. Кожны пераход — асобная спасылка, і прапушчаны пераход пакідае ўсе аб'екты выглядаць правільнымі паасобку.

Ідзіце па ланцугу спасылак па парадку

Пачніце з кольца ключоў, якое называе профіль, затым пацвердзіце імя профілю, на які спасылаецца крыптакарта або профіль IPsec, і знайдзіце інтэрфейс, які спажывае гэты апошні аб'ект. Запішыце кожнае імя побач з аб'ектам, які яго спажывае; гэты кароткі спіс карыснейшы за праверку таго, што кожны чаканы блок існуе дзесьці ў канфігурацыі.

Звычайныя разрывы механічныя. Імя профілю адрозніваецца на адзін сімвал ад таго, на які спасылаецца крыптакарта. Крыптакарта існуе, але ніколі не была ўжыта да інтэрфейса. Каманда аховы тунеля паказвае на профіль IPsec, які спасылаецца на іншы профіль IKEv2. Адказчык без яўнага далучэння — дакументаваны выпадак, але ініцыятар без далучэння проста не настроены на шлях.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Чытайце фрагмент як ланцуг, а не як шаблон. Інтэрфейс называе профіль IPsec, профіль IPsec называе профіль IKEv2, а профіль IKEv2 называе кольца ключоў. Парушце любое з гэтых імёнаў, і канфігурацыя ўсё яшчэ разбіраецца, таму маршрутызатар яе прымае, а тунель застаецца непрацоўным.

Крыптакарта і ахова тунеля — альтэрнатывы

Cisco апісвае два варыянты далучэння. Крыптакарту можна ўжыць да інтэрфейса, і яна можа спасылацца на профіль IKEv2 праз сваю каманду set. Ахова тунеля далучае профіль IPsec да інтэрфейса тунеля. Абодва варыянты слушныя, і іх не варта ставіць разам як падвойную перасцярогу.

Крыніца і прызначэнне тунеля вызначаюць знешнюю схему дастаўкі, і яны асобныя ад далучэння аховы. Інтэрфейс LAN, інтэрфейс тунеля і знешні інтэрфейс крыніцы выконваюць тры розныя ролі. Крыптакарта на інтэрфейсе LAN не ахоўвае тунель, а тунель з уключанай аховай без дасяжнага адраса крыніцы ніколі не адпраўляе пакет партнёру.

Правярайце загружаны стан, а не толькі тэкст. У усталяваным выпуску ёсць каманды, якія звязваюць настроеныя аб'екты з узгодненым сеансам, і менавіта іх варта цытаваць у заяўцы. Захаваная канфігурацыя даказвае намер; табліца сеансаў даказвае шлях.

Выключэнне для адказчыка не правіла для ініцыятараў

Кіраўніцтва IOS XE адзначае, што яўнае далучэнне профілю IKEv2 можа быць неабавязковым для адказчыка. Гэтае выключэнне не здымае праверкі аўтэнтыфікацыі ці ідэнтычнасці і не робіць профіль неабавязковым на баку, які пачынае злучэнне.

Калі ваш маршрутызатар ініцыюе, лічыце далучэнне абавязковым і прасачыце яго ад пачатку да канца. Калі ваш маршрутызатар толькі адказвае, пацвердзіце, які профіль сапраўды супаў з уваходным партнёрам, бо адказчык можа выбраць профіль па ідэнтычнасці, а не па спасылцы на інтэрфейс.

Правярайце шлях, а не захаваную канфігурацыю

Пасля таго як далучэнні супадуць, праверце адну дазволеную праграму і запішыце яе ўнутраную крыніцу, прызначэнне і маршрут. Запыт, створаны маршрутызатарам, можа выкарыстоўваць іншы адрас крыніцы, чым трафік, перанакіраваны з LAN, і абсяг аховы можа пакрываць толькі адзін з іх.

Правільна далучанае азначэнне не даказвае, што селектары, зваротны маршрут і палітыка інтэрфейса пакрываюць ваш паток. Адпраўце рэальны трафік і прачытайце ўзгоднены стан, затым паўтарыце пасля перападключэння, каб ведаць, што ланцуг перажывае новае ўзгадненне. Трымайце тлумачэнне ў межах IOS XE IKEv2; гістарычнае разгортванне крыптакарты IKEv1 мае іншую мадэль аб'ектаў і не павінна адладжвацца гэтым ланцугом.

Запішыце чатыры імёны ў журнал змен, калі тунель працуе. Наступнаму чалавеку, які дакранецца да крыптакарты, яны спатрэбяцца, і ланцуг — гэта тая частка дызайну, якую працоўная канфігурацыя не тлумачыць.

Падобныя артыкулы