Які VRF дасягае партнёра VPN, а які пераносіць пакет?

Кожны тунэль унутры кантэксту маршрутызацыі кліента ўсё роўна павінен дасягнуць свайго аддаленага партнёра, і гэты пошук можа адбывацца ў цалкам іншай табліцы. Памылка тут дае адзін з самых заблытаных збояў у IPsec з улікам VRF: тунэль уздымаецца, маршруты выглядаюць наяўнымі, а трафік памірае, бо адзін з двух пошукаў выкарыстаў няправільны кантэкст. Выканайце чатыры крокі ніжэй па парадку і запішыце два пункты прызначэння асобна.

Два пошукі, адзін тунэль

Знешні інкапсуляваны пакет адрасаваны транспартнаму адрасу партнёра і маршрутызуецца да таго, як існуе любая абарона. Унутраны пакет адрасаваны серверу кліента і маршрутызуецца пасля дэкапсуляцыі, унутры кантэксту кліента. Гэта два пункты прызначэння, два пошукі і часта дзве розныя табліцы.

Дакументацыя Cisco для IPsec з улікам VRF называе іх VRF пярэдніх дзвярэй і ўнутраны VRF. Пярэднія дзверы нясуць шыфраваны транспарт, а ўнутраны кантэкст нясе абаронены трафік. Нішто ў назве тунэля па імені кліента не прымушае ні адзін з маршрутаў з'явіцца.

Таму перад зменай канфігурацыі пералічыце чатыры факты: транспартны адрас партнёра і кантэкст, які да яго дасягае, затым прэфікс сервера і кантэкст, які дасягае яго. Калі вы не можаце запоўніць усе чатыры, вы збіраецеся ўгадваць. Угадванне ў гэтай галіне дорага каштуе, бо маршрут, дададзены ў няправільную табліцу, можа прымусіць адзін паток працаваць, ціха ламаючы іншы. Збор чатырох фактаў займае дзесяць хвілін і эканоміць дзень аналізу захопу.

Пацвердзіце транспартны пошук для партнёра

Пачніце з пярэдніх дзвярэй, бо тунэль, які не можа дасягнуць партнёра, ніколі не прапусціць ніводнага абароненага пакета. На IOS запытайце маршрут да партнёра ўнутры транспартнага VRF, а не ў глабальнай табліцы.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Першая каманда адказвае, ці дасягальны адрас партнёра ў гэтым кантэксце, другая пералічвае VRF, якія рэальна існуюць, а трэцяя паказвае, ці ўтварылася асацыяцыя бяспекі. Адрас партнёра, які вырашаецца толькі ў глабальнай табліцы, класічная памылка пярэдніх дзвярэй, і яна выглядае як перамовы IKE, якія ніколі не пачынаюцца.

Праверце таксама прызначэнне інтэрфейса. Апісаныя паводзіны патрабуюць, каб VRF пярэдніх дзвярэй тунэля і VRF інтэрфейса WAN супадалі; неадпаведнасць можа дазволіць пакету выйсці і ўсё ж перашкодзіць апрацоўцы адказу ў правільным кантэксце.

Пацвердзіце ўнутраны пошук для сервера

Калі пярэднія дзверы даказаны, пераключыцеся на кантэкст кліента і задайце тое ж пытанне пра прэфікс сервера. Гэты пошук вырашае, ці можа дэкапсуляваны пакет быць перасланы далей.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Першая каманда паказвае ўнутраны маршрут, а другая стан сеансу разам з кантэкстамі, якія платформа з ім звязала. Калі маршрут існуе, але дэталі сеансу называюць няправільны ўнутраны кантэкст, тунэль перасылае ў табліцу, якая не ведае прэфікса кліента.

Маршрут у глабальнай табліцы не з'яўляецца доказам ні для аднаго з двух пошукаў. Глабальныя маршруты выкарыстоўваюцца, калі пакет не звязаны з VRF, а інтэрфейс тунэля, прызначаны кантэксту кліента, змяняе гэтую сувязь. Калі ўнутраны маршрут адсутнічае, пакет дэкапсулюецца і потым адкідваецца з-за адсутнасці запісу перасылкі, што выглядае як страта пакетаў, а не як памылка маршрутызацыі.

Змясціце наладу там, дзе яе чакае мадэль

Тая ж дакументацыя адрознівае мадэлі канфігурацыі, і налада, якая належыць адной, не абавязкова належыць іншай. Для інтэрфейсаў тунэля з абаронай тунэля ўнутраны VRF вызначаецца на інтэрфейсе тунэля. Для рашэнняў на аснове crypto map унутраны VRF з'яўляецца часткай запісу crypto map. Перанясенне падобна названай каманды паміж мадэлямі без праверкі яе ролі гэта шлях, якім працоўная канструкцыя робіцца няўстойлівай.

Маршрутызацыя і ідэнтычнасць асобныя пытанні. Дасягальнасць ніколі не замяняе профіль партнёра, які прыме прылада, і перайменаванне VRF не павінна змяняць прад'яўленыя ўліковыя даныя. Праверце абодва пасля любой змены, бо тунэль, які дамаўляецца з няправільным профілем, можа ўсё ж утварыць асацыяцыю і нічога не перасылаць.

Нарэшце, запішыце чатыры факты і каманды, якія іх даказалі, у запіс зменаў. Наступны інжынер успадкуе тунэль, а не разважанні, і кароткая нататка з назвамі абодвух кантэкстаў каштоўнейшая за дыяграму, якую ніхто не абнаўляе.