Профилът IKEv2 е дефиниран, но не е прикачен: проследете веригата

Запазеният профил IKEv2 е обект, а не път. Проследете ключовия пръстен, профила, криптокартата или IPsec профила и прикачването към интерфейс, преди да отстранявате фаза 2.

Профилът IKEv2 е в запазената конфигурация, ключовият пръстен също е там, а тунелът все още не се вдига. В Cisco IOS XE профилът е обект, който носи съпоставяне на самоличността и избор на удостоверяване, и обектът не прави нищо, докато друг обект не го реферира и интерфейс не го прикачи към път. Повечето неуспешни сесии за отстраняване на фаза 1 пропускат една от тези референции. Прочетете веригата от ключовия пръстен навън, преди да променяте каквото и да е предложение или политика.

Какво всъщност представлява обектът профил

Профилът IKEv2 държи съпоставянето на отдалечената самоличност, локалните и отдалечените методи за удостоверяване и референция към ключов пръстен за схеми с предварително споделен ключ. Той описва как се разпознава партньорът и как той се доказва, и не назовава никакъв интерфейс.

Ключовият пръстен е отделен обект, който държи предварително споделените ключове. Криптокартата или IPsec профилът е трети обект, който реферира профила IKEv2 и доставя настройките за защита. Прикачването към интерфейс е четвъртата стъпка, където се прилага криптокарта или се включва защита на тунела. Всяко звено е отделна референция и липсващото звено оставя всеки обект да изглежда правилен изолирано.

Следвайте веригата от референции по ред

Започнете от ключовия пръстен, който профилът назовава, после потвърдете името на профила, което криптокартата или IPsec профилът реферира, и намерете интерфейса, който консумира последния обект. Запишете всяко име до обекта, който го консумира; този кратък списък е по-полезен от проверката, че всеки очакван блок съществува някъде в конфигурацията.

Обичайните прекъсвания са механични. Име на профил се различава с един знак от това, което криптокартата реферира. Криптокартата съществува, но никога не е била приложена към интерфейса. Командата за защита на тунела сочи към IPsec профил, който реферира различен профил IKEv2. Отговарящата страна без явно прикачване е документиран случай, но инициаторът без прикачване просто не е конфигуриран за пътя.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Четете фрагмента като верига, не като шаблон. Интерфейсът назовава IPsec профила, IPsec профилът назовава профила IKEv2, а профилът IKEv2 назовава ключовия пръстен. Счупете което и да е от тези имена и конфигурацията пак се парсва, затова рутерът я приема, а тунелът остава свален.

Криптокарта и защита на тунела са алтернативи

Cisco документира две схеми на прикачване. Криптокарта може да се приложи към интерфейс и може да реферира профила IKEv2 чрез своята команда set. Защитата на тунела прикачва IPsec профил към тунелен интерфейс. И двете са валидни и не са предвидени да се инсталират заедно като двойна предпазна мярка.

Източникът и дестинацията на тунела определят външната схема за доставяне и са отделни от прикачването за защита. LAN интерфейсът, тунелният интерфейс и външният интерфейс на източника играят три различни роли. Криптокарта на LAN интерфейса не защитава тунела, а тунел с включена защита, но без достъпен адрес на източника, никога не изпраща пакет до партньора си.

Проверявайте зареденото състояние, не само текста. Инсталираната версия има команди, които свързват конфигурираните обекти с договорената сесия, и точно тях цитирайте в заявка. Запазената конфигурация доказва намерение; таблицата на сесиите доказва пътя.

Изключението за отговарящата страна не е правило за инициаторите

Ръководството на IOS XE отбелязва, че явното прикачване на профил IKEv2 може да е незадължително при отговарящата страна. Това изключение не премахва проверките за удостоверяване или самоличност и не прави профила незадължителен от страната, която започва връзката.

Ако вашият рутер инициира, считайте прикачването за задължително и го проследете от край до край. Ако вашият рутер само отговаря, потвърдете кой профил действително е съвпаднал с входящия партньор, защото отговарящата страна може да избере профил по самоличност, а не по референция към интерфейс.

Проверете пътя, не запазената конфигурация

След като прикачванията се подредят, тествайте едно разрешено приложение и запишете вътрешния му източник, дестинация и маршрут. Заявка, породена от рутера, може да използва различен адрес на източника от трафика, препратен от LAN, и обхватът на защита може да покрива само един от тях.

Правилно прикачена дефиниция не доказва, че селекторите, обратният маршрут и интерфейсната политика покриват вашия поток. Изпратете реален трафик и прочетете договореното състояние, после повторете след повторно свързване, за да знаете, че веригата издържа ново договаряне. Дръжте обяснението в обхвата на IOS XE IKEv2; историческото разгръщане с криптокарта IKEv1 има друг обектен модел и не бива да се отстранява с тази верига.

Запишете четирите имена в записа за промени, когато тунелът работи. Следващият човек, който пипне криптокартата, ще се нуждае от тях, а веригата е частта от дизайна, която работещата конфигурация не обяснява.

Подобни статии